UYGULAMA ESASI. Tasarlayan: Onaylayan: Yayınlayan: Bölüm: Burgan Portföy Yönetimi. Grup: Yönetim Kurulu. Bölüm: Yasal Uyum. Direktör Özlem Ünal

Transkript

1 UYGULAMA ESASI Ad : Acil Durum ve İş Sürekliliği Uygulama Esası Kod : UE Sorumlu Bölüm/Grup : Burgan Portföy Yönetimi Çalışanları Amaç : Şirketin, acil ve beklenmedik durumlarda müşterilerine, yatırım kuruluşlarına, piyasa katılımcılarına ve üçüncü taraflara karşı olan yükümlülüklerini yerine getirme koşullarını, yöntemlerini, prosedürlerini ortaya koyacak Acil Durum ve İş Sürekliliği Planının genel ilkelerinin düzenlenmesidir. Versiyon : 00 Geçerlilik : Dağıtım : Burgan Portföy Tasarlayan: Onaylayan: Yayınlayan: Bölüm: Burgan Portföy Yönetimi Grup: Yönetim Kurulu Bölüm: Yasal Uyum Direktör Özlem Ünal Tarih: Tarih: Tarih:

2 İÇİNDEKİLER 1 Amaç Kapsam Uygulama İş Sürekliliği Yönetim Stratejisi ve Hedefi İş Sürekliliği Politikası Tehdit ve Senaryolar Acil Eylem Planı Acil Eylem İşleyişi Kontrolü İş Kurtarma Planı EK1 EK2 EK3 EK4 EK5 BURGAN PORTFÖY YÖNETİMİ ÇAĞRI AĞACI BURGAN PORTFÖY İŞ KURTARMA AKIŞ ŞEMASI PERSONEL İLETİŞİM BİLGİLERİ İŞ KURTARMA PLANLARI RESMİ KURUMLAR İLETİŞİM BİLGİLERİ

3 1 Amaç Bu uygulama esasının amacı; Burgan Portföy Yönetimi A.Ş. de (Burgan Portföy) Şirketin, acil ve beklenmedik durumlarda müşterilerine, yatırım kuruluşlarına, piyasa katılımcılarına ve üçüncü taraflara karşı olan yükümlülüklerini yerine getirme koşullarını, yöntemlerini, prosedürlerini ortaya koyacak Acil Durum ve İş Sürekliliği Planının genel ilkelerinin düzenlenmesidir. 2 Kapsam Bu prosedür, acil durum planının içeriği ile ilgili tanımları, varsayımları, acil durum anında dahi kesintisiz yürütülmesi gereken kritik iş süreçlerini, acil durum planının testi ve güncellemesiyle ilgili esasları kapsar. 3 Uygulama Acil Durum ve İş Sürekliliği Planı, olağan operasyonları kesintiye uğratabilecek olaylara yönetim çerçevesi çizmek amacıyla hazırlanmıştır. Plan, ufak olaylardan büyük felaketlere kadar tüm acil durum olaylarında Şirketin faaliyetlerinin minunum kesinti ve zararla devamını amaçlar. Bu nedenle en geniş kapsamda hazırlanan planın ihtiyaç duyulduğunda yalnızca belirli bölümleri kullanılırken gerektiğinde tamamının da devreye alınması mümkündür. Plan iki zaman fazı kategorisi ve yönetim planı üzerine kurulmuştur. Bu yapı aşağıdaki şekildedir: Acil Durum Planı; Şirketin normal operasyonuna devamını engelleyen olayları takip eden ilk dakika ve saatlerde çalışanların, fiziksel ortamın ve altyapının güvenliğine yönelik alınacak acil tedbirleri içermektedir. İş Sürekliliği Planı; Acil ve beklenmedik durum boyunca şirketin normal operasyonel faaliyetlerinin kesintiye uğraması nedeniyle finansal, müşteri ilişkileri, kanuni yükümlülük ve imaj açısından önemli zarara uğramasına sebebiyet verecek ürün, süreç ve hizmetlerinin geri kazanılması faaliyetidir 3.1 Acil Durum ve İş Sürekliliği Yönetimi Acil Durum ve İş Sürekliliği Yönetiminin amacı gerekli / kritik operasyonları minimum ancak müşterinin kabul edebileceği düzeyde en kısa sürede işlevsel hale getirmektir. Bu plan en kötü durumda maksimum bir günlük faaliyetsizlik periyodu oluşacağını ve olaydan sonra en geç 1 ay içerisinde istenilen iş sürekliliği düzeyine ulaşılacağını kabul eder. Bir olayı takiben, izlenecek strateji aşağıdaki hedefleri temel alacaktır: Personeli korumak ve bedensel kayıplarla ilgilenmek; Olayın boyutunu değerlendirmek;

