İş Sürekliliği Kritik Başarı Faktörleri

Üst Yönetim Desteği
İş sürekliliği çalışmaları için en yüksek seviyede yönetim onayı ve desteğinin alınması şarttır. Gerçekleştirilen çalışmalar ile ilgili yönetim onayı alınması, çalışmaların kurum çapında kolay kabul edilmesini sağlayacaktır. BS 25999 standardı üst yönetimin iş sürekliliği sürecine katılımının İSYS’nin doğru olarak anlaşılması, desteklenmesi ve organizasyon kültürüne adaptasyonu için anahtar bir adım olduğunu belirtmektedir. Üst yönetim desteği sadece politika ve benzeri dokümantasyonun onaylanması biçiminde olmamalıdır. Çalışmaların gözden geçirildiği toplantılara katılmak, tatbikat sonuçlarını incelemek, bazı bilgilendirme notlarının veya çalışma sonuçlarının bizzat yönetim tarafından bildirilmesi konunun öneminin anlaşılması açısından faydalı olacaktır. Üst yönetim desteği ayrıca gerekli iş gücünün ayrılması, ihtiyaç duyulan bütçenin tahsis edilmesi gibi konular içinde oldukça önemlidir.

Stratejik İş Planın Parçası Olma
İş sürekliliği kurumun stratejik hedefleri için önemli bir çalışmadır. Kurumun işlevini devam ettirmesi veya yasal yükümlülüklerini yerine getirebilmesi için her zaman güncel ve ihtiyaca yanıt verebilir durumda olmalıdır. İş sürekliliğinin stratejik iş hedeflerine uygun olarak geliştirilmediği veya stratejik hedeflerde gerçekleştirilen değişikliklere uygun olarak gerekli çalışmaların yapılmadığı durumda iş süreçlerinde kesintiler yaşanması kaçınılmazdır. Örnek olarak bir yıl sonrasında satışlarını %30 arttırmayı hedefleyen bir firma düşünelim. Bu hedefi gerçekleştirmek için bilgi teknolojileri altyapısında da gerekli değişiklikler yapılacaktır. Bu değişiklikler sırasında iş sürekliliği planın ve ilgili dokümantasyonun, ayrıca felaketten kurtarma merkezinin bu hedefe uygun olarak değiştirilmesi gereklidir.

İş Sürekliliği Koordinasyonu
İş sürekliliği çalışmaları bir grubun veya bir kişinin tek başına yerine getirebileceği bir faaliyet değildir. Kurumun birçok bölümünün içinde bulunduğu ve kişilerin farklı görevler aldığı bir çalışmadır. Son kullanıcının dahi bilmesi ve yapması gereken işler vardır. Bazı kurumlarda iş sürekliliğinin yönetimi için ayrı gruplar kurulmuştur. İş sürekliliği yönetim sisteminin kurum içinde yaşayabilmesi için gerekli personel gücünün ve koordinasyonun sağlanması iş sürekliliğinin olağan üstü durumlarda beklenen faydayı sağlaması için kritik adımlardan birisidir. İş sürekliliği çalışmaları kapsamında en üst yönetimden son kullanıcıya kadar düşen görevler vardır. Bu detayda bir kurum kültürü oluşturulmadıkça sürecin işletilmesi zordur.

Risk Analizi ve İş Etki Analizi
İş sürekliliği, iş etki analizi ismi verilen çalışmanın çıktıları üzerine inşa edildiği için en kritik başarı faktörlerinden biridir. İş etki analizinin doğru yapılması İSYS’nin sağlam temeller üzerine oturmasını sağlayacaktır. Bu sebeple kurumun ilgili bölümlerinden faaliyetlere hakim kişilerin çalışmalarda yer alması gereklidir. İş etki analizi / risk analizi takımında yer alacak personelin üst yönetim tarafından seçilmesi yönetimin konuya verdiği önemin anlaşılması açısından son derece önemlidir. Bu çalışma sonunda kurum süreçlerinin kritikliği, süreçler için hedeflenen kurtarma süreleri (RTO) ve maksimum kabul edilebilir kesinti süreleri (MTPoD) belirlenmektedir. Bu çalışma sırasında ayrıca risk analizi kullanılarak süreçlerde kesintiye neden olabilecek riskler belirlenmektedir. İş süreçlerinin öneminin ve süreçlerde kesintiye neden olabilecek olayların belirlenmesi uygulanacak karşı önlemlerin seçilmesi için son derece kritiktir. İş etki analizi ve risk analizi çalışmasının doğru yapılması iş sürekliliğinin başarıya ulaşmasında üst yönetim desteği kadar önemli bir başarı faktörüdür.

