ISO 22301 İş Sürekliliği Yönetim Sistemi ve Kriz Yönetimi Danışmanlığı
Siber saldırılar, doğal afetler, enerji kesintileri, yangın veya küresel tedarik zinciri krizlerinde operasyonlarınızın durmasını engelliyoruz. İş Etki Analizi (BIA), Kurtarma Süresi Hedefi (RTO), Kurtarma Noktası Hedefi (RPO) ve Felaket Kurtarma (Disaster Recovery) planlarınızı uluslararası standartlarda kurguluyor; BDDK, SPK, EPDK regülasyonları ve kamu ihalelerine tam uyumlu TÜRKAK ve IAF akreditasyonlu ISO 22301 tescil sürecinizi anahtar teslim yönetiyoruz.
Beklenmedik Krizlerde Kesintisiz Ayakta Kalmanın Güvencesi: ISO 22301
Günümüz küresel ekonomisinde bir veri merkezinin çökmesi, fidye yazılımı (ransomware) saldırısı, deprem veya ana hammadde tedarikçisinin iflas etmesi gibi krizler karşısında hazırlıksız yakalanan işletmeler, saatler içinde milyonlarca liralık ciro ve itibar kaybına uğramaktadır.
ISO 22301:2019 standardı; bir felaket, kriz veya operasyonel aksama anında kritik faaliyetlerin önceden tanımlanmış kabul edilebilir seviyelerde sürdürülmesini ve en kısa sürede normale döndürülmesini güvenceye alan uluslararası yönetim standardıdır. Standart; işletmenin hayati organlarını belirleyen İş Etki Analizi (BIA - Business Impact Analysis) üzerine inşa edilir. BIA sayesinde, her bir süreç için tolere edilebilir maksimum kesinti süresi (MTPD) ve operasyonun ne kadar sürede ayağa kaldırılması gerektiği (RTO) net olarak hesaplanır.
Türkiye'de Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), Sermaye Piyasası Kurulu (SPK), Enerji Piyasası Düzenleme Kurumu (EPDK) ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi düzenlemeleri uyarınca finans, telekomünikasyon, enerji, e-ticaret ve kritik altyapı sektörlerinde faaliyet gösteren işletmeler için iş sürekliliği planlarının varlığı kanuni bir zorunluluktur. Kamu ihalelerinde ve küresel B2B tedarik sözleşmelerinde de akredite ISO 22301 belgesi doğrudan ön yeterlilik şartı olarak aranmaktadır.
Pi Marka Tescil olarak, kalite belgelendirme uzmanlığımızla ISO 22301 sistemini; siber saldırılara karşı kalkan oluşturan ISO 27001 Bilgi Güvenliği, kurumsal yönetim süreçlerini sağlayan ISO 9001, kriz anında müşteri itirazlarını önleyen ISO 10002 Müşteri Memnuniyeti ve fiziksel iş güvenliği tedbirlerini içeren ISO 45001 İSG sistemleriyle tam entegre olarak kuruyoruz.
ISO 22301 Kapsamında Kurduğumuz Temel Yönetim Modülleri
Kriz anında panik yerine soğukkanlı ve planlı müdahaleyi mümkün kılan profesyonel süreklilik bileşenleri:
İş Etki Analizi (BIA) ve Risk Değerlendirmesi
Tüm departmanların iş akışlarının taranması; bir kesinti anında oluşacak finansal, yasal ve operasyonel zararların saatlik bazda ölçülerek kritik süreçlerin önceliklendirilmesidir.
RTO ve RPO Hedeflerinin Belirlenmesi
Kurtarma Süresi Hedefi (RTO) ile sistemlerin kaç saatte ayağa kalkacağının, Kurtarma Noktası Hedefi (RPO) ile tolere edilebilir maksimum veri kaybı süresinin netleştirilmesidir.
Felaket Kurtarma (Disaster Recovery) ve Yedek Lokasyon
Sunucu, veri tabanı ve BT altyapısının farklı coğrafi lokasyondaki felaket kurtarma merkezine (FKM) replikasyon stratejilerinin ve anlık geçiş senaryolarının kurgulanmasıdır.
Olay Müdahale ve Kriz İletişim Planları
Deprem, sel, yangın veya siber saldırı anında kimin kimi arayacağını, acil durum komuta merkezinin nasıl toplanacağını ve kamuoyuna yapılacak açıklamaları belirleyen protokoldür.