4 Tehdidi kontrol etmek; Ortaya çıkan sorunları ve sonuçlarını değerlendirmek; Geçici operasyonları olabildiğince hızlı aktive etmek; İç ve dış iletişimi yönetmek, 3.2 İş Sürekliliği Politikası Burgan Portföy ün politikası müşterilerin ihtiyaçlarını karşılamaya en olumsuz koşullar altında dahi devam edebilmektir. Bu çerçevede operasyonların ve hizmetlerin, çalışanların güvenliğine, halkın ve çalışanların sağlığına, çevrenin ve mülkiyetin korunmasına en üstün değeri vererek yürütülmesi hedeflenir. Acil Durum ve İş Sürekliliği planının uygulanmasın, güncelliğinin sağlanması, testlerinin gerçekleştirilmesi ve diğer her türlü hazırlıkların koordinasyonu Şirket Genel Müdürü sorumludur. Yedeği Fon Hizmet Birimi Müdürü olarak belirlenmiştir. Bu planın ana nüshası Acil Durum ve İş Sürekliliği Sorumlusu tarafından saklanır. Plan, tüm personelin bilgi ve ulaşımına açılır. İş Sürekliliği çerçevesindeki tüm plan ve prosedürler ile eğitime dönük diğer döküman ve bilgiler ilgili birim ve ekiplerle paylaşılır. Yönetim Kurulu tarafından onaylanan bu plan, şirketin yönetim kademelerindeki tüm personel tarafından sahiplenilir. Şirketin iş sürekliliğinin sağlanmasına yönelik olarak gerçekleştirilen tüm portföy yönetimi işlem verileri, diğer ihtiyaç duyulan veriler ve gerekli sistemler Burgan Yatırım Bilgi İşlem Birimince yedeklenir ve bir felaket durumunda devreye sokulmak amacıyla ODM Merkezindeki sunucularda hazır bekletilir. İş Sürekliliği Yönetimi kapsamındaki sorumlu personelin isimlerine planın sonunda yer alan EK 1 listesinde yer verilmiş olup şirkette yaşanan görev değişikliklerine paralel olarak bu listenin güncellenmesi sorumluluğu Acil Durum ve İş Sürekliliği Sorumlusu ndadır. 3.3 Tehdit ve Senaryolar Aşağıda sıralanan olaylarda mevcut planlarla olaya müdahale edilir. Yangın Deprem Kötü Hava Şartları (Sel, Kar Yağışı) Bomba ihbarı İletişim altyapısı ve enerjinin kesilmesi Binanın eylemciler tarafından işgal edilmesi / Halk hareketi İşyerinde şiddet eylemi

5 Kaçırılma, Haraç ve Alıkoyma Terörist saldırılar Posta yolu ile saldırı Burgan Portföy Yönetimi A.Ş. aşağıdaki üç kriz senaryosu belirlenmiştir. Senaryo 1 (BT sistemi çalışıyor fakat GM binasına girilememekte) Senaryo 2 (BT sistemi çalışmıyor fakat binaya girmek mümkün) Senaryo 3 (Hem Genel Müdürlük Binasının hem de sistemin kullanım dışı kalması) Operasyonel Risk Değerlendirmesi Burgan Portföy ün tüm hizmet ve diğer faaliyetlerinin kesintiye uğraması durumunda şirkete olan Finansal Kanuni Yükümlülükler Müşteri İlişikleri İtibar/imaj etki ve zararları ilgili iş birimleri ile yapılan İş Etki Analizleri sonucu belirlenerek geri kazanım öncelikleri belirlenmiştir. (Ek 2) Faaliyetlerin geri kazanımları 6 ayrı zaman dilimine yayılmıştır. İş kurtarma sürecinde aşağıdaki önceliklendirme izlenir. Yüksek öncelikli faaliyetlerin geri kazanımı (0-4 saat ve 1 gün) Öncelikli faaliyetlerin geri kazanımı (2 gün içinde) Orta öncelikli faaliyetlerin geri kazanımı (1 hafta içinde) Düşük öncelikli faaliyetlerin geri kazanımı (1 hafta 1 ay arası /1 aydan uzun sürede) Yüksek öncelikli ve öncelikli olarak adlandırılmış olan faaliyetler Burgan Portföy operasyonları açısından kritik olarak değerlendirilir ve öncelikli olarak bu faaliyetler geri kazanılır. Bilgi Sistem Yedekleme Burgan Portföyün sistem yedekleri T-1 gecesi Burgan Yatırım Bilgi Teknolojileri Birimi tarafından çalıştırılır. T günü sabahı tamamlanan yedekler kartuşa kaydedilip t gününde Bankanın Mecidiyeköy şubesine gönderilir. T gününün verileri günlük olarak IBM İzmir ODM Merkezinedeki sunucuya replike edilir. Aynı zamanda günlük karuşlara alınarak BurganBank ın Mecidiyeköy şubesinde muhafaza edilmektedir. İletişim Ayrıca aşağıdaki kontak bilgileri tespit edilerek İstanbul içindeki alternatif bir lokasyonda güvenli bir şekilde yedeklenir. Tedarikçi Kontak Bilgileri İş Birimleri Counterparty Kontak Bilgileri Personel Kontak Bilgileri (EK 3 e bakınız.)

