ISO 22301 iş sürekliliği: kriz senaryolarında işletmeyi ayakta tutmak

Pazartesi sabahı, İzmir'deki orta ölçekli bir üretici sipariş sistemini şifrelenmiş, her ekranda bir fidye notuyla bulur. Hatlar çalışabilir, personel işbaşı yapmıştır, ama hiçbir şey ilerlemez: üretim planlama yapamaz, depo sevkiyat yapamaz, finans fatura kesemez. Şirket saat başı para kaybeder; hasar fiziksel olduğu için değil, kimse işin sistemler olmadan nasıl yürüyeceğine önceden karar vermediği için. İş sürekliliği planlamasının bir evrak olmaktan çıkıp zor bir hafta ile kapanan bir şirket arasındaki farka dönüştüğü an tam da budur.

Çoğu yönetim kurulu, ciddi bir kesintinin er ya da geç geleceğini kabul eder. Şoku soğuranları battıranlardan ayıran şey ise nadiren şans ya da bütçedir. Belirleyici olan, sürekliliğin krizden önce yönetilen bir yetkinlik olarak mı kurulduğu, yoksa krizin ortasında doğaçlama mı yapıldığıdır. Bu ayrım, iş sürekliliği yönetimine yatırım yapmanın asıl gerekçesidir ve duvardaki bir belgeden çok önce finansal bir gerekçedir.

Asıl soru ne kadar hızlı toparlandığınızdır

Kesintiyi bir ne zaman meselesi olarak görürseniz, önem taşıyan ölçüt değişir. Yönetim kurulu düzeyindeki sayı, kurtarma süresidir: darbe ile kabul edilebilir çalışmaya dönüş arasında kaç saat ya da gün geçtiği ve bu boşlukta ne kadar gelirin, kaç sözleşmenin ve ne kadar güvenin aktığı. Süreklilik yönetimi tam da bu boşluğu kısaltmak için vardır; haftalar sürecek bir doğaçlamayı, saatlerle ölçülen planlı bir kurtarmaya çevirir.

Asıl kazanç bu kısaltmadadır. Süreklilik yetkinliği krizleri engellemez; onları kısaltır ve sınırlar. Bu disiplin net bir risk bakışından doğar; ISO 31000 risk yönetiminin kuruma kazandırdığı temelin aynısı: sizi gerçekçi biçimde neyin durdurabileceğini belirlemek, bunun ne kadar ağır olacağını değerlendirmek ve mecbur kalmadan önce ne yapacağınıza karar vermek. Bu zemin olmadan her olay sıfırdan karşılanır.

Üç kriz: planınız mı var, yoksa yalnızca umut mu

Operasyonu donduran bir siber saldırı

Fidye yazılımı ve ciddi veri ihlalleri artık çoğu risk kaydının en üst sıralarındadır; haklı bir nedenle, çünkü hiç fiziksel hasar olmadan bir şirketi durdurabilirler. Süreklilik soruları nettir. Sistemler çökmüşken kısıtlı bir kipte çalışabilir misiniz. Çalıştığını varsaydığınız değil, gerçekten test ettiğiniz yedeklerden geri dönebilir misiniz. Müşterileri, iş ortaklarını ve kişisel veri söz konusuysa KVKK kapsamında düzenleyici kurumu gerektiği gibi bilgilendirebilir misiniz. ISO 27001 bilgi güvenliği ile güçlü bir koruma olasılığı düşürür ve etki alanını daraltır, ama önleme hiçbir zaman tam değildir. Süreklilik yönetimi, önlemenin başarısız olduğu gün işi ayakta tutan şeydir.