Tedarik Zinciri Sürekliliği ve Kritik Yedekleme
Tek bir hammadde tedarikçisine bağımlı kalmanın getirdiği riskleri önleyen, alternatif üretici ve lojistik hatlarını güvence altına alan tedarikçi süreklilik sözleşmeleridir.
Masa Başı ve Canlı Kriz Tatbikatları
Hazırlanan planların rafta kalmaması için yılda en az bir kez simüle edilmiş kriz senaryolarıyla tatbikat yapılması, açıkların tespit edilerek planların güncellenmesidir.
5 Aşamalı ISO 22301 Kurulum ve Sertifikasyon Süreci
Kurumunuzun mevcut yapısının analizinden akredite iş sürekliliği sertifikasının teslimine kadar izlediğimiz aşamalar:
Kurumun kritik servisleri belirlenir; mevcut yedekleme, enerji altyapısı ve kriz protokolleri incelenir.
Tüm birimlerle BIA mülakatları yapılarak MTPD, RTO ve RPO eşik değerleri matematiksel olarak hesaplanır.
İş Sürekliliği Planları (İSP), Felaket Kurtarma Planları (FKP) ve Acil Durum Müdahale Prosedürleri hazırlanır.
Simüle kriz tatbikatı icra edilir; sertifikalı başdenetçilerimizle bağımsız denetim provası tamamlanır.
TÜRKAK veya IAF akredite kuruluşunun 2 aşamalı denetimi yönetilir ve uluslararası geçerli belge alınır.
İş Sürekliliğinde Yapılan Kritik Hatalar ve Telafisi İmkansız Zararlar
Kağıt üzerinde kalan planlar nedeniyle felaket anında işletmelerin yaşadığı iflas ve cezai riskler:
| Yapılan Kritik Hata | Hatanın Temel Nedeni | Yasal ve Mali Sonucu | Pi Marka Tescil Profesyonel Çözümü |
|---|---|---|---|
| BIA Yapılmadan Plan Yazılması | Hangi sürecin ne kadar kesintiye dayanabileceğinin hesaplanmadan şablon plan uygulanması. | Kriz anında gereksiz işlerle vakit kaybedilirken ana gelir kanalının saatlerce kapalı kalması. | Her birim için ayrıntılı anket ve mülakatlarla gerçekçi İş Etki Analizi (BIA) modellemesi. |
| Test Edilmemiş Yedekler | Yedeklerin alındığı sanılıp geri yükleme (Restore) testinin hiçbir zaman yapılmamış olması. | Fidye yazılımı saldırısında yedeklerin de şifrelenmesi veya bozuk çıkması; tüm verinin kaybı. | Periyodik otomatik geri yükleme testleri ve "Air-Gapped" çevrimdışı yedekleme protokolü. |
| Tatbikat Yapılmaması | Hazırlanan kalın klasörlerin personele duyurulmaması ve senaryo tatbikatlarının atlanması. | Yangın veya deprem anında kimsenin görevini bilmemesi; panik, can kaybı ve operasyonel çöküş. | Yılda en az 1 masa başı kriz simülasyonu ve personelin reflekslerini ölçen canlı testler. |
| Alternatif Lokasyon Eksikliği | Tüm sunucuların ve personelin tek bir binada/şehirde toplanması; ikincil alan kurgulanmaması. | Bölgesel afet durumunda şirketin haftalarca hiçbir müşteriye hizmet verememesi. | Bulut tabanlı felaket kurtarma (DRaaS) ve uzaktan çalışma protokollerinin sisteme entegrasyonu. |
Geleneksel Felaket Yaklaşımı ile ISO 22301 Yönetim Sistemi Karşılaştırması
Sadece basit IT yedeklemesi yapmak ile kurumsal iş sürekliliği sistemine sahip olmak arasındaki fark:
| Parametre | Geleneksel BT Yedeklemesi | ISO 22301 İş Sürekliliği Sistemi | Kurumsal Avantaj |
|---|---|---|---|
| Odak Noktası | Yalnızca veri ve sunucu yedeği. | İnsan, bina, tedarikçi, BT ve finansın tümü. | Tüm şirketi kapsayan bütüncül dayanıklılık. |
| Kurtarma Süresi | Belirsiz; günler veya haftalar sürebilir. | Önceden taahhüt edilmiş net süre (RTO). | Müşteri kaybını ve cezaları sıfıra indirme. |
| Karar Mekanizması | Kriz anında panikle karar verilir. | Kriz Komitesi önceden belirlenmiş adımları atar. | Hatasız, soğukkanlı ve yasal kriz yönetimi. |
| Yasal Regülasyon | BDDK, EPDK denetimlerinde ceza alır. | Mevzuat maddelerini %100 karşılar. | Sıfır idari ceza ve lisans güvencesi. |
| B2B İhale Yeterliliği | Büyük kurumsal şartnamelerden elenir. | TÜRKAK/IAF akrediteli belgeyle tam puan. | Global müşterilere kesintisiz hizmet güvencesi. |
ISO 22301 İş Sürekliliği Hakkında Sıkça Sorulan Sorular
Standart ilkeleri, tatbikatlar ve yasal zorunluluklar hakkında en sık yöneltilen sorular:
ISO 22301 sadece bilişim (BT) firmaları için midir?