6 Resmi ve Düzenleyici Kurumlarla ile iletişim İş Sürekliliğinin kesintiye uğraması ve iş sürekliliği planlarının devreye alınması durumunda SPK, BIST, MKK, Takasbank ve buna benzer kurumların bilgilendirilmesi ve iletişimin sağlanması Genel Müdür ün sorumluluğundadır. Yapılan bildirimler; iş sürekliliğinin sağlanmasına yönelik aksiyonları, iş kesintisinin muhtemel sonuçlarını ve geri dönüşe ilişkin yapılan planlamaları kapsar. Bildirim öncelikli olarak e-posta yolu ile yapılır. Eğer bu imkan bulunmazsa telefon ile gerekli bilgilendirme ve iletişim sağlanır. Bu kurumların iletişim bilgilerine EK-5 de yer verilmiştir. Müşteriler İle İletişim İş Sürekliğinin kesintiye uğraması ve iş sürekliliği planlarının devreye alınması durumunda bireysel müşterilerin bilgilendirilmesi ve iletişimin sağlanması Porfföy Yönetimi nde görevli Portföy Yöneticilerinin sorumluluğundadır. Müşterilere yapılan bildirimlerde işlemlerin ne şekilde devam ettirileceği, alternatif lokasyona erişim ve iletişim bilgileri vb. yer alır. Karşı Taraf İle İletişim Şirketin İş Sürekliliği kapsamında çalışmaya başlayacağı konusunda özellikle bireysel müşteri ve fon işlemlerinin gerçekleştiği Burgan Yatırım Menkul Değerler A.Ş ve Burgan Bank A.Ş Üst Yönetimine Burgan Portföy Yönetimi A.Ş Üst Yönetimi tarafından mümkünse e-posta mümkün değilse telefon ile bilgilendirme yapılır. Revizyon ve Test Plan, gözden geçirme ve güncellemeler suretiyle işlevsel ve güncel halde tutulur. Planın testine yönelik tatbikatlar düzenli olarak gerçekleştirilmesi sağlanır. Planın güncel tutulması Acil Durum ve İş Sürekliliği Sorumlusu tarafından sağlanır. Mali tablolar ve mevcut mevzuat uyarınca tutmakla yükümlü oldukları her türlü kayıt ile kıymetli evrakın basılı olarak ve/veya elektronik ortamda saklanması Mevzuat gereği basılı olarak saklanması gereken kayıtlar ile diğer kıymetli evraklar Şirketin arşivinde saklanmaktadır. Müşteri sözleşmeleri ve personel özlük dosyaları gibi arşive gönderilmeyen evraklar ise Şirket içinde muhafaza edilmektedir. Faaliyetlerimizin aralıksız sürdürülebilmesine yönelik bilgi işlem sistemlerinin devamlılığının sağlanması, yedeklerinin alınması ve söz konusu elektronik kayıt yedeklerinin 5 yıl süre ile saklanması Şirketin ana ve kritik süreçlerini destekleyen bilgi işlem sistemlerinin bir yedeği iş sürekliğini sağlamak üzere farklı bir lokasyonda bulundurulmaktadır. Mevcut bilgi işlem sistemlerinin kesintiye uğraması durumunda faaliyetlerin yedek sistemler üzerinden devamlılığı sağlanacaktır.

