Ġġ SÜREKLĠLĠĞĠ PLANLAMA METODOLOJĠSĠ Didem ESEN ÖZET İş sürekliliği planlaması, bir kuruluşun sahip olduğu varlıkları herhangi bir felaket anında korumasını amaçlayan ve işletmenin, müşterilerine, kendisinden mal alanlara ve diğer iş ortaklarına her ne olursa olsun, kabul edilebilir bir seviyede hizmet vermeye devam etmesini sağlayabilmek için yürütmesi gereken bir süreçtir. Bu çalışmada üç adımdan oluşan İş Sürekliliği Planlaması metodolojisi tanıtılarak, bu metodolojinin başarıyla uygulanabilmesi ve sonuç alabilmesi için önerilerde bulunulmaktadır. ĠĢ Sürekliliği Planlaması Nedir? İş sürekliliği planlaması, bir kuruluşun sahip olduğu aşağıda belirtilen varlıkları herhangi bir felaket anında korumasını amaçlayan ve işletmenin, müşterilerine, kendisinden mal alanlara ve diğer iş ortaklarına her ne olursa olsun, kabul edilebilir bir seviyede hizmet vermeye devam etmesini sağlayabilmek için yürütmesi gereken bir süreçtir. İşletmenin görevini yapabilme gücü, Faaliyetine devam edebilme gücü, Şöhreti, imajı, Müşteri portföyü, Pazar payı, Karlılığı İş Sürekliliği Planlaması şöyle tarif edilebilir; İş hacmini, kabul edilebilir bir seviyede tutmak için gerekli olan iş süreçlerini ve kaynakları tanımlamak ve muhafaza etmek; işlerin kötüye gittiği zamanlarda, kaynakları korumak ve kuruluşun ayakta kalmasını güvenlik altına almak için bir takım prosedürler oluşturmak. (System Management Methodology-Disaster Contingency Planning,1992, Price Waterhouse) İş sürekliliği planı teknik bir plandan çok yönetim planıdır. Dolayısıyla, beklenmedik olaylara karşı, planlama yapılırken öncelikle organizasyonun ve işletme faaliyetlerini destekleyen araçların tanımlanması, bu tip araçların kayba uğraması halinde ortaya çıkacak etkilerin değerlendirilmesi, kriz durumunu kimin yöneteceği ve bu yönetimin nasıl yapılacağı hususlarının açıklığa kavuşması gerekir. Bugünkü iş ortamında, bir kuruluşun, işler normal seyri içinde yürürken, bir krizle karşılaşması halinde neler yapması gerektiğini muhakkak bilmesi gerekir. Zira küçük, büyük veya katastrofik felaketler, bir işletmeye çok ciddi kayıplar getirebilir. Felaketten kurtulma ve işletme sürekliliğinin sağlanması bu amaçla hazırlanacak bir İş Sürekliliği Planı ile mümkündür. Info Security dergisinde yayınlanan bir makalede etkin iş sürekliliği planlarının, kayıpları %90 oranında azalttığını belirtiyor. Bunun yanı sıra olağanüstü bir durum yaşamış firmaların her beş tanesinden ikisinin faaliyetlerini sürdüremediği, sürdürebilenlerden üç tanesinden birinin iki yılsonunda faaliyetini durdurduğu Gartner in yapmış olduğu araştırma sonucunda belirlenmiş.