Tedarik şoku ya da çöken tek bir tedarikçi

Tek kaynaklı bir tedarikçi batar, bir sınır kapanır, kritik bir hammaddenin tedarik süresi ikiye katlanır, bir lojistik ortağı sezonun ortasında çöker. Bunların içinden teslimata devam edebilen şirketler, kritik girdilerini önceden haritalayan, ikincil kaynakları onaylayan ve hangi siparişi önce koruyacağını bilen şirketlerdir. Kriz anında alternatifi sıfırdan aramak, onu önceden hazır tutmaktan neredeyse her zaman daha yavaş ve daha pahalıdır. ISO 28000 tedarik zinciri güvenliği anlayışıyla zincire güvenlik ve dayanıklılık inşa etmek, bir tedarikçi çöküşünü varoluşsal bir olaydan B planına yönetilen bir geçişe dönüştürür.

Bir tesisi yok eden yangın, sel ya da deprem

Fiziksel felaket, her operasyon liderinin gözünde canlandırdığı senaryodur ve Türkiye'nin büyük bölümünde deprem riski bunu varsayım değil somut bir gerçek kılar. Bir üretim holünü, bir sunucu odasını ya da genel merkezi bir gecede kaybedin; sorular hemen ortaya çıkar: insanlar yarın nerede çalışacak, veri nerede, kim kimi arayacak ve tesis hangi sırayla geri gelecek. ISO 22320 acil durum yönetiminin çevresinde kurulduğu türden yapılandırılmış bir acil müdahale ilk kaotik saatleri yönetirken, süreklilik planı alternatif bir düzenden yürütülen günleri ve haftaları yönetir.

Sürekliliğin getirisi asıl nerede görünür

Süreklilik planlamasının geri dönüşü gerçektir, gerçi hesaplarda tek bir satır olarak nadiren belirir. Kendini dört yerde gösterir.

Hiç ödemediğiniz duruş süresi. Çekirdek bir sürecin durduğu her saat; kaybedilen üretim, boşa geçen ücretler, ceza maddeleri ve kaçan sevkiyatlar olarak bir maliyet taşır. Test edilmiş bir süreklilik planı bu maliyeti sıfırlamaz, ama kesintiyi kısaltır ve kurtarmadan kazanılan her saatle tasarruf katlanır. Teslim edemediğinde müşterisi başka kapıya giden bir işletme için, önlenen kayıp tek başına sistemin maliyetini gölgede bırakabilir.

Aksi halde hiç göremeyeceğiniz sözleşmeler. Süreklilik kanıtı, satın alma süreçlerinde sessizce bir eleme ölçütü hâline geldi. Büyük üreticiler, kamu ihaleleri, bankalar ve otomotiv, havacılık ve gıdadaki ana yükleniciler; tedarikçilerinden bir kesinti boyunca teslimatı nasıl sürdüreceklerini göstermelerini giderek daha çok istiyor. İnandırıcı bir yanıtı olmayan firmalar, fiyat konuşulmadan önce elenir. Tanınmış bir belge, bu soruyu gergin bir soru formu yerine tek bir belgeyle kapatır.

Riskinizi fiyatlayanlardan daha iyi koşullar. Sigortacılar, kredi verenler ve olası alıcılar; başarısızlığı önceden düşünmüş ve yanıtını prova etmiş bir kuruluşa daha sıcak bakar. Kanıtlanabilir bir süreklilik yetkinliği iyi yönetilen bir işletmenin işaretidir ve teminat, kredi ve değerleme konuşmalarını lehinize biçimlendirme eğilimindedir.

Elinizde kalan güven. Müşteriler açık ve hızlı yönetilen bir olayı bağışlar. Sessizliği ve iki hafta boyunca kaçan siparişleri pek bağışlamaz. Görünür biçimde kontrol edilen bir kurtarma ile görünür bir çöküş arasındaki itibar farkı, krizin kendisinden daha uzun ömürlüdür ve çoğu zaman operasyonel tasarruftan daha değerlidir.

Sigorta faturayı öder, kaybedilen zemini değil

İş kesintisi sigortasının bir yeri vardır ve iyi yönetilen çoğu firma bunu yaptırır. Bir poliçenin yapamadığı şey ise, siz karanlıktayken müşterilerinizi elinizde tutmak, bir perakendecinin rafındaki yerinizi korumak ya da bir rakibin sizin müşterinizi kazanmak için harcadığı haftaları geri almaktır. Sigorta, olaydan sonra finansal kaybın ölçülebilir bir bölümünü tazmin eder. Kaçırdığınız bir ihaleyi ya da başkasını çoktan onaylamış bir alıcıyı geri getiremez.