Yeterli Bütçe Ayrılması
İSYS’nin hem kurulumu hem de daha sonra işletimi sırasında bir takım giderleri vardır. Kurulması sırasında danışmanlık, eğitim ve benzeri hizmetlerin satın alınması, işletme içinde gerekli insan kaynağının sağlanması bu giderlere örnektir. Yönetim sisteminin kurulumu sonrasında ise gerçekleştirilecek tatbikatlar, periyodik gözden geçirmeler, kurum içi bilgilendirme faaliyetleri, süreçlerdeki değişikliklerden sonra hazırlanacak dokümanlar ve benzeri çalışmalar vardır. Ayrıca iş etki analizi ve risk analizi çalışmalarının sonunda uygulanacak kontrollere karar verilmektedir. Kontrollerin yerine getirilmesi için yapılacak çalışmaların bazılarının maliyeti çok düşük olabileceği gibi gerektiğinde felaketten kurtarma merkezi kurulumu gibi yüksek maliyetli çalışmaların yapılması da gerekebilir. Bu sebeple iş etki analizinde belirlenen kabul edilebilir kesinti sürelerinin sağlanması için gerekli bütçenin ayrılması veya planlanması oldukça önemlidir.

Yeterli Bilgi Teknolojileri Altyapısı
Günümüzün iş gereklilikleri nedeni ile birçok iş sürecinin BT bağımlılığı yüksektir. Bilgi teknolojileri altyapısının süreklilik ihtiyaçlarına uygun olması süreklilik ihtiyaçlarının karşılanması için büyük öneme sahiptir. Sunucuların, haberleşme hatlarının, enerji altyapısının yedekli yapıda çalışması BT’nin sürekli hizmet verebilmesi için gereklidir. Bunlara ek olarak ana merkezde bulunan verinin felaketten kurtarma merkezine gönderilmesi gereklidir. Bu işlemleri gerçekleştirecek altyapıya sahip olmadan olağan üstü bir durumda kabul edilebilir kesinti sürelerini sağlamak oldukça güçtür.

Dokümantasyon
Her yönetim sisteminde olduğu gibi İSYS içinde dokümantasyon çok önemlidir. İş sürekliliği planın, olağan üstü durum yönetim planın ve bu planlarla ilgili diğer talimat ve prosedürlerin hazır ve güncel olması gereklidir. Dokümanların hazır olması yanında ilgili kişilere dağıtımı da yapılmalıdır. Dokümantasyonun hazırlanması aşamasında sadelik ve kolay uygulanabilirlik çok önemlidir.


Periyodik tatbikatlar
Olağanüstü durumlara her an hazır olabilmek için senaryolar üretilmeli ve tatbikatı yapılmalıdır. Tatbikatlar sonucunda kurulmuş olan yönetim sisteminin eksikliklerini tespit etmek mümkündür. İş sürekliliği planının ve ilgili diğer dokümanların, çalışma kapsamında görev alan personelin bilgi seviyesinin, teknolojik altyapının varsa eksiklikleri bu şekilde tespit edilebilir. Tatbikatlar, dokümantasyonun gözden geçirilmesi, planın bir parçasının test edilmesi veya planın tamamının test edilmesi gibi farklı türlere sahiptir. Her bir tatbikat türü için senelik olarak tatbikat planlarının hazırlanması ve tatbikatların yapılması kurumun olası bir acil durum senaryosu için hazır olmasını sağlamaktadır.

Eğitim ve bilinçlendirme
İş sürekliliği çalışmalarının benimsenmesi için kurum çalışanlarına ve iş sürekliliği organizasyonunda bulunan takımlara eğitim verilmelidir. Kurum çapında benimsenmemiş ve gerekli eğitim çalışmaları yapılmamış iş sürekliliği planlarının başarıya ulaşma olasılığı düşüktür. İş sürekliliği planı içerisinde eğitim konusunda izlenecek yöntemler (anket, sınıf eğitimi, sınav vb.) belirlenmeli ve plan içerisinde yer almalıdır. Eğitim faaliyetlerini yürütmek üzere bir takım kurulması ve gereken zamanlarda eğitim işlerini organize etmesi faydalı olacaktır. Kurum çapında yapılacak iş sürekliliği bilgilendirmesi senede bir defadan az olmamalıdır.

Plan bakım ve güncelleme
İSYS kurumun kritik süreçlerinin devamlılığını sağlamak üzere vardır. Bu nedenle kurumun süreçlerinde meydana gelen değişiklikler iş sürekliliği planını doğrudan etkilemektedir. Süreç değişikliklerinin plan güncellemesi gerektirdiği hiçbir zaman göz ardı edilmemelidir. Zaman içerisinde meydana gelen değişikliklerin iş sürekliliği planına aktarılması için periyodik gözden geçirmeler yapılmalı ve güncelleme ihtiyacı tespit edilmelidir. Tatbikat sonuçları genellikle plan güncellemesi gerektirmektedir. İş sürekliliği kapsamında yapılması gereken değişiklikler her zaman doküman değişiklikleri olmak zorunda değildir. Kurumun süreçlerinin kritiklik seviyesinin değişmesi nedeni ile hizmet veren sunucuların öncelikleri dolayısıyla da alınması gereken önlemler değişebilir. Bu nedenle bazı durumlarda yeni yatırım gereksinimi ortaya çıkabilir. Sistem değişikliği olması durumunda bütçe ve zaman planının hazırlanması gerekir.