İş Sürekliliği Yönetimi (en az) 3 bacaklıdır...

İş Sürekliliği Yönetimi (İSY) çalışmaları genelde mutlaka 2 alanı kapsar: BT Felaket Kurtarma - yani kritik BT fonksiyonlarının sürekliliği - ve İş Sürekliliği - yani kritik iş fonksiyonlarının sürekliliği. Ancak birçok İSY çalışmasında atlanan ya da gerekli özen gösterilmeyen üçüncü bir alan daha vardır: Kriz Yönetimi

Kriz Yönetimi, birçok firmada aslında gerçekten çok hafife alınmaktadır. Özellikle Türk firmalarında, "işte nolcak, patronu çağırırız o ne derse onu yaparız, kriz yönetimimiz budur" tarzında çok fazla örneğe rastlayabilmekteyiz. Ancak Kriz Yönetimi, iletişim yöntemleri, eskalasyon mekanizmaları ve stratejik karar verme gibi daha birçok konuyu içinde barındırmaktadır.

İSY'nin diğer tüm alanları gibi Kriz Yönetimi de tatbikat ve testler ile düzenli olarak gerçeğe en yakın şekilde simule edilmelidir. Kriz Yönetimi'nin temeli kurum yönetiminin krizle nasıl başa çıkacağı ve hangi araçları kullanarak krize karşı hangi cevapları geliştireceğidir. Bu nedenle tüm bu süreçlerin düzenli olarak simule edilmesi, kurum yönetiminin kriz anındaki özgüvenini de arttıracaktır.

Belki başka bir yazıda Kriz Yönetimi'nin detaylarını ve nasıl simule edilebileceğini ele alırım, bakalım :)

RTO ne zaman başlar?

Tekrar merhaba. Birkaç deneme yazısından sonra blog formatına yavaş yavaş ısındım diyebilirim, bundan sonra artık daha düzenli bir yazı serisi oluşturmayı ümit ediyorum.

Bugün konu olarak kendime RTO ne zaman başları seçtim. RTO (Recovery Time Objective) ya da Türkçe çevirisi ile Geri Kurtarma Zaman Hedefi. RTO'nun temel tanımı bir kesinti olduktan sonra iş ya da BT hizmetlerinin ne kadar süre sonra tekrar ayağa kalkacağıdır. Yani eğer şu an itibariyle kurumunuzda önemli bir kesinti ya da aksaklık olsa iş birimleri ya da BT hizmetleri ne kadar süre sonra tekrar geri gelmeli. Bu adından da anlaşılacağı üzere bir hedef süre; yani illa tutturulması gereken mecburi bir süre değil.


BS25999 standardının resmi olmayan Türkçe çevirisi RTO'ya Toparlanma Süresi Hedefi diyor ve tanım olarak da "bir olaydan sonra ürün veya hizmetin sağlanmasına yeniden başlanması, ya da bir olaydan sonra bir etkinliğin yerine getirilmesine yeniden başlanması, ya da bir olaydan sonra bir BT sisteminin veya uygulamanın toparlanması" ifade ediyor.


Ancak yukarıdaki standart tanımı da ve genel sektördeki RTO tanımları daha çok RTO'nun ne zaman bittiğinden bahsediyor, ki onda da herkes hemfikir: ürün ya da hizmet geri geldiğinde. Bence RTO'nun ne zaman bittiği kadar ne zaman başladığı da bir o kadar önemlidir, çünkü kurumlar RTO değerlerini bu varsayımlar üzerinden oluşturur.
Sektörde RTO'nun ne zaman başlaması gerektiğine dair 2 farklı yaklaşım bulunmaktadır:


1. RTO felaket/kesinti/olay olduğunda başlar. Bu yaklaşımın önemli bir artısı herhangi bir soru işaretine yer bırakmadan herkesin üzerinde tam olarak anlaşabileceği bir anda RTO'yu başlatmasıdır; çünkü olay olduğunda kurumda ilgili herkes bilmektedir ki RTO başlamıştır. Ancak RTO'nun hemen olay sonrası başlaması önemli bir noktanın atlandığının da göstergesidir: ya felaketi ilan etmekten sorumlu yönetim birimleri felaketi ilan etmezlerse (declaration) ya da felaketin durumuna göre bazı hizmetlere ihtiyaç duymadıklarını ilan ederlerse.


2. RTO felaket ilanı (declaration) ile başlar: Bu yaklaşımın temel artısı ilgili karar mekanizmalarının felaket ilanını verdikten sonra RTO sayılmaya başlandığı için aslında hizmetleri geri getirecek olan operasyonel birimlerin en az felaket ilanı kararının verilmesine kadar geçen süre kadar ek bir süreye sahip olmaları.