7 Şirket kayıtlarının tamamı, Burgan Yatırım Menkul Değerler A.Ş. nin, İş Sürekliliği planı çerçevesinde düzenlediği saklama esaslarına göre muhafaza edilmekte ve Elektronik kayıt yedekleri 5 yıl süre ile saklanmaktadır. ODM Merkezi olarak BurganBank iştiraki olarak birlikte hareket etmekteyiz. Yedek sunucularımız Izmirde IBM in DataCenter ı içinde BurganBank ın kabinleri içinde yer almaktadır. ODM merkezine erişmek için kullanılan PC ler Kadıköy Hasanpaşa daki BurganBank şubesinde ayrı bir bölümdedir. Günlük işleyiş için veri sağlayıcılar tesis edilmiş ve faaliyetlerimizin sürdürülmesi için gerekli tüm ofis programları ile bilgi erişim sistemleri yüklenmiştir. İşlemlerin sürekliliği için gereken telefon, faks, yazıcı v.b. teknik cihazlar ve tesisler kullanıma hazır durumda bulunmaktadır. Kritik sistem ve uygulamaların verileri yedeklenmekte ve kesintiye neden olan aynı Olağanüstü Durum dan etkilenmeyecek yeterli uzaklığa sahip güvenli ve korunmalı bir ortamda saklanmaktadır. Kurul un alınan önlemler hakkında bilgilendirilmesi, rutin zorunlu bildirimlerin nasıl yapılacağı Acil ve Beklenmedik durumda, Acil Durum ve İş Sürekliliği Sorumlusu Sermaye Piyasası Kurulu, BIST, Takasbank, MKK gibi tüm resmi kurumlarla irtibatı tesis eder. Görevli diğer personel imkanları elverdiği kadar hızlı bir şekilde Alternatif lokasyona giderler. Rutin bildirimler süresi içinde, birbirlerine yedeklenmiş kişilerce, Acil Durum ve İş Sürekliliği Sorumlusu talimatlarına göre sonuçlanır. Zorunlu bildirimlerin yapılacağı ana merkez; Fahrettin Kerim Gökay Cad. No: Hasanpaşa - Kadıköy Burgan Bank Hasanpaşa şubesidir. Faaliyetlerin sürdürülememesi durumunda Şirket tarafından faaliyete devam edilemeyeceği yönünde karar verilmesi halinde müşterilerin hesaplarına erişimi ve söz konusu hesapların başka bir Kurum a devri Alınan tüm bu önlemler ve kurulan altyapı sayesinde faaliyetlerimizi devamlılığı planlanmıştır. Müşterilere ait varlıklar, Şirketimizden bağımsız olarak Saklama Kuruluşunda saklandığından, herhangi bir risk öngörülmemiştir. Yönetim Kurulunun, acil ve beklenmedik durum nedeniyle şirketin faaliyetine devam edemeyeceği yönünde karar alması durumunda, müşteriler bu durumdan haberdar edilir ve müşteri varlıklarının transferi için gerekli işlemler müşteri onayı ile gerçekleştirilir. Dışarıdan hizmet alımına ilişkin risklerin değerlendirilmesi Destek hizmeti alımı planlandığında gerçekleştirilecek risk değerlendirmelerinin; 1. Destek hizmeti alınmasıyla destek hizmeti alınan kurumun değişen risk profili, 2. Destek alınan kurumun temel faaliyetlerine ve insan kaynaklarına etkisi, 3. Söz konusu destek hizmetinin müşterilerine dolaylı ve dolaysız etkileri, 4. İş sürekliliği planları, 5. Verilerin saklanacağı veritabanlarının güvenliği, müşteri bilgilerinin gizliliği, 6. Hizmetin kalite ve mevzuat yönünden denetimi amacıyla tesis edilecek süreçler.