Internet in yapısından kaynaklanan güvenlik riskleri ve hat bağlantılarındaki aksamalar bir yana, deprem, yangın, fırtına, sel, bombalama, sabotaj, donanım veya yazılım hatası, elektrik ve telekomünikasyon kesintisi, bir makine duruşu, nakliye aracının kaza görmesi, insani hatalar, sistemlerde meydana gelebilecek performans sorunları gibi önceden tahmin edilebilen veya edilemeyen iç veya dış faktörler sonucu hasara uğrama ve ciddi bir felaketle karşılaşma ihtimali, tüm kurumlar için dikkate alınması gereken bir risk. Bu nedenle olağanüstü bir duruma karşı hazırlıklı olmak ve organize hareket etmeyi planlamak büyük önem taşımaktadır. Meydana gelme olasılığı düşük olmakla birlikte gerek maddi boyutu, gerekse organizasyonların imaj ve itibarı göz önüne alındığında, olası kayıp ve etkisi yıkıcı boyutlarda olabilecek, acil ve beklenmedik bir duruma karşı iş sürekliliği planlamasının önemli bir gereklilik olduğu görülüyor. Etkili bir İş Sürekliliği Planı bulunmadığı hallerde, aşağıdaki riskler ve durumlarla karşılaşılabilinir; Mevcut müşterilere hizmet vermeyi imkânsız hale getiren iş kesintilerinin meydana gelmesi. Bu yüzden müşteri kaybı, itibar kaybı, rekabet gücünün kaybı. Alacakların takip edilememesi, geç ödemelerden kaynaklanan cezalar, kaçırılan indirim olanakları, hesap bakiyelerinin güncel hale getirilememesi, kaybedilmiş veya kayıt dışı kalmış satışlar. Anlaşmalarla tespit edilmiş hukuki sorumlulukların yerine getirilememesi. Tamamen faaliyet dışı kalmak. Kurumların Ciddi bir felakete uğraması durumunda sigorta önemli bir seçenek olmakla birlikte genel olarak bina ve ekipman gibi fiziki varlıklara yönelik olması, ödemede yaşanabilecek aksaklıklar ve iş süreçlerinde yaşanabilecek kesintinin gerçek anlamdaki maliyetinin bilinememesi gibi nedenlerle felaketlerin telafisinde tam bir alternatif olmaktan uzaktır. Oysa İş Sürekliliği Planlaması ile, kurumların; mevcut durumlarını analiz ederek, Olası felaketleri engelleyebilmesi Felaketlere hızlı ve doğru karşılık vermesi Varlıklarını ve nakit akışını koruması Kesinti süresini en aza indirerek normal operasyonlara dönüşün sağlanması mümkün olacaktır. ĠĢletme ve Bağımlılıkları Kuruluşların çoğu, yaşamlarını sürdürebilmek için birden fazla tesis ve fonksiyona bağımlı durumdadırlar. Bunlar; genel merkez, üretim tesisi, bilgi işlem veya telekomünikasyon, çağrı merkezi, yazılım veya mali sistemler gibi örneklenebilir ve işletmeler bu fonksiyonlar olmazsa çalışamazlar Genellikle bilgisayarlar, afet kurtarma planlarının odak noktasını teşkil eder ancak şunu da unutmamak gerekir, depo tamamen yok olmuşsa stok kontrol sistemini yeniden inşa etmenin faydası olmayacaktır. Yine yazılım problemleri dolayısıyla elektronik satış sistemine girilemiyorsa, donanım problemlerini çözmeye çalışmak fayda sağlamayacaktır.
Bir mamul veya hizmetin müşteriye ulaştırılabilmesi, zincirleme birçok işlemlerin yapılmasına yani iş sürecine bağlıdır. İş akışı, departmanlar arasında, iş süreçlerine uygun bir şekilde düzenlenir ve uygulanır. Bütün bu faaliyetler bilgi akışı sayesinde yönlendirilir. Her işletme organizasyonunda daima üç unsur bulunur; İş Süreci Mamullerin ve/veya hizmetlerin müşterilere ulaşma şekli (birbiri ardışık yürütülen işlemler) İşi Yürütenler İş sürecinin gerçekleşmesinde yer alanlar (gerekli bilgi ve beceriye sahip insan kaynağı) Altyapı ve kaynaklar İş süreci içerisinde kullanılanlar (lojistik kaynaklar, tesisler, büro alt yapısı, bilişim teknolojisi veya mali kaynaklar gibi) Organizasyonun bu elemanları, bilgi akışı sayesinde birbirine bağlanırlar. İşletme faaliyetlerinin ve bilgi akışının yüksek seviyede entegre olması sebebi ile bunları birbirinden ayrı tutmaya olanak yoktur. Bu elemanlar, hep birlikte işletme faaliyetlerini gerçekleştirirler. Aynı şekilde bir felaket sonrasında, işi yeniden başlatabilmek için, yine bu elemanları birbirinden ayrı tutamazsınız. Mesela işletme içindeki bağımlılıkları göz ardı