Hangi RTO tanımının seçilmesi ile ilgili kararın doğru bir cevabı olmadığını düşünüyorum. Çünkü gördüğüm ve okuduğum tüm örneklerde kurumların kendileri için en doğru kararı vermeye çalıştığına şahit oldum. Kurumun karar mekanizmalarının özelliklerine göre RTO ne zaman başlayabilir kararı verilebilir. Hele hele kurumların kendilerini başka kurumlar ile karşılaştırıp, "o zaman biz de öyle yapmalıyız" tarzında aslında kurum kültürüne uygun olmayan çözümleri zorlamarı her zaman beklenen sonuçları vermiyor.


Yazının özeti; RTO siz ne zaman isterseniz o zaman başlar, yeter ki kurum için bu doğru bilinsin ve doğru uygulansın.

Karanlıkta Fenersiz Dolaşmak

Bir kurumda ilk yıl yapılan İş Sürekliliği Yönetimi süreçleri çok hassastır. Bunun nedeni kurumun boyutu ne olursa bu tarz çalışmalar sonrasında kurumda birtakım yatırım ihtiyaçları ortaya çıkabilir. Düşünsenize, o güne kadar BT departmanınız doğru bildiği yedekleme yöntemlerini ve süreçlerini kullanmış, iş birimleriniz de bir felakat anında çalışmayı hiç aklından bile geçirmemiş.

Böyle bir kurumda herhangi bir nedenden iş sürekliliği çalışması yapıldığı zaman ilk ortaya çıkartılması gereken "kritik iş süreçleri nelerdir?" ve "bu süreçler hangi kaynaklara bağlıdır?" sorularına yanıt bulmak için yapılacak analizlerdir. Bu analiz sonuçları yöneticilerin kurumla ilgili öncelik algıları ile paralel sonuçlar da verebilir, ya da bu algılardan belli oranlar da sapmalar da olabilir. Bunun nedeni kurumun değişik rollerdeki personelinin ve yöneticilerinin iş önceliklerine farklı bakış açıları olabilir.

Bu tarz bir analiz yapmadan bununla ilgili yatırımları yapan kurumların durumu karanlıkta elinde fener olmadan dolaşmaya benzer. Bu ne demek: karanlıkta bize yakın olan tehditleri ya onlara iyice yaklaştığımızda ya da çarptığımızda görebiliriz veya farkedebiliriz. Oysa elimizde bir fener olsa fener gücüne göre orta ve uzak mesafedeki tehditleri de  önceden görebiliriz. İşte doğru ve yapısal bir iş sürekliliği yönetim sistemi oluşturmuş kurumlar karanlıkta fenerle dolaşırlar. Ve bu şekilde yatırımlarına çok daha doğru öncelikleri verebilir.

Süreklilik Her Yerde

İlk blog biraz akademik olmuştu ama bu sefer güncel hayattan örnekler vererek, konuya çok yakın olmayan okuyucuları da biraz içine çekelim istiyorum. Geçtiğimiz ay içinde devlet dairelerinde 2 adet önemli kesinti oldu (bizim bildiklerimiz sadece). Birincisi tapu müdürlüklerindeki. Emin olmamakla beraber Takbis tapu sisteminde bazı kesintiler olduğunu zannediyorum. Bugün itibariyle Takbisin kendi sitesindeki bilgilere göre toplam 957 müdürlükten 454'ü Takbise geçmiş durumda. Dediğim gibi tam olarak detayları açıklanmamış olmasına rağmen, geçen haftalarda yaşanan kesintilerin belli ölçüde tüm Takbis müdürlüklerini etkilediğini tahmin etmek zor değil.

İkinci olay ise gazetelerde de ufak haberler olarak geçen gümrüklerdeki kesintiler. Gene benzeri bir şekilde merkezi yönetilen gümrük sistemleri bu sistemlerin arızalanması ile tüm gümrük kapılarının (ya da bu sistemleri kullanan tüm gümrük kapılarının) işlev göremez hale gelmesine yol açtı.