8 ana başlıklarını kapsaması gerekmektedir. Risk Açıklama Tanım Uyum riski; yasalara, mevzuata, kurallara ve standartlara uyulmaması nedeniyle ortaya çıkan risktir. Uyum Riski- Yasal Riskler Destek Hizmeti alınan destek hizmeti kuruluşunun süreç ve sistemleri, uyum ve yasalar yönünden herhangi bir denetime tabi değil veya destek hizmeti kuruluşunun faaliyetleri Burgan Portföy ün ve Burgan Yatırım ın politika ve uygulama usulleri ile tutarlı değilse uyum riski artmaktadır. Destek Hizmetleri Nedeniyle Maruz Kalınan Risk Portföy Yönetimi, destek hizmeti kuruluşu üzerinde denetim ve kontrol süreçleri tesis etmemişse söz konusu risk artmaktadır. Maruz kalınan uyum riskini artıran diğer etkenler de kurum ve müşteri gizli bilgilerinin korunamaması müşteri gizliliğinin sağlanamaması durumlarıdır Kurumun veya destek hizmeti kuruluşunun faaliyetlerine uygun bir bilgi güvenliği programının bulunmaması uyum riskini artırmaktadır. Destek hizmetleri, kamu denetimi risklerini artırıcı unsurlar da içerebilir. Yurtdışı destek hizmeti kuruluşlarının bulundukları ülke mevzuatı, yerel kamu otoritesine destek hizmeti hakkında bilgi aktarımını ve dolayısıyla yerel kamu otoritesinin gerekli incelemeleri yapmasını engelleyebilir. Tanım İşlemlerin zamanında ve öngörüldüğü gibi gerçekleştirilememesi riskidir. İşlem Riski Destek hizmetleri nedeniyle maruz kalınan risk Destek hizmeti ile ilişkili ürün veya hizmetin icrasında yaşanan problemlerden dolayı kurum maddi ve itibari kayba uğrayabilir. İşlem riskini artıran bir diğer unsur da destek hizmeti kuruluşu aracılığı ile sunulan ürün ve hizmetlerin, dağıtım kanalları ve süreçlerin Kurumun sistemine, stratejik hedeflerine ve müşteri beklentilerine uygun olmamasıdır. Destek hizmetinin müşteri beklentilerine dolaylı ve dolaysız etkilerinin ortaya çıkardığı riskleri azaltıcı unsurları tesis edemeyen Kurumlar, işlem riskine daha çok maruz kalır. Destek hizmeti kuruluşunun teknoloji arızası, dolandırıcılık, hata veya kapasite yetersizliği gibi nedenlerden dolayı hizmet verememesi durumları ve bu gibi durumlarda iş süreçlerini ayağa kaldırma ve acil durum planlarının bulunmaması işlem riskini artırmaktadır. Strateji Tanım Yanlış strateji ve yatırım kararlarının alınması ve uygulanması riskidir.

9 Riski- Yatırı m Riski İtibar riski Bağımlılık riski Yoğunlaş ma Riski- Sistemik Risk Destek hizmetleri nedeniyle maruz kalınan risk Tanım Destek hizmetleri nedeniyle maruz kalınan risk Tanım Destek hizmetleri nedeniyle maruz kalınan risk Tanım Destek hizmetleri nedeniyle maruz kalınan risk Destek hizmeti kuruluşunun örgütlenmesi, iş yapış tarzı ve uygulama usulleri Kurum un stratejik hedefleri ile tutarlı olmayabilir. Kurum un destek hizmetine yaptığı harcamadan dolayı yeterli gelir veya verim sağlamaması durumu söz konusu riskin kristalleştiği bir diğer durumdur. İşlem veya itibar riskine maruz kalınmasa bile Kurum un destek hizmeti kuruluşunun denetimini yapmak için yeterli yasal yetkiye veya süreçlerini anlamak için yeterli uzmanlığa sahip olmaması, maruz kalınan stratejik riski artırmaktadır. İtibar riski, Kurum a duyulan güvenin azalması riskidir. Destek hizmeti hakkındaki olumsuz görüşlerin oluşması Kurum un itibar riskini artırmaktadır. Zayıf hizmet, hizmetin durması, etik kurallara aykırı eylemler, yasal temsilci, vekâlet hususlarına aykırılık, kişisel bilgilerin gizliliği ilkesine uyulmaması, agresif ve yetkisiz pazarlama ve satışlar, ürün hakkında gerekli bilgilerin