Ödeme de genellikle öncülük etmez, ardından gelir; üstelik poliçeye bağlanan koşullar giderek, en baştan işi sürdürmek için makul adımlar attığınızı varsayar. Test edilmiş bir süreklilik yetkinliği gören bir sigortacı, daha düşük ve daha iyi anlaşılmış bir riske bakıyordur; ikisinin bu kadar sık birlikte yürümesinin bir nedeni de budur.

İşte sürekliliğin kapattığı boşluk budur. Olaydan sonra değil, kesinti sırasında çalışır ve bir tazminatın geri getiremeyeceğini korur: teslim sözleri, pazardaki konum ve sizden alışveriş eden insanların güveni. Böyle bakıldığında, süreklilik planlaması ile sigorta bütçede birbiriyle yarışan kalemler değildir. Biri finansal çukurun büyüklüğünü sınırlar; diğeri o çukura düşmenizi engeller.

Dosyaladığınız bir klasör değil, test ettiğiniz bir plan

Doğaçlama yanıtların başarısızlık nedeni iç karartıcı ölçüde tutarlıdır: bir kez yazılıp bir daha açılmayan planlar, üç yeniden yapılanma öncesine ait kişi listeleri ve geri yüklenmesi gereken güne dek herkesin sağlam sandığı yedekler. Bir süreklilik yetkinliği değerini tam da teorik kalmayı reddettiği için kazanır. İş etki analiziyle başlar; hangi faaliyetlerin gerçekten önemli olduğunu ve her birinin ne kadar hızlı geri gelmesi gerektiğini ortaya koyar, bu önceliklere göre kurtarma hedefleri belirler ve sonra tüm bunları düzenli tatbikatlarla kanıtlar.

O test ritmi, gerçek bir yetkinliği iyi niyetten ayıran şeydir. ISO 22301'in arkasındaki yapı; işletme, sistemleri ve tedarikçileri değiştikçe planı güncel tutan gözden geçirme, tatbikat ve iyileştirme döngüsünü zorunlu kılar. Değer klasörde değildir; klasör tatbik edildiğinde ortaya çıkan kas hafızasındadır.

ISO 22301 yerini ne zaman hak eder

Her kuruluşun ilk günden resmi bir süreklilik sistemine ihtiyacı yoktur ve dürüst bir gerekçe bunu olduğu gibi söyler. En erken, bir duruşun müşteriyi de durdurduğu yerde kazandırır: sıkı teslim takvimlerine bağlı üreticiler, veriye dayalı hizmet firmaları, lojistik ve soğuk zincir işletmeleri, gıda üreticileri ve daha büyük bir alıcının kolayca yerine koyamayacağı her tedarikçi. Erişilebilirliğin tercih değil yükümlülük olduğu, düzenlemeye tabi sektörlerde ve alıcıları kendi tedarikçi denetimlerini yürüten ihracatçılarda kazandırır. Bu kararın sahibi de bilgi işlem birimi değil yönetim kuruludur; çünkü konu tek başına bir sistem değil, işin ayakta kalma planıdır.

Disiplin, herhangi bir denetimden önce bile kazandırır, çünkü düşüncenin kendisi riski azaltır. Akredite belge ise içeride üretemeyeceğiniz parçayı ekler: müşterilerin, düzenleyicilerin ve sigortacıların dayanıklılığınıza, gelip kendileri doğrulamak zorunda kalmadan güvenmesini sağlar. Müşterileriniz, sözleşmeleriniz ya da düzenleyicileriniz bir kriz boyunca işi nasıl sürdüreceğinizi sormaya başladıysa, bu, hâlihazırda yaptığınızı ISO 22301 iş sürekliliği yönetimi altında resmileştirmenin ve arkasında akredite bir kuruluşun durmasının işaretidir.