ISO 22301 İş Sürekliliği Yönetim Sistemi nedir?
ISO 22301, Uluslararası Standardizasyon Örgütü (ISO) tarafından yayımlanan iş sürekliliği yönetim sistemi standardıdır. Güncel sürüm ISO 22301:2019'dur; 2024'te iklim değişikliğinin kuruluşun bağlamında değerlendirilmesini isteyen bir tadil yayımlandı. Standart, bir kesintinin olmasını engellemekten çok, kesinti olduğunda işletmenin önceden planlanmış biçimde tepki vermesini hedefler.
Sistemin merkezinde iş etki analizi vardır. İşletme hangi ürün ve hizmetlerin kritik olduğunu, bunların en fazla ne kadar süre durabileceğini, hangi personel, sistem, tedarikçi ve tesislere bağlı olduğunu belirler. Ardından risk değerlendirmesi yapılır, süreklilik stratejileri seçilir (yedek lokasyon, alternatif tedarikçi, veri yedekleme, uzaktan çalışma gibi) ve bunlar yazılı planlara dönüştürülür.
Planların işe yarayıp yaramadığı tatbikatla anlaşılır. ISO 22301, planların düzenli olarak test edilmesini, sonuçların değerlendirilmesini ve planların güncellenmesini ister. Bu yönüyle sistem, bilgi güvenliği (ISO 27001) ve risk yönetimi çalışmalarıyla birlikte yürütüldüğünde en iyi sonucu verir.
Demirbilek Danışmanlık olarak iş etki analizi ve risk değerlendirmesini sizinle birlikte yapıyor, süreklilik stratejilerini ve planlarını hazırlıyor, tatbikatları planlıyor, iç tetkik ve yönetimin gözden geçirmesi adımlarını yürütüyor ve akredite belgelendirme kuruluşunun denetimine hazırlanmanızı sağlıyoruz.
Kimler için gerekli?
- Banka, ödeme kuruluşu, sigorta ve aracı kurum gibi kesintiye toleransı düşük finans kuruluşları
- Veri merkezi, bulut, yazılım ve çağrı merkezi hizmeti veren teknoloji firmaları
- Lojistik, enerji, telekomünikasyon ve sağlık gibi kritik hizmet sunan işletmeler
- Büyük müşterilerinden veya kamu ihalelerinden iş sürekliliği güvencesi talep edilen tedarikçiler
- Tek bir tesis, tedarikçi veya sisteme bağımlı olan ve bu riski azaltmak isteyen üretim firmaları
- Deprem riski yüksek bölgelerde faaliyet gösteren ve kesinti senaryolarını önceden planlamak isteyen işletmeler
Başvuru nereye yapılır?
Gerekli evraklar
EVRAK LİSTESİ
- Kapsam tanımıSistemin kapsadığı ürün, hizmet, lokasyon ve birimler.
- İş sürekliliği politikası ve hedefleri
- İş etki analiziKritik faaliyetler, kabul edilebilir kesinti süreleri ve bağımlılıklar.
- Risk değerlendirmesiKesinti senaryoları ve olasılık-etki analizi.
- İş sürekliliği stratejileri
- İş sürekliliği ve kurtarma planlarıKriz iletişimi ve görev dağılımı dahil.
- Kritik tedarikçi listesi ve süreklilik değerlendirmesi
- Tatbikat planı ve tatbikat raporlarıBelgelendirme denetiminden önce en az bir tatbikat yapılmış olmalıdır.
- Yasal ve sözleşmesel şartlar listesi
- İç tetkik raporu ve yönetimin gözden geçirmesi kaydıBelgelendirme denetiminden önce tamamlanmalıdır.
Süreç nasıl işler?
- Kapsam ve bağlamHangi hizmetlerin, lokasyonların ve birimlerin sisteme dahil olacağını; müşteri, mevzuat ve sözleşme beklentilerini birlikte netleştiririz.
- İş etki analizi ve risk değerlendirmesiKritik faaliyetleri, en fazla ne kadar durabileceklerini ve bağımlı oldukları kaynakları belirler, kesinti senaryolarını değerlendiririz.
- Strateji ve planlarYedekleme, alternatif lokasyon, alternatif tedarik ve kriz iletişimi gibi çözümleri seçer, uygulanabilir planlara dönüştürürüz.
- Tatbikat ve iyileştirmeMasa başı ve uygulamalı tatbikatları planlar, sonuçları raporlar ve planları bulgulara göre güncelleriz.
- İç tetkik ve belgelendirmeİç tetkik ve yönetimin gözden geçirmesini tamamlar, akredite belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimlerine hazırlanmanızı sağlarız.
Süre ve geçerlilik
Dikkat edilmesi gerekenler
- Tatbikatı yapılmamış bir plan, denetimde ve gerçek bir kesintide zayıf halkadır. Planları belgelendirme denetiminden önce en az bir kez test edin.
- Kritik tedarikçilerinizin kendi süreklilik hazırlığını da değerlendirin; kesintilerin önemli bir bölümü tedarik zincirinden gelir.
- Bankacılık, ödeme hizmetleri ve sigortacılık gibi düzenlemeye tabi sektörlerde iş sürekliliğine ilişkin mevzuat şartları olabilir. ISO 22301 belgesi bu şartları karşıladığınız anlamına gelmez; mevzuatı ayrıca değerlendirin.
- Belgeyi veren kuruluşun ISO 22301 kapsamında akredite olup olmadığını TÜRKAK'ın veya ilgili akreditasyon kurumunun internet sitesinden kontrol edin.
- Kapsamı ihtiyacınıza göre belirleyin. Tüm şirket yerine kritik hizmetlerle başlamak sistemi kurmayı ve sürdürmeyi kolaylaştırır.
Sık sorulan sorular
İş sürekliliği ile acil durum planı aynı şey mi?
Hayır. Acil durum planı can güvenliğine ve ilk müdahaleye odaklanır. İş sürekliliği planı ise kesintiden sonra kritik ürün ve hizmetlerin hangi sürede ve hangi kaynaklarla devam ettirileceğini düzenler.
İş etki analizi nedir?
Kritik faaliyetlerin durması halinde zamanla oluşacak finansal, operasyonel, yasal ve itibar etkilerini ölçen çalışmadır. Kurtarma önceliklerini ve kabul edilebilir kesinti sürelerini bu analiz belirler.
ISO 22301 ile ISO 27001 arasındaki fark nedir?
ISO 27001 bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya odaklanır. ISO 22301 ise bilgi sistemleri dahil tüm kaynaklardaki kesintilere karşı işin devamlılığını yönetir. İki sistem birlikte kurulabilir.
Küçük bir işletme ISO 22301 alabilir mi?
Evet. Standart her büyüklükteki kuruluşa uygulanır. Küçük işletmelerde iş etki analizi ve planlar daha sade hazırlanır.
Tatbikat ne sıklıkla yapılmalı?
Standart belirli bir sıklık vermez; planların düzenli aralıklarla ve önemli değişikliklerden sonra test edilmesini ister. Sıklık işletmenin riskine ve kapsamına göre planlanır.
Resmi kaynaklar: ISO 22301 Business continuity management systems (iso.org) · ISO 22301:2019/Amd 1:2024 Climate action changes (iso.org) · Türk Akreditasyon Kurumu (TÜRKAK)