İş Etki Analizi (BIA) Nasıl Yapılır? ISO 22301’e Göre RTO, RPO ve MTPD Belirleme Rehberi

iÇiNDEKiLER

Başlıklar için tıklayın..

Kısa Cevap

İş etki analizi (BIA), faaliyetlerin kesintiye uğraması halinde zaman içinde ortaya çıkacak etkileri değerlendirerek hangi faaliyetlerin öncelikli olduğunu, her birinin en geç ne zaman ve hangi asgari kapasiteyle yeniden başlatılması gerektiğini ve bunun için hangi kaynaklara ve tedarikçilere ihtiyaç duyulduğunu belirler. ISO 22301 madde 8.2.2 bu analizi zorunlu tutar; sonuçları iş sürekliliği stratejilerinin ve planlarının temelini oluşturur.

İş etki analizi (Business Impact Analysis, kısaca BIA), iş sürekliliği yönetiminin başlangıç noktasıdır. “Bir kriz anında neyi önce kurtarmalıyız?” sorusunun cevabı bu analizden çıkar. Analiz yapılmadan hazırlanan iş sürekliliği planları, genellikle BT sistemlerinin geri yüklenmesine odaklanır ve gerçek iş önceliklerini ıskalar. Örneğin sunucular birkaç saatte ayağa kalkar, ancak müşteri siparişlerini alacak personelin çalışacağı bir yer yoktur.

Bu rehberde ISO 22301’in iş etki analizinden ne istediğini, temel kavramları, örnek bir analiz tablosunu ve analizi adım adım nasıl yürüteceğinizi anlatıyoruz. Standardın genel yapısı için ISO 22301 belgesi sayfamıza bakabilirsiniz.

ISO 22301 İş Etki Analizinden Ne İster?

ISO 22301:2019 madde 8.2.2’ye göre işletme iş etki analizinde:

Etki türlerini ve kriterlerini tanımlamalı,
Ürün ve hizmetlerin sağlanmasını destekleyen faaliyetleri belirlemeli,
Bu faaliyetlerin kesintiye uğramasının zaman içinde yaratacağı etkileri değerlendirmeli,
Faaliyetin yeniden başlatılmamasının kabul edilemez hale geldiği süreyi belirlemeli,
Faaliyetlerin belirlenen asgari kabul edilebilir kapasiteyle yeniden başlatılması için öncelikli süreleri belirlemeli,
Bu analizi kullanarak öncelikli faaliyetleri belirlemeli,
Öncelikli faaliyetler için gereken kaynakları belirlemeli,
Ortaklar ve tedarikçiler dahil bağımlılıkları ve karşılıklı ilişkileri belirlemelidir.

İş etki analizinin nasıl yapılacağına dair ayrıntılı rehberlik ISO/TS 22317 teknik şartnamesinde yer alır. Bu doküman bir belgelendirme şartı değildir, ancak yöntem tasarlarken yararlı bir başvuru kaynağıdır.

Temel Kavramlar: MTPD, RTO, RPO ve MBCO

Kavram	Anlamı	Örnek
MTPD (maksimum tolere edilebilir kesinti süresi)	Faaliyet yeniden başlatılmazsa etkilerin kabul edilemez hale geldiği süre	Sipariş alımı 48 saatten uzun durursa büyük müşteriler sözleşmeyi feshedebilir
RTO (kurtarma süresi hedefi)	Faaliyetin asgari kapasiteyle yeniden başlatılması için hedeflenen süre; MTPD’den kısa olmalıdır	Sipariş alımının 24 saat içinde yeniden başlatılması
RPO (kurtarma noktası hedefi)	Faaliyetin yeniden başlatılabilmesi için verinin geri dönülebilecek en eski noktası; kabul edilebilir veri kaybını gösterir	Sipariş verisinde en fazla 1 saatlik kayıp kabul edilebilir
MBCO (asgari iş sürekliliği hedefi)	Kesinti sırasında kabul edilebilir asgari hizmet veya üretim seviyesi	Kesinti süresince günlük sipariş kapasitesinin %40’ının karşılanması

Bu kavramlar arasındaki ilişki önemlidir: RTO her zaman MTPD’den kısa olmalıdır, aksi halde kurtarma hedefi tutturulsa bile etki kabul edilemez seviyeye ulaşmış olur. RPO ise doğrudan yedekleme stratejisini belirler. 1 saatlik RPO, günlük yedeklemeyle karşılanamaz.