Hayır. ISO 22301 bir BT standardı değil, genel bir yönetim sistemi standardıdır. Fabrikalar, hastaneler, lojistik depoları, bankalar, çağrı merkezleri ve gıda üreticileri gibi operasyonunun bir gün dahi durması büyük mali veya insani zararlara yol açacak her sektör ISO 22301 belgesi alabilir ve almalıdır.
ISO 27001 ile ISO 22301 birlikte kurulabilir mi?
Evet. Hatta bu iki standart birbirini en kusursuz tamamlayan ikilidir. ISO 27001 Bilgi Güvenliği standardı verinin gizliliği ve bütünlüğüne odaklanırken, ISO 22301 verinin ve servislerin kesintisiz "erişilebilirliğine" odaklanır. Her iki standart Annex SL yapısına sahip olduğu için tek bir entegre dokümantasyonla kurulabilir ve belgelendirilebilir.
RTO (Recovery Time Objective) ve RPO (Recovery Point Objective) nedir?
RTO, bir felaket anında kesintiye uğrayan sürecin maksimum kaç saat içinde yeniden çalışır hale gelmesi gerektiğini ifade eder (Örn: RTO = 2 saat). RPO ise bir arıza durumunda işletmenin katlanabileceği maksimum veri kaybı süresidir (Örn: RPO = 15 dakika, yani en fazla 15 dakikalık veri kaybı tolere edilebilir).
ISO 22301 belgesinin geçerlilik süresi ne kadardır?
Sertifika 3 yıllık döngüyle düzenlenir. Belgenin geçerliliğini sürdürmesi için her yıl bağımsız denetim kuruluşu tarafından ara gözetim denetimi yapılır. Bu denetimlerde özellikle son 12 ay içinde yapılan kriz tatbikatlarının tutanakları ve BIA güncellemeleri incelenir.
KOSGEB iş sürekliliği belgelendirme masraflarını destekliyor mu?
Evet. KOSGEB İşletme Geliştirme Destek Programı kapsamında KOBİ'lerin TÜRKAK akreditasyonlu kuruluşlardan alacağı ISO 22301 belgelendirme masrafları %50 ila %70 oranında hibe desteği ile karşılanabilmektedir.
Belgelendirme süreci ortalama ne kadar sürer?
Şirketin büyüklüğüne, departman sayısına ve felaket kurtarma altyapısına bağlı olarak İş Etki Analizlerinin tamamlanması, planların yazılması, tatbikatın yapılması ve belgelendirme denetimi ortalama 4 ila 8 hafta sürmektedir.
ISO 22301 Başvurusu İçin Gerekli Resmi Evraklar
İş sürekliliği dosyanızın oluşturulması ve denetim planının organize edilebilmesi için talep edilen evraklar:
- Güncel Vergi Levhası ve İmza Sirküleri: Şirket resmi kurumsal belgeleri.
- Ticaret Sicil Gazetesi ve Faaliyet Belgesi: Güncel oda kayıt evrakları.
- Organizasyon Şeması ve Birim Listesi: Kritik operasyon yürüten departmanlar.
- BT Altyapı ve Sunucu Envanteri: Mevcut sunucu, bulut ve yedekleme yapısı.
- SGK Hizmet Listesi: Toplam çalışan personel sayısı dökümü.
- Varsa Mevcut Acil Durum / Yangın / Yedekleme Planları: Mevcut kurumsal prosedürler.