ederek sadece IT üzerinde durursanız veya işletmenin sadece bir fonksiyonunu ele alırsanız, işletmeyi bütünü ile ayağa kaldırmayı başaramazsınız. İşletmeler günden güne, verimliliklerini arttırmak ve kuruluşun değerini yükseltmek amacıyla çalışmalarını, kendilerine pazarda farklılık yaratacak ana faaliyetleri üzerine yoğunlaştırmakta, yürütülmesi gereken destek fonksiyonları da başka kuruluşlarla ortaklık kurarak veya dış kaynaklı hale getirerek yürütmektedirler. Böylece, mamul veya hizmetin müşteriye ulaşması işi sadece işletme sınırları içinde kalmayıp işletme dışına da taşmaktadır. Bu durumda iş sürecini, genişletilmiş kapsamı içinde değerlendirmek gerekir. Bu da karşımıza extended enterprise kavramını yani kurumun direkt kontrolü altında olmayan bazı fonksiyonlara bağımlı olduğunu ve bu fonksiyonlardan birinin kuruma hizmet veremeyecek duruma düşmesi halinde bile bunun sonuçlarını halletmenin kurumun sorumluluğu altında olduğu sonucunu getirmektedir. Bu tür dış bağımlılıklar, bir tedarik zinciri içinde faaliyet gösteren bütün şirketler için çok kritik bir durumdur. ĠĢ Sürekliliği Planlama Metodolojisi İş Sürekliliği Planlaması üç aşamadan oluşmaktadır. 1- Değerlendirme: İşletmenizin cari durumu, işletme sürekliliği planlaması açısından değerlendiriniz. İşletmeniz, aynı iş kolundaki başka işletmeler ile kıyaslandığında durumu nedir? Maruz kaldığı özel tehlikeler, kritik veya zayıf noktalar var mıdır? Bunlar işletmeyi daha da dayanıksız hale getirmekte midir? Eğer, faaliyetlerde büyük bir kesinti olursa ne kadar süre içinde işiniz sıkıntı çekmeye başlar? İş faaliyetlerinin hangileri en duyarlı ve en zayıf niteliktedir? Bunlar için ne yapabiliriz? Önünüzdeki seçeneklerin maliyetleri ve işletme üzerindeki etkileri neler olabilir? Realist seçenekler nelerdir? Hangi seçenekler uygulanmalıdır ve neden? 2- Uygulama: İşletmeniz için seçtiğiniz çözümü uygulayınız. İhtiyaç duyulan yeni tesisler için hazırlık yapınız; güvenliği ve korumayı geliştiriniz; felaketle
mücadelenizde size yardımcı olacak kuruluşlarla anlaşmalar imzalayınız; uygulanacak yeni yöntemleri dokümante ediniz; personelinizi bu prosedürlere göre eğitiniz; işletmenizin bir felaket karşısında nasıl davranacağını muğlâk olmayan, açık bir şekilde yazılı olarak dokümante ediniz; seçimin kesin ve işlerliği olması gerekir. 3- Yönetim: Tüm sürece ve yeni yönteme o şekilde bir yön veriniz ki gelecekte işlerliğini kaybetmesin hatta geçersiz kalmasın. Birçok işletmede daha değerlendirme safhasında havlu atılmaktadır. Zira işletme sürekliliği planlaması ve onunla bağlantılı muhtelif konular üzerinde düşündükçe olaylar daha da korkutucu ve zor görünmeye başlamaktadır. İşletme sürekliliği çok geniş bir sahayı kapsayan, enteresan bir konudur. Ancak, tıpkı kartopu gibi ittikçe büyür ve her an yepyeni yönler, güçlükler ve sorunlarla karşılaşılır. 1. Değerlendirme Safhası İşletme sürekliliği değerlendirmesi, projeye adım atılması ve yönetimi ile başlamakta ve işletme sürekliliği stratejisi geliştirilmesi ile devam etmektedir. Konunun ana safhaları Şekil 1 de gösterilmiştir. ĠĢletme Sürekliliği Değerlendirmesi Proje Başlangıcı ve Yönetimi Risk Değerlendirmesi ve Kontrolü Risk Azaltma Tedbirleri ĠĢletme Data Merkezi İşletme Etkilenme Analizi Kritik Fonksiyonlar Kaynak İhtiyaçları Üretim Plan Şablonları Ekip Yapısı Plan Yapısı Bilgi Girdileri İşletme Sürekliliği Stratejileri Geliştirilmesi Şekil 1 - Değerlendirme Safhası Projenin Başlatılması ve Yönetimi İşletme sürekliliği planlaması sadece bir seferlik bir proje değildir. İşletmenizin içinde faaliyet gösterdiği iş ortamı ve dayandığı teknoloji, korkunç bir süratle değişikliklere uğramaktadır, bu yüzden planların da değerlemelere ve güncelleştirmelere ihtiyacı vardır. Kısaca önümüzde dikkatli bir şekilde planlanması ve icra edilmesi gereken bir proje vardır. Bu proje işletme içinde bilinç düzeyinin yükseltilmesini ve tutumların değiştirilmesini içermektedir.
