Özet: ISO 22301:2019 Madde 8.2.2 uyarınca İş Etki Analizi (BIA) adımları, MTPD, RTO, RPO kavramlarının net ayrımı ve örnek etki değerlendirme matrisi.
Kapsam ve Çerçeve: ISO 22301:2019 Madde 8.2.2 uyarınca İş Etki Analizi (BIA) adımları, MTPD, RTO, RPO kavramlarının net ayrımı ve örnek etki değerlendirme matrisi.
Kurumsal süreklilik yönetiminde en sık düşülen hata, olası felaket senaryolarına (deprem, yangın, siber saldırı) odaklanıp, asıl kesintiye uğrayan iş süreçlerinin kuruma maliyetini hesaplamamaktır.
ISO 22301:2019 standardının kalbini oluşturan İş Etki Analizi (Business Impact Analysis - BIA), tehlikenin kaynağından bağımsız olarak bir iş sürecinin durması halinde kurumun karşılaşacağı zararı zaman ekseninde ölçen analitik bir metodolojidir.
---
1. Temel Kavramlar: MTPD, RTO ve RPO Arasındaki Kesin Ayrım
BIA sürecinde birbiriyle sıkça karıştırılan, ancak kavramsal sınırları birbirinden tamamen farklı üç temel metrik bulunmaktadır:
`` Kesinti Anı (t = 0) │ ├──────────────────────────┐ │ ◄─────── RPO ────────► │ (Geriye Dönük Bilgi / Veri Kaybı Noktası) │ (Bilginin Yeniden │ │ Kazanılacağı Zaman) │ ▼ ▼ ─────┴──────────────────────────┬───────────────────────────────┬─────────────────► Zaman Hedef Kurtarma Maksimum Tolere Süresi (RTO) Edilebilir Kesinti (MTPD) [Faaliyet Yeniden Başlar] [Kurumun İflası / Telafisi İmkânsız Zarar] ``
- MTPD / MAO (Maximum Tolerable Period of Disruption / Maksimum Tolere Edilebilir Kesinti Süresi): Bir faaliyetin kesintiye uğramasının ardından, kurumun ticari varlığını, yasal lisansını veya finansal ayakta kalışını tehdit eden nihai sınır süresidir. Yönetim tarafından tolere edilemeyecek zararın başladığı tavan noktadır.
- RTO (Recovery Time Objective / Hedef Kurtarma Süresi): Kesintiden sonra bir ürün, hizmet veya faaliyetin yeniden çalışır hale getirilmesi gereken hedef süredir. Temel altın kural: RTO daima MTPD'den daha kısa olmak zorundadır (RTO < MTPD).
- RPO (Recovery Point Objective / Hedef Kurtarma Noktası): Bir faaliyetin yeniden işletilebilmesi için, faaliyet esnasında kullanılan bilginin veya verilerin geriye dönük olarak hangi noktadaki durumuna geri yüklenmesi (restorasyonu) gerektiğini belirten zaman sınırıdır.
---
2. Adım Adım İş Etki Analizi Metodolojisi
ISO 22301 Madde 8.2.2 kapsamında bir BIA çalışması 5 sıralı aşamada yürütülür:
Adım 1: Süreç ve Faaliyet Envanterinin Çıkarılması
Kurumun tüm departmanları (Finans, İK, Üretim, BT, Lojistik, Satış) taranarak ana süreçler ve bu süreçleri oluşturan alt faaliyetler listelenir.
Adım 2: Kesinti Etkilerinin Zaman İçerisinde Değerlendirilmesi
Faaliyet durduğunda ortaya çıkacak zarar 4 temel etki kategorisinde değerlendirilir:
- Finansal Etki: Doğrudan gelir kaybı, sözleşme cezaları, regülatör para cezaları.
- Yasal ve Mevzuat Etkisi: Kanuni zorunlulukların ihlali, lisans iptali riski.
- Müşteri ve İtibar Etkisi: Müşteri kaybı, marka değerinin zedelenmesi, basında olumsuz haberler.
- Operasyonel Etki: Diğer iç departmanların kilitlenmesi, tedarik zincirinin kopması.