verilmemesi, fiyatlamada müşteri itimadına aykırı uygulamalar, uyumlu eylem (anti tröst) vb. durumlar müşteri memnuniyetsizliğine ve olumsuz kamuoyu görüşlerinin oluşmasına neden olan durumlar olarak sayılabilir. Destek hizmeti kuruluşunun verdiği hizmetlere aşırı bağımlılık sonucu Kurum un makul bir sürede sözleşmeye ve iş ilişkisine son verememesi riskidir. Kurum un çeşitli faaliyetlerini uzmanlaşmış kuruluşlara devrederek zamanla söz konusu kuruluşlara aşırı bağımlı hâle gelebilir. Diğer risklerin kristalleşmesi durumunda bile Kurum, ilgili hizmet ile ilgili teknik bilgi ve becerileri (insan kaynağını) kaybetmiş olması veya aynı hizmeti başka bir kuruluştan alması durumunda ortaya çıkacak yüksek maliyetler sebebiyle destek kuruluşu ile sözleşmesine son veremez. Sektörün destek hizmeti sağlayan belirli ve kısıtlı sayıda firmada yoğunlaşması sonucu ortaya çıkmaktadır. Pazar payı yüksek ve finansal durumu iyi bir destek hizmeti kuruluşunun sunduğu hizmetlerin kesintiye uğraması sistemik risk doğurabilmektedir. Pazarda güçlü bir konumda bulunan bir kuruluşu Kurum un denetimine tabi tutmaları güç olmakta ve maruz kalınan sözleşme riski de artmaktadır. Destek Hizmeti Alımlarına İlişkin Riskler Finansal Risk: Kurum un destek hizmetleriyle kurduğu ilişkiler, Kurum un finansal olarak olumsuz etkilenmesi riskini doğurabilir. Operasyonel Risk: Hizmet alınan firmalarla kurulan ilişkiler, Kurum un iş süreçlerinin, sistemlerinin ve çalışanlarının ve dolayısıyla da ticari faaliyetlerinin olumsuz etkilenmesi riskini doğurabilir. Uyum Riski: Destek hizmetleriyle kurulan ilişkiler; kanunlarla, düzenlemelerle, etik standartlarla ve mevzuatla uyum kurallarının ihlal edilmesi riskini doğurabilir. İş Sürekliliği Riski: Hizmet alınan firmalarla kurulan ilişkiler ticari faaliyetler ile iş süreç ve operasyonlarının sürekli olarak sunulamaması ve kesintiye uğraması riskini doğurabilir. Teknoloji ve Bilgi Güvenliği Riskleri: Organizasyonda bilgiye ve bilgi sistemlerine yetkisiz erişilmesi, kullanılması, ifşa edilmesi, bozulması, değiştirilmesi, incelenmesi, denetlenmesi, kaydedilmesi veya yok edilmesi riskini doğurabilir. Acil durumun karşı tarafa etkileri ve faaliyetlerin sona erdirilmesi

10 Müşterilere ait varlıklar, şirketimizden bağımsız olarak Saklama Kuruluşunda saklandığından, acil ve beklenmedik durum nedeniyle müşteri varlıklarının zarar görmesi yönünde herhangi bir risk öngörülmemiştir. Ancak acil ve beklenmedik durum nedeniyle müşterilerle iletişimin sağlanamaması veya müşteri talimatlarının yerine getirilememesi nedeniyle müşterilere verilen hizmetlerde kesinti yaşanabilir. Acil Durum ve İş Sürekliliği planı, acil durumlarda şirketin faaliyetlerinin minimum kesinti ve zararla devamını; müşterilerin ihtiyaçlarını karşılamaya en olumsuz koşullar altında dahi devam edebilmeyi; şirket operasyonlarının ve hizmetlerin, çalışanların güvenliğine, halkın ve çalışanların sağlığına, çevrenin ve mülkiyetin korunmasına en üstün değeri vererek yürütülmesini amaçlar. Alınan tüm bu önlemler ve kurulan altyapı sayesinde şirket faaliyetlerinin devamlılığı planlanmıştır. Ancak alınan aksiyonlara rağmen Yönetim Kurulu nca, acil ve beklenmedik durum nedeniyle şirketin faaliyetine devam edemeyeceği yönünde karar alınması durumunda, müşteriler bu durumdan haberdar edilir ve müşteri varlıklarının transferi için gerekli işlemler müşteri talimatı ile gerçekleştirilir. 