Proje birçok değerli kaynağın, belirli bir süre boyunca, kendisine tahsis edilmesini ve yönetimin de açık ve kesin olarak projeye bağlı kalmasını gerektirmektedir. Bu aşama, mevcut işletme sürekliliği ve felaketten kurtarma düzenlemelerinin denetlenmesi hususunu da kapsamalıdır. Bu aşamanın sonunda yürütülecek işletme sürekliliği planlama görevi için detaylı bir proje planı ortaya konmalıdır. Projenin ana hedeflerine aşağıdaki hususlar dahil olmalıdır: İşletme içinde farkındalık yaratmalıdır. Görev alacak kişiler belirlenmelidir. Konuya uygun sorular hazırlanmalıdır. Yeni görüşme programları hazırlanmalıdır. Araştırma ve denetimler yürütülmelidir. Yönetime rapor verilmelidir. Proje planı ortaya konulmalıdır. İş Etkilenme Analizi İş Etkilenme Analizi, tüm işletme sürekliliği uygulamasının belkemiğini teşkil eder. İş etkilenme analizinin birinci hedefi, işletmenin bugünkü yaşamının devamı için gerekli olan fonksiyonların tanımlanmasıdır. Uygulamada genellikle bu aşama, risk yönetiminden sonra gelmektedir. Ancak işletmemizin kritik fonksiyonlarını öğrendikten sonra maruz kalabileceğimiz ve kaldığımız dış ve iç riskleri göz önüne almak daha doğru olacaktır. Öncelikle hangi fonksiyonların bizim için büyük önem taşıdığını öğrendikten sonra daha derin araştırmaya girişebiliriz. Analiz, gerek ana sahadaki gerekse diğer sahalardaki etkileri kapsamalı ve bu fonksiyonların yerine getirilememesi durumunda ne zaman kritik duruma düşecekleri bir takvime bağlanarak gösterilmelidir. Risk Değerlendirmesi ve Kontrolü Risk değerlendirmesi ve kontrolü, organizasyonun karşı karşıya bulunduğu tüm riskleri değerlendirmek suretiyle belli başlı tehditleri ve açık tehlikeleri ele almaktadır. Hedef, açıkça belirli riskleri azaltmak ve etkilerini hafifletmek için uygulanabilirliği olan tedbirleri, maliyetlerini de göz önünde tutarak belirlemelidir. İş Sürekliliği Stratejisinin Geliştirilmesi Risk değerlendirmesi, kontrolü ve iş etkilenme analizi aşamaları tamamlandıktan sonra, sonraki aşama, işletme sürekliliği stratejilerini geliştirmektir. Bu stratejiler, önemli olayların gerektirdiği başarılı mücadele yöntemlerini tespit edecektir. Bu stratejiler, işletmenin ve aktiflerinin değerleri ile kritik işletme fonksiyonlarının sürekliliğinin sağlanması için gereken maliyeti mukayese ederek dengede tutmalıdır. Aşağıdaki sorulara verilecek cevaplar bu stratejilerin temelini teşkil edecektir: Her şeyden önce, felaketin meydana gelmesi riskini azaltmak için ne yapabiliriz? Bizim asgari ihtiyaçlarımız kesin olarak nelerdir ve bunlara ne kadar süratle erişebiliriz? İstenilen şeyleri daha büyük süratle elde etmek için daha büyük masraflara katlanmanın gerekebileceğini göz önünde tutarak ne kadar para harcayabiliriz?