Etki Türleri ve Kriterleri

Etkiyi değerlendirmek için önce hangi açılardan bakılacağını belirlemeniz gerekir. Yaygın etki türleri şunlardır:

Finansal: Gelir kaybı, ceza, sözleşme cezaları, ek maliyetler.
Müşteri: Hizmet seviyesi taahhütlerinin ihlali, müşteri kaybı.
Yasal ve düzenleyici: Yasal yükümlülüklerin yerine getirilememesi, düzenleyici yaptırımlar.
İtibar: Basına yansıma, sosyal medyada olumsuz yayılım.
Operasyonel: Diğer süreçlere zincirleme etki, birikme ve toparlanma süresi.
İnsan sağlığı ve güvenliği: Özellikle sağlık, enerji ve gıda sektörlerinde.

Her etki türü için 1–5 arası bir ölçek tanımlayın ve her seviyenin ne anlama geldiğini somut olarak yazın. Örneğin finansal etki için TL aralıkları, müşteri etkisi için etkilenen müşteri oranı kullanılabilir.

ISO 22301 Belgelendirme Teklifi Alın

İş sürekliliği yönetim sisteminizi belgelendirmeye hazırsanız kapsamınızı ve lokasyonlarınızı paylaşın; TÜRKAK akreditasyonu kapsamında ISO 22301 teklifimizi hazırlayalım.

Ücretsiz Teklif Al

Örnek İş Etki Analizi Tablosu

Aşağıdaki tablo, orta ölçekli bir e-ticaret ve dağıtım işletmesi için örnek niteliğindedir. Her faaliyet için etkinin 4 saat, 24 saat, 3 gün ve 1 hafta sonundaki seviyesi değerlendirilmiştir.

Faaliyet	4 saat	24 saat	3 gün	1 hafta	MTPD	RTO	RPO	Öncelik
Online sipariş alımı	3	4	5	5	24 saat	8 saat	15 dk	1
Depo sevkiyatı	2	3	4	5	3 gün	24 saat	1 saat	2
Müşteri hizmetleri	2	3	4	4	3 gün	24 saat	4 saat	2
Tedarikçi ödemeleri	1	1	2	3	1 hafta	3 gün	24 saat	3
Bordro	1	1	2	4	1 hafta	3 gün	24 saat	3
Pazarlama kampanyaları	1	1	2	2	2 hafta	1 hafta	1 hafta	4

Bordronun ilk günlerde düşük etki gösterip bir hafta sonunda yükselmesi, zamana bağlı etkinin neden önemli olduğunu gösterir: Etkinin ne zaman kabul edilemez hale geldiği, faaliyetin takvimine bağlıdır. Ay sonuna denk gelen bir kesintide bordronun önceliği değişebilir.

Kaynak ve Bağımlılık Analizi

Öncelikli faaliyetler belirlendikten sonra her birinin ihtiyaç duyduğu kaynaklar belirlenir:

Kaynak türü	Online sipariş alımı için örnek
Personel	İlk 24 saatte en az 3 sipariş operatörü, 1 sistem yöneticisi
Bilgi ve veri	Ürün kataloğu, stok bilgisi, müşteri ve sipariş veritabanı
Teknoloji	E-ticaret platformu, ödeme altyapısı, internet bağlantısı
Tesis	Ofis veya uzaktan çalışma imkânı
Tedarikçiler	Barındırma hizmeti, ödeme kuruluşu, kargo firması

Bağımlılık analizinde en sık gözden kaçan unsur, tek kaynaklı tedarikçilerdir. Barındırma hizmeti, ödeme altyapısı veya kritik bir ham madde tek bir tedarikçiye bağlıysa, o tedarikçinin süreklilik kabiliyeti sizin RTO’nuzu doğrudan belirler. Bu nedenle kritik tedarikçilerin kendi süreklilik düzenlemelerini sorgulamanız ve sözleşmelere yansıtmanız gerekir. Bilgi teknolojileri hizmetleri tarafında bu konu ISO 20000-1 ile de ilişkilidir.