3.4 Acil Eylem Planı Genel Prensipler Şirketin normal operasyonuna devamını engelleyen olayları takip eden ilk dakika ve saatlerde çalışanların, fiziksel ortamın ve altyapının güvenliğine yönelik alınacak acil tedbirleri içermektedir. Bu kapsamda aşağıdaki aksiyonları alınır. Tahliye Acil servislerin çağırılması Lokasyonun kapatılması Güvenliğinin sağlanması Hasar tespiti İlk yardım sağlanması Ulaşımın sağlanması İletişim Yangın, deprem, bomba tehdidi, kaçırılma ve terörist saldırılar, fırtına/sel/kar, halk hareketi ve iş yeri şiddeti, binaların işgal edilmesi, enerji kesintisi, posta yolu ile yapılan saldırılar gibi tehditler acil eylem planının aktive edilme nedenidir. Acil Eylem planının temel amacı Burgan Portföy Yönetimi A.Ş. nin İş Sürekliliği Plan ında belirtilmiş olan müdahaleyi gerektiren olaylarda öncelikle personelin can güvenliğini sağlayıcı tedbirleri almaktır. Tehdit unsurunun durumuna göre personelin tahliyesi sağlanır ve

11 profesyonel ilk yardım ekipleri olay yerine ulaşıncaya kadar şirket bünyesindeki temel ilk yardım malzemeleri ile gerekli olan personele ilk yardım uygulaması yapılır. Tüm şirket personeli olası durumlarda Acil Durum ve İş Sürekliliği Sorumlusunun direktiflerine uymakla sorumludurlar. Olay yerinin güvenliği sağlandıktan sonra Acil Durum ve İş Sürekliliği Sorumlusu genel bir durum değerlendirmesi yaparak günlük operasyonların olay mahalinde devam edip edemeyeceğine dair görüşünü ilgililere bildirir ve gerektiğinde Burgan Yatırım BT Acil Eylem Takımı ile koordinasyonu sağlar. Üst Yönetim gerçekleşen olayın büyüklüğünü dikkate alarak Alternatif Lokasyona gidilerek günlük işlemlere devam edilmesi yönünde karar alabilir. 3.5 Acil Eylem İşleyişi Kontrolü Acil Durum ve İş Sürekliliği Sorumlusu krize dönüşme potansiyeli bulunan olaylara müdahaleyi yönetmekle görevlidir. Bu müdahale taktik ve stratejik bir seviyede yapılır. Bu kişi tüm kararları almak ve dışarıyla olan her türlü iletişimi sağlamaktan sorumludur. Acil Durum ve İş Sürekliliği Sorumlusu Burgan Portföy ün imaj veya itibarına zarar verecek kriz durumlarının ve ölüm ya da ağır yaralanma ile sonuçlanan olayların yönetilmesinden ve Kurumsal kimliğin temsilinden sorumludur. Ana binanın kullanılmasına engel teşkil eden bir durumda veya BT sisteminde merkezi bir kesinti meydana gelmesi durumunda olayların yönetilmesinden ve operasyonların normale döndürülmesinin yönetiminden sorumludur. Acil Durum ve İş Sürekliliği Sorumlusu; Kriz anında izlenecek İş Sürekliliği Yönetimi stratejilerini onaylar. Sunulan raporlar ışığında şirketin krizden etkilendiği alanları değerlendirir, iş kurtarma aksiyonlarını takip eder; şirketin kriz öncesindeki durumuna geri dönebilmesi için stratejik seviyede kararları alır, uygulanmasını sağlar ve ilgili grupların işleyişine yön verir. Operasyonları, mali durumu, yönetim yapısı gibi ana konularda, şirket dışında yetkililere, müşterilere, hissedarlara ve diğer tüm hak sahiplerine yapılacak açıklamalara onay verir. Krize dönüşme potansiyeli bulunan ve şirketin normal operasyonuna devamını engelleyen olaylara müdahaleyi yönetir, krize yönelik stratejik yönlendirme sağlar. İş Kurtarma Planlarının devreye sokulacağı zaman ve kapsamı belirler; diğer ilgili gruplarda gerçekleştirilen çalışmalarla koordinasyonu sağlar. Muhtemel operasyonel sıkıntıları ve gereksinimleri belirleyerek çok yönlü çözüm üretir; etkilenen tüm operasyonlarla koordinasyonu sağlar. Gerekli finansal desteği koordine eder; farklı lokasyonlarda bulunan imkânların ve kaynakların kullanılmasını sağlar.