Bu ve benzeri arızalar ve sorunlar için ne yapılabilir. Tabi öncelikli olarak bunlar ülke çapında hizmetler olduğundan bu hizmetlerin ülke için (özelde Türkiye için) ne kadar önemli olduğunu analiz etmek gerekir. Bu analizde bir çok parametre kullanılabilir ama kanaatimce kullanılabilecek en önemli parametrelerden biri bu kesintilerin belirli sürelerde ülke ekonomisine ne kadarlık finansal bir yük getirdiğinin öngörülmesidir. Örnek olarak gümrüklerde bir sistem arızası sonucu iş yapılamaz olduğunu varsayalım. Bu arızanın saatte, günde, haftada ya da ayda ülke ekonomisine ne kadar maliyet oluşturduğunun tahmin edilebildiğini düşünelim. Örneğimizde bu maliyet günde 1 milyon TL olsun. Ülke yönetiminin (ya da gümrükler yönetiminin tabi ki) bu maliyetin oluşmaması için yapacağı yatırım risk algısı ile doğru orantılıdır. Eğer ki yönetim gümrüklerin 1 saat içinde tekrar faaliyet göstermesi gerektiğini düşünüyorsa katlanabileceği en yüksek ülke maliyeti 1 milyon TL'dir diyebiliriz. Ancak eğer yönetim gümrükler 2 gün çalışmasa da olur ancak 3. gün mutlaka çalışsın diyorsa (ki bu risk algısına bağlı bir yönetim kararıdır) bu durumda günlük 8 saatlik çalışma dilimden toplamda 16 milyon TL'ya kadar maliyete katlanabileceğini düşünebiliriz.
İşte, iş sürekliliği yönetim metodolojilerinin kalbi sayılabilecek İş Etki Analizi (İEA) de, bu yukarıda bahsettiğim benzer analizlerin bütününü kapsamaktadır. Elbette yukarıdaki tarzda analizler İEA'nın sadece ufak bir parçasıdır.

Yöneticiler için İş Sürekliliği

Aşağıdaki ilk postum 2010 yılında özet olarak önce Deloitte Times gazetesinde sonra da bir bütün olarak Active Dergisi'nde yayınlanmıştı. Ben burada sadece belli kısımlarını parça parça yayınlayacağım ve böylece en azından önceki makalelerimi de internet ortamında kayıt altına almış olacağım :) bu seferlik biraz uzun oldu ama... iyi eğlenceler....

---

İşinizin hangi tehditler karşısında ve hangi senaryolarda kesintiye uğrayacağını biliyor musunuz? Yoksa iş kesintisinin bir istisna olduğunu mu düşünüyorsunuz? Günümüz küresel iş dünyasında artık istisna sayılamayacak iş kesintilerine hazırlıklı olmayı mı tercih edersiniz yoksa gerçekleştiğinde önceden öngörülmemiş yüzlerce detayın içinde kaybolmayı mı?

Artık şirketler ve kurumlar yerel olmaktan çıkıp bölgesel, ulusal ve hatta uluslararası birer aktör konumundalar. Dünyanın ya da ülkenin herhangi bir yerinde meydana gelebilecek doğal olayların (sel, deprem, vb.), terörist saldırıların, kazaların, politik ve ekonomik çalkantıların etkilerini öngören ve gerçekleştiğinde ez az zararla atlatan şirketlerin ayakta kalma şanslarının daha yüksek olduğu bir gerçektir. Şirketler böyle olaylardan direkt olarak etkilenmese bile müşterileri veya tedarikçileri etkilenebilir; bu da şirketlerin hiç beklenmedik anlarda en kritik iş süreçlerini (Hazine, Satınalma vb. süreçler) sekteye uğratabilir. Örnek olarak kritik bir tedarikçinizin çalışanlarının bugün greve gitmesi durumunda nasıl hareket edeceğinizi biliyor musunuz? Böyle durumlarda gözler her seviyeden yöneticiye çevrilecek ve şirket stratejilerine uygun aksiyon planlarına çok kısa zaman dilimlerinde karar verilmesi istenilecektir.

İş Sürekliliği Yönetimi, kritik iş süreçlerinin öngörülen senaryolar içinde ayakta kalabilmesini sağlama amacıyla oluşturulabilecek en iyi cevaptır.