İşletme faaliyetlerini çeşitli sebeplerle durdurma tehlikesi yaratan durumların değerlendirerek, bu değerlerin, kurtarma alternatifleri, riski azaltma ve sigortalama maliyetleri ile karşılaştırılması gerekir. Bu aşamanın sonuna gelmeden daha birçok konuya değinmek gerekecektir: Kurtarma ekibinin yapısının ve her bir ekip üyesinin ve departmanın görev ve sorumluluklarının tespiti Tüm planın başına bir plan koordinatörü tayin edilmesi Münferit planların ortaya konmasını yönetecek olan yöneticilerin tayini aralarında uyum ve koordinasyon sağlanması Kurtarmanın yürütülüp yönetilebileceği üslerin bulunacağı yerleşkelerin tespiti. Buna kumanda merkezleri, geçici büro sahaları ve bilgisayar desteği verecek yerler dâhildir. Yeniden yerleşmenin süresini tayin eden zamanlamanın yapılması Bu planları destekleyecek olan ekiplerin asgari kaynak ihtiyacının tespiti. 2. Uygulama Safhası Şekil 2. de gösterildiği gibi uygulama safhası şu aşamalardan oluşmaktadır; kurtarma tesislerinin görevlendirilmesi, gerekli sigorta kapsamının müzakeresi, risk azaltma tedbirlerinin teşvik edilmesi, işletmenin tekrar faaliyete geçmesi ve afetten kurtulma prosedürlerinin yazılı hale getirilmesi, bir tatbikat ve süreklilik programının uygulanması, tatbikatlar yapılması, işletmenizin süreklilik yeteneğini devamlı olarak geliştirici revizyonların yapılması için gerekli esasların tespiti. Plan Yapısı Yazılı Planlar Sürekli Gelişme Farkındalık ve Eğitim Acil Duruma Tepki İşe Yeniden Başlama Afet Kurtarma Süreklilik Stratejisi Uygulaması, Sigorta ve Risk Azaltma Süreklilik ve Tatbikatlar Bilgi Derleme Şekil 2 - Uygulama Safhası
Süreklilik Stratejisinin Uygulanması Bu aşamada kurtarma tesisleri, fiili yerleşim yerleri, bilgisayar v.b. teçhizat, iletişim ve büro alt yapısı devreye sokularak; sigorta teminatları ile ilgili hususlar sonuçlandırılacak ve risk azaltıcı tedbirler yerli yerine oturtulacaktır. Yazılı Bir Planın Ortaya Konup Uygulanması Yazılı bir planın ortaya çıkarılmasında iki ana aşama vardır: ilk iş büyük bir olay olduğunda ekipler için, kuruluşun kurtarılması ile ilgili plan ve taslakların yaratılmasıdır. İkinci olarak da gerekli bilgileri toplayarak bunları bir felaketi takiben yapılacakları kesin ve açık bir şekilde yazılı planların içine dâhil etmektir. Bu işlem olayın işletme üzerinde yaptığı etkinin nasıl belirleneceği ile birlikte halen yürürlükteki işlemlerin ve olaylar sırasında kaybedilmiş olan işlemlerin kurtarılması için ne gibi adımların atılacağı konusunu da kapsamalıdır. Departman personeli planların yazılmasına katılmalıdır çünkü ihtiyaç duyulduğunda bu planları uygulamaya koyacak olanlar onlardır. Yazılı planlarda şu hususlar bulunmalıdır: Bir afeti takiben yapılacak işleri belirleyen Acil Eylemler, İş Etkilenme Analizi esasında tespit edilmiş bulunan, işletmeye ait önemli faaliyetlerin, tekrar nasıl işlerliğine kavuşacağını kesin ve açık bir şekilde ortaya koyan bir İyileştirme Planının hazırlanması, Teknik altyapının ve büro altyapısının, iş faaliyetlerine destek vermek üzere tekrar nasıl kurulacağını tam ve açık bir şekilde izah eden Kurtarma Planlarının yapılması, Planların Sürekliliğinin Sağlanması ve Denemeye Tabi Tutulmaları Süreç, planın yazılması ile sona ermektedir. Planın güncelliğinin korunması ve amaca uygun olduğundan emin olmak için bazı tatbikatlar yapılarak denenmeleri gerekmektedir. İhtiyaç duyulduğunda planın işleyip işlemediğini