İş Etki Analizi Adım Adım

Kapsamı ve yöntemi belirleyin: Hangi ürün, hizmet ve lokasyonların analiz edileceğini, etki türlerini, ölçekleri ve zaman aralıklarını yazılı hale getirin.
Faaliyetleri listeleyin: Ürün ve hizmetlerin sağlanmasını destekleyen faaliyetleri iş birimleriyle birlikte belirleyin.
Görüşme veya çalıştay yapın: Her faaliyetin sahibiyle yapılandırılmış görüşmeler yaparak kesintinin zaman içindeki etkilerini değerlendirin.
MTPD’yi belirleyin: Her faaliyet için etkinin kabul edilemez hale geldiği süreyi belirleyin.
RTO, RPO ve asgari kapasiteyi belirleyin: Faaliyetin hangi sürede, hangi veri kaybı toleransıyla ve hangi asgari seviyede yeniden başlatılacağını belirleyin.
Öncelikli faaliyetleri sıralayın: Sonuçlara göre faaliyetleri öncelik gruplarına ayırın.
Kaynakları ve bağımlılıkları belirleyin: Öncelikli faaliyetlerin zaman içinde ihtiyaç duyduğu personel, bilgi, teknoloji, tesis ve tedarikçileri listeleyin.
Üst yönetim onayı alın: Öncelikleri ve hedef süreleri üst yönetimle doğrulayın; bu kararlar strateji ve yatırım kararlarını doğrudan etkiler.
Risk değerlendirmesine bağlayın: Öncelikli faaliyetleri kesintiye uğratabilecek riskleri ISO 22301 madde 8.2.3 kapsamında değerlendirin.

İş Etki Analizi ile Risk Değerlendirmesi Arasındaki Fark

İş etki analizi “kesinti olursa ne olur ve ne kadar sürede toparlanmalıyız?” sorusuna, risk değerlendirmesi ise “kesintiye ne yol açabilir ve bunun olasılığı nedir?” sorusuna cevap verir. İkisi birbirini tamamlar. Bilgi güvenliği tarafında risk değerlendirmesinin nasıl yapıldığını ISO 27001 risk değerlendirmesi rehberimizde anlattık. Bu iki analiz, özellikle fidye yazılımı gibi siber tehditler karşısında birlikte kullanıldığında anlamlı sonuç verir. Siber tehditler hakkında genel bilgi için siber saldırılardan korunma yolları yazımıza bakabilirsiniz.

Sık Yapılan Hatalar

Analizi yalnızca BT ekibine yaptırmak: İş birimlerinin katılmadığı bir analiz, sistemlerin değil faaliyetlerin önceliğini ölçemez.
Her şeyi “kritik” ilan etmek: Tüm faaliyetlere 4 saatlik RTO verilmesi, gerçekçi olmayan ve maliyetli stratejilere yol açar.
Zaman boyutunu atlamak: Etkiyi tek bir puanla değerlendirmek, etkinin zamanla nasıl büyüdüğünü göstermez.
Tedarikçi bağımlılıklarını görmezden gelmek: Bulut, barındırma ve kritik ham madde tedarikçilerinin analize dahil edilmemesi.
Analizi güncellememek: Yeni ürünler, yeni sistemler veya organizasyon değişiklikleri sonrası analizin yenilenmemesi.

İş etki analizinin sonuçları, ISO 22301 doküman listesi içinde yer alan zorunlu dokümanlı bilgilerdendir ve belgelendirme denetiminde ayrıntılı olarak incelenir.

Sık Sorulan Sorular

İş etki analizi (BIA) nedir?

İş etki analizi, faaliyetlerin kesintiye uğraması halinde zaman içinde ortaya çıkacak etkileri değerlendirerek öncelikli faaliyetleri, yeniden başlatma sürelerini, asgari kapasiteyi ve gereken kaynakları belirleyen analizdir. ISO 22301 madde 8.2.2 bu analizi zorunlu tutar.

RTO ve RPO arasındaki fark nedir?

RTO, bir faaliyetin kesinti sonrası asgari kapasiteyle yeniden başlatılması için hedeflenen süredir. RPO ise kabul edilebilir veri kaybını gösterir; verinin geri dönülebilecek en eski noktasıdır. RTO kurtarma hızını, RPO yedekleme sıklığını belirler.

MTPD nedir?

MTPD, maksimum tolere edilebilir kesinti süresidir; faaliyet yeniden başlatılmazsa etkilerin kabul edilemez hale geldiği süreyi ifade eder. Kurtarma süresi hedefi (RTO) her zaman MTPD’den kısa olmalıdır.

İş etki analizi ne sıklıkla güncellenmeli?

Planlı aralıklarla ve önemli değişikliklerden sonra güncellenmelidir. Uygulamada yılda en az bir kez ve yeni ürün, yeni sistem, organizasyon değişikliği veya önemli bir kesinti sonrasında gözden geçirilir.

İş etki analizini kim yapmalı?

Analiz iş sürekliliği sorumlusunun koordinasyonunda, her faaliyetin sahibi olan iş birimlerinin katılımıyla yapılmalıdır. Sonuçlar ve öncelikler üst yönetim tarafından onaylanmalıdır.

ISO/TS 22317 kullanmak zorunlu mu?

Hayır. ISO/TS 22317, iş etki analizi için rehberlik sağlayan bir teknik şartnamedir ve belgelendirme şartı değildir. Yöntem tasarlarken yararlı bir başvuru kaynağıdır.