Her Yöneticinin Bilmesi Gerekenler

- İş sürekliliğinden sadece Bilgi Sistemleri Bölümü sorumlu değildir

İş sürekliliği planlamalarında ve şirket içinde görev dağılımı yapılırken Bilgi Sistemleri Bölümü İş Sürekliliği Yönetimi’nin başlıca sorumlusu olarak görülmektedir. Gerçekte, Bilgi Sistemleri Bölümü iş sürekliliğini destekleyen bölümlerden sadece biridir. Bir felaket ya da kesinti sonrası şirketinize ait tüm yazılımların ve teknik altyapının kısa bir süre içerisinde tekrar erişelebilir ve kullanılabilir olması son derece önemli olmakla beraber, işinizin kaldığı yerden devam edebilmesi için Bilgi Sistemleri Bölümü dışında çok daha büyük bir planlamaya ihtiyaç vardır. Çalışanların sağlından emin olunması, onların alternatif alanlara yönlendirilmesi, her iş biriminden yeterli sayıda personelin koordineli bir şekilde iş süreçlerini hayata geçirmesi, teknik altyapı olmadan alternatif çalışma yöntemlerinin belirlenmesi vb. görevlerin yerine getirilebilmesi için tüm kurumun sahipleneceği bir İş Sürekliliği Yönetimi çerçevesinin oluşturulması gerekmektedir. İş Sürekliliği Yönetimi sadece tek bir bölüme/birime bırakılmayacak kadar önemlidir ve koordinasyonu kurumun tüm süreçlerinin işleyişine hakim bir birimin sorumluluğunda olmalıdır.

- Bir kesinti/felaket anında tüm iş süreçlerinin kurtarılması gerekmez

Her iş sürecinin şirketin veya kurumun sürekliliğine olan etkisi farklı olabilir. Risk Değerlendirmesi ve İş Etki Analizi sonucu hangi süreçlerin şirketin sürdürülebilirliğine etkisi olduğu ve bu süreçlerde ne gibi kaynaklara (insan, teknoloji, bina, vb.) ve yetkinliklere ihtiyaç bulunduğu tespit edilir. Acil ve beklenmedik bir durumda yaşanan bir kesinti sonrasında bu analizlerde ortaya çıkartılan süreçler öncelikli olarak kurtarılır. Bu süreçler bazı kurumlar için her zaman standart olmakla beraber bazı kurumlar için yılın dönemine, haftanın gününe ve/veya günün saatine göre farklılaşabilir. Kalan süreçler iş ihtiyaçları dikkate alınarak daha uzun zaman dilimlerinde kurtarılır.

- Bir kesinti/felaket sonrası hemen tam kapasiteye dönülmesi gerekmeyebilir

Bir kesinti ya da felaket sonrası ister istemez bir panik ve koordinasyonsuzluk süreci yaşanacaktır. Bu sürenin ne kadar kısa olduğu İş Sürekliliği Yönetimi’nin gerçekleştirdiği planlamalar ile doğru orantılıdır. Bu panik havasından sonra belirli kararların alınması ile genel bir kontrol ortamı sağlanacaktır. Bu kontrol ortamından sonra en akla yakın senaryo ise hemen normal işlem seviyesine dönülmesi değil, bu seviyeden önce bir kabul edilebilir işlem seviyesinin elde edilmesidir. Böylece iş birimleri kurumun gerçekleştirmesi gereken minimum işlemleri gerçekleştirecektir. Ancak bundan sonra kesinti ya da felaketin özelliğine bağlı olarak normal işlem seviyesine ulaşılacaktır.

- İş Sürekliliği Yönetimi sadece planlardan ibaret değildir

İş Sürekliliği Yönetimi, kurum risklerin yönetilmesine yöneliktir ve bu risklerin büyük bir bölümü stratejik hedefleri etkileyebilir. Bu stratejilerin gerçekleştirilmesini destekleyen fonksiyon ve süreçler tespit edilmeli ve İş Sürekliliği Yönetimi bunların etrafında kurulmalıdır. Planların oluşturulması İş Sürekliliği Yönetimi sürecinde önemli bir yer tutmakla beraber, amaç planlara sahip olmak değil, uygulanabilir ve kolay adapte edilebilir bir planlama yetisi kazanmaktır.

- İş Sürekliliği Yönetimi kurumu rakiplerinden farklılaştırabilir

Güncel ve genel kabul görmüş standartlara göre hazırlanmış ve hayata geçmiş bir İş Sürekliliği Yönetimi bulunan kurumlar başta müşterileri olmak üzere tüm paydaşlarına bir felaket ya da kesinti sonrası çok kısa bir süre içinde gerektiğinde başka bir lokasyondan hizmet verebileceği mesajını iletmiş olur. Bu konuda kendine güvenen kurumlar, İş Sürekliliği Yönetimi uygulamamış rakiplerinden mutlaka bir adım önde olacaklardır.