12 3.6 İş Kurtarma Planı Şirketin, müşterilere verdiği hizmetin ve yasal yükümlülüklerinin devamlılığını hedefleyen iş kurtarma faaliyetleri olağan dönemde ürün ve süreçlerin sahibi birimler tarafından yerine getirilir. Olağanüstü bir durumda şirketin tüm olağan faaliyetlerini devam ettirmesi mümkün olmadığı için kesintiye uğraması durumunda şirkete önemli finansal, müşteri, itibar ve yasal yükümlülük etkisi olağan faaliyetlerin devamlılığı hedeflenir. Bu kapsamda öncelikli ürün ve süreçlerin tespiti amacıyla şirketin tamamı ile yapılan iş etki analizlerinin sonucunda belirlenen geri kazanım öncelikleri kullanılır. Faaliyetlerin geri kazanım öncelikleri 6 ayrı zaman dilimine yayılmıştır. Geri kazanım süreçleri planın sonundaki Ek 2 mevcuttur. Yüksek öncelikli (ilk 1 gün) ve öncelikli (ilk 2 gün) olarak adlandırılmış olan faaliyetler şirket operasyonları açısından kritik olarak değerlendirilmektedir ve öncelikli olarak bu faaliyetler geri kazanılmalıdır. Bu kapsamda Portföy Yönetimi Muhasebe ve Operasyon Hazırlanan iş kurtarma planları Ek.4 te yer almaktadır. Alternatif Lokasyon (İstanbul) Burgan Portföy Yönetimi A.Ş. nin faaliyetlerinin özellikle lokasyon bazında etkilerin hissedildiği 1. ve 2. senaryoda kullanılacak bir iş kurtarma yöntemidir. Bu alternatif, mevcut lokasyonda faaliyetlerini devam ettiremeyen departmanların faaliyetlerini daha önceden belirlenmiş yine İstanbul daki diğer bir şirket lokasyonunda yürütmesi esasına dayanır. Birimlerin İstanbul içinde kullanacakları alternatif lokasyon ve bu lokasyonda gerektiğinde kullanımlarına verilecek yer ihtiyacına zaman dilimlerine göre aşağıda yer verilmiştir. İŞ BİRİMİ Portföy Yönetimi Operasyon ve Muhasebe ALTERNATİF LOKASYON Burgan Bank Hasanpaşa Lokasyonu Burgan Bank Hasanpaşa Lokasyonu Bu şekliyle kabul edilen İstanbul içi alternatif lokasyon yerleşiminin yer ihtiyacı olarak güncellenme sorumluluğu Acil Durum ve İş Sürekliliği Sorumlusu ndadır. İstanbul içindeki alternatif lokasyonda ihtiyaç duyulan altyapı, donanım, yazılım Burgan Yatırım Bilgi Teknolojileri Birimi tarafından sağlanır. Tüm BT sistemlerinin yedeklenmesine gerek bulunmamaktadır. Yedekleme Merkezi nde sadece iş birimlerinin öncelikli faaliyetlerinin yerine getirilmesi için ihtiyaç duyulan sistem ve uygulamalar yedeklenir. Bu kapsamda öncelik olarak ilk 2 gün içerisinde geri kurtarılması gereken süreç ve ürünleri destekleyen sistem ve uygulamalar yedekleme maliyeti de dikkate alınarak yedeklenecektir. Diğer sistemlerin yedeklenmemesi öngörülmüş olmakla birlikte

13 maliyet ve ihtiyaçlar dikkate alındığında Genel Müdür tarafından yedeklenmesine karar verilebilir. Yedekleme merkezinde yedeklenen sistem ve uygulamalara aşağıda yer verilmiştir. Olağanüstü Durum Merkezinde internet erişimi bulunduğu için internet üzerinden erişim sağlanan uygulamalar yedeklenen ürünler olarak değerlendirilmiş ve tabloda bu çerçevede yer almıştır. Sistem Geri Kazanım Önceliği Yedekleme Merkezi 1 Outlook Çok Acil Yedekli (Internet) 2 MS-Office Çok Acil Yedekli 3 GTP - PMS Çok Acil PMS Projelendirilecek 4 Takas Makinesi, Bağlantı ve Şifreleri Çok Acil Yedekli 5 Exapi FIX -Api Çok Acil Projelendirilecek 6 Reuters Çok Acil Yedekli (Internet) 7 Internet Önemli Yedekli 8 ATP Yat Fon Normal Projelendirilecek E Beyanname Düzen. Prog. Ve Maliye 9 Sistemine kaydedilmesi Normal Projelendirilecek 10 Euroline Düşük Yedeksiz 11 Forex Önemsiz Yedeksiz 12 Matrix Çok acil Yedekli (Internet) 13 Tahvil Bono Ekranı (OTAS) Önemli Projelendirilecek İş Kurtarma Süreci Personelin bu süreçte üstlenecekleri genel sorumluluklar ve zaman dilimleri itibariyle yürütmeleri gereken faaliyetler şöyledir; Üst Yönetim den olay bilgisi alır. Departmanın acil ihtiyaçlarının belirlenmesini sağlar. Önümüzdeki 3 gün için bilinen günlük katılımları değerlendirir. İş Kurtarma önceliklerini gözden geçirir. Hazır olduğunu bildirince, Olağanüstü Durum Merkezine taşınma planı yapar. İş Kurtarma Lokasyonunda bulunması gereken çalışanları yer ve zaman belirterek bilgilendirir. Belirleyeceği hasar analiz ekibi aracılığıyla hasarın boyutu, kritik doküman ve kayıtların kaybı, IT donanımı kaybı, mal/doküman kurtarma veya kaynakların onarılması konularında tavsiyeler alır.