Bu etkiler belirlenen zaman dilimleri boyunca (1 saat, 4 saat, 24 saat, 3 gün, 1 hafta) puanlanır (1: Önemsiz - 5: Felaket Düzeyinde).
Adım 3: Kritiklik Seviyesinin ve MTPD/RTO Değerlerinin Tespiti
Etki puanlarının kabul edilemez düzeye ulaştığı (örneğin 4 veya 5 puan) zaman dilimi o sürecin MTPD değeri olarak kayda geçer. Yönetim, bu MTPD'ye güvenlik payı ekleyerek operasyonel kurtarma hedefi olan RTO değerini belirler.
Adım 4: Kaynak ve Bağımlılık Analizi
Kritik faaliyetin RTO süresi içinde ayağa kalkabilmesi için gereken asgari kaynaklar belirlenir:
- Personel sayısı ve kritik yetkinlikler.
- Kullanılan yazılımlar ve altyapı sistemleri.
- Çalışma alanı (ofis, fabrika, uzaktan çalışma imkânı).
- Üçüncü taraf tedarikçiler ve dış kaynaklı hizmetler.
Adım 5: BIA Raporunun Yönetim Onayına Sunulması
Elde edilen sonuçlar konsolide edilerek İş Sürekliliği Komitesi ve Üst Yönetim onayına sunulur. Onaylanan BIA, ISO 22301 Madde 8.3 kapsamındaki İş Sürekliliği Stratejilerinin (yedek lokasyon, bulut replikasyonu vb.) yatırım bütçesini belirler.
---
3. Örnek İş Etki Analizi (BIA) Değerlendirme Matrisi
Aşağıdaki tablo, orta ölçekli bir teknoloji ve hizmet şirketi için örneklenmiş gerçekçi bir BIA kesitidir:
| Faaliyet Adı | İlgili Departman | 4 Saat Sonraki Etki | 24 Saat Sonraki Etki | MTPD | Hedef RTO | Hedef RPO (Bilgi Restorasyon Sınırı) | Asgari Kaynak İhtiyacı |
|---|---|---|---|---|---|---|---|
| Online Ödeme Tahsilatı | E-Ticaret / Finans | Yüksek (Finansal Kayıp) | Kritik (Sipariş İptalleri) | 8 Saat | 2 Saat | 15 Dakika (İşlem verisi kaybı sınırı) | Ödeme geçidi, Cloud altyapı, 2 Veritabanı Uzmanı |
| Müşteri Çağrı Merkezi | Müşteri İlişkileri | Düşük (Bekleme süresi) | Orta (Sosyal medya tepkisi) | 48 Saat | 12 Saat | N/A (Geriye dönük veri restorasyonu gerekmez) | VoIP santral, internet, uzaktan çalışan 10 temsilci |
| Depo ve Sevkiyat | Lojistik | Düşük (Gecikme) | Yüksek (Sözleşme SLA ihlali) | 24 Saat | 8 Saat | 1 Saat (WMS sevk emri kayıtları) | WMS yazılımı, jeneratör, el terminalleri |
| Aylık Maaş Bordrolama | İnsan Kaynakları | İhmal edilebilir | Düşük | 7 Gün | 3 Gün | 24 Saat (ERP puantaj verisi) | ERP yazılımı, 1 İK bordro uzmanı |
---
Sıkça Sorulan Sorular (FAQ)
Risk değerlendirmesi ile İş Etki Analizi (BIA) arasındaki fark nedir?
Risk değerlendirmesi (Risk Assessment), bir olayın meydana gelme olasılığını ve tehditleri (deprem, siber saldırı) inceler. BIA ise olayın nedenine bakılmaksızın, bir sürecin durması halinde doğacak operasyonel ve finansal zararın büyüklüğünü zaman boyutunda ölçer.
BIA ne sıklıkla güncellenmelidir?
ISO 22301 uyarınca BIA çalışmaları yılda en az bir kez periyodik olarak veya kurumun organizasyonel yapısında, kritik yazılımlarında veya iş modellerinde önemli bir değişiklik olduğunda derhal güncellenmelidir.
---
Okuyucu Yorumları
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya teknik değerlendirmelerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.