- İyi tanımlanmış bir İş Sürekliliği Yönetimi çerçevesi felaketten sonra bile kurum saygınlığını arttırabilir

Bir felaketin ya da kesintinin (özellikle büyük ise) etkili bir şekilde yönetilmesi kurumun piyasa değerine pozitif etkisi olabilir. Potansiyel olarak yıkıcı olabilecek bir felaketten başarılı bir şekilde kurtulmayı başaran ve hizmet vermeye devam eden kurumlarda müşteri güveni önemli derecede artacaktır. Sektörü etkileyen krizlerde ise kurumun krizi yönetim şekli ve hizmet sürekliliği rakipleri ile karşılaştırılacaktır. Rakiplerinin zorlandığı ya da başaramadığı durumlarda kriz sonrası iş sürekliliğini devam ettirebilen kurumlar pazarda önemli bir yere sahip olacaklardır.

- İş Sürekliliği Yönetimi tehditlere göre değil etkilerine göre planlanmalıdır

İş kesintilerine neden olabilecek büyük/küçük birçok tehdit kurumları hedef alabilir. Tehditlere örnek olarak yangın, deprem, hava olayları, sabotaj, saldırı, terrörizm, sel, bilgisayar virüsleri, bilgisayar korsanları, insan hataları, cihaz hataları gösterilebilir. Ancak İş Sürekliliği Yönetimi sınırsız sayıdaki bu tarz tehditler yerine bu tehditlerin neden olacağı sınırlı sayıdaki etkilere odaklanmalıdır. Örnek olarak yangın, deprem vb. tehditler kurum çalışma alanlarının kullanılamaz hale gelmesine neden olmaktadır; bu durumda tüm tehditler için tek tek değil, çalışma alanının kullanılamaz olması üzerine senaryolar hazırlanmalıdır; böylece gerçekleşen olayın niteliğinden bağımsız olarak hareket planları oluşturulabilir.

- Düzenli gözden geçirme ve test sanıldığından daha önemlidir

İş ihtiyaçları, hedefleri ve hedeflere ulaşmak için oluşturulan iş süreçleri sıklakla değişmekte ve gelişmektedir. İş Sürekliliği Yönetimi’ni geçmiş süreklilik yaklaşımlarından ayıran en temel özelliklerden biri de sürekliliğe yönelik kurum yeteneklerini her an güncel tutabilmektedir. Güncel ihtiyaçlara göre tanımlanmamış iş sürekliliği planları bir kesinti ya da felaket anında kurtarmaya yardımcı olmaktan çok daha fazla karışıklık üretebilir. Burada da İş Sürekliliği Yönetimi’nin tüm süreçlerin işleyişine hakim bir birimin koordinasyonunda olmasının önemi anlaşılmaktadır.

Aynı şekilde oluşturulan planlar düzenli olarak test edilmez ise planlardaki hatalar ve eksik yanlar ortaya çıkartılamaz ve kurtarma ekiplerinin yetkinlikleri ve farkındalığı arttırılamaz. Bu da bir felaket ve kesinti sonrasında planlanan geri kurtarma hedeflerine ulaşmayı zorlaştır.

Blog Dünyasına Merhaba

Blog dünyasına ve yolu buradan geçen herkese merhaba....

Uzun bir dönemdir blog dünyasını uzaktan takip eden biri olarak hep aklımda "ben de yapayım mı"diye bir soru vardı. Ya da "bir gün yapacağım da ama ne yapacağım" sorusu daha keskindi. Sonunda artık sormayayım, yapayım istedim ve uzun zamandır üzerinde profesyonel olarak uğraştığım bir alan olan İş Sürekliliği Yönetimi konusunda hiç de profesyonel olması gerekmeyen bir blog oluşturmaya karar verdim.

Bu blogda hiçbir şekilde mesaj kaygım olmayacak ya da birilerini herhangi bir fikir konusunda ikna etmeye çalışmayacağım. Amacım sadece ve sadece iş sürekliliği yönetimi ve bu konuyla bağlantılı olabilecek tüm konular, olaylar, hikayeler, mitler ve araştırmalar üzerine kendi düşüncelerimi paylaşmak olacak. Ve tabi ki olabildiğince çok olmasını arzu ederek gelen yorumlardan da kendimi geliştirecek alanlar çıkarıp en azından iş sürekliliği konusunda faydalı bir şeyler yapabiliyor olmayı ümit edeceğim.

Umarım buradaki içerikler olabildiğince fazla kişinin ilgisini çeker ve ben de profesyonel yaşamın yanında bu yarı-profesyonel alana olabildiğince fazla vakit ayırararak internet dünyasıyla düşüncelerimi paylaşmak fırsatı bulurum.

Şimdilik herkese hoşbulduk :)

Altuğ Kul