anlamanın tek yolu denemeye tabi tutmaktır. Dolayısı ile mevcut planların uygulamaları ve sürekliliğin sağlanması ile ilgili bir strateji yaratılması da üzerinde durulacak bir konudur. Bu aşama süresince planların ve bunlara destek veren dokümanların doğruluğu ve eksiksiz oldukları kontrol edilmiş olur. Ekiplerde ve departmanlarda çalışan personelin tatbikatlara tabi tutulması kurtarma noktalarında uygulayacakları plan ve prosedürler üzerinde aşinalık kazanmalarını sağlar ve bilinçlenmelerini güçlendirir. Aynı şekilde bu personelin görev yüklenecekleri nokta, kullanılacak araç gereçler ve tesislerde yeterlilik açısından değerlendirilmiş olur. 3. Sürecin Koordine Edilmesi ve Yönetilmesi Eğer bir kuruluş başarılı bir işletme sürekliliği yeteneği geliştirmek ve onu başarı ile yürütmek istiyorsa, üst yönetimin bu sürece çok açık bir şekilde gönül ve destek vermesi işin temelini teşkil eder. Planların ve prosedürlerin etkili bir şekilde işlemesi, bunların tüm işletmece olduğu kadar bireysel olarak da sahiplenilmelerine bağlıdır. Yukarıda açıklanan, iş sürekliliği planlama sürecinin tümünü, başından sonuna kadar koordine etme ve yönetme sorumluluğunu yüklenecek bir plan koordinatörüne ihtiyaç vardır. Bu plan koordinatörünün, üst yönetimin desteğine, gözle görülür bir şekilde, sahip olması ve işleri yürütebilmesi için yetkilendirilmesi zorunludur.
Birçok işletme yukarıda açıklanan metodolojiyi benimseyerek, gerçek bir iş sürekliliği yeteneği elde etme yolunda başarılı olmuşlardır. Bunlardan birçoğu, felaketlerle karşılaşmışlar ve zarara uğramadan kurtulmuşlardır. Oxford Üniversitesi tarafından yapılan bir araştırma, bir felaketle başarılı bir şekilde mücadeleyi başarmış olan kuruluşların, afetten sonra, daha da güçlü olarak ayakta kaldıklarını göstermektedir. Bunun yanı sıra, birçok şirket de bu metodolojiyi uygulamaya çalıştığı halde, maalesef başarısız olmuşlardır. Hatta değerlendirme safhasını dahi aşamamışlardır. Başarısızlığın en yaygın sebebi, şüphesiz ki, yönetimin konuya kendisini gerçekten vermemiş olmasıdır. Oysa yönetimin desteğini alıp, başarıya ulaşmak ve gerçek bir ilerleme sağlamanın bir yolu vardır. Yazılı bir planı ortaya koymak için gerekli olan zaman önemli bir problemdir. Eğer metodoloji tam bir sadakatle uygulanır ve kaynaklar tahsis edilirse, ilk plan yaklaşık yedi ay sonra ortaya çıkabilir. Ancak genellikle üst yöneticilerin inisiyatifi elinde tutanlara destek vermek hususunda gösterdikleri zafiyet, projenin aylarca gecikmesine sebep olmaktadır. Bu sırada yönetim, planı birkaç hafta içinde hazırlamanızı beklediği için hayal kırıklığına uğramaktadır. Muhtemelen yönetim, kendilerinden ne beklenildiğini hala kavramamışlardır. Hiç biri, işletme birimleri için, yapılması gereken planın nasıl bir şey olduğunu bilmemektedir ve çoğu gelecek on yıl içinde bir plan çıkacağına inanmamaktadır. Çözüm kolaydır. Projeyi aşamalara bölerek, işe başladıktan sonra bir ay içinde temaslar sonucu sağlanan temel bilgileri ve kaynaklara ait verileri süratle derleyerek taslak planları hazırlamak, yöneticilerin önüne genelde olsa işin ciddiyetini gösteren bir rapor koyarak farkındalıklarını arttırmak mümkündür. Bu taslak sayesinde, yöneticiler kendi sorumluluklarının farkına varabileceklerdir. Referanslar İşletme Sürekliliği Yönetimi Andrew Hiles / Peter Barnes İş Sürekliliği Stratejisi Mike O Hehir İşletme Sürekliliği Metodolojisi - Malcolm Cordish