ISO 22301 Doküman Listesi: İş Sürekliliği Yönetim Sistemi İçin Zorunlu Dokümanlar ve Kayıtlar

ISO 22301 doküman listesi, iş sürekliliği yönetim sistemi kurmak isteyen işletmelerin ilk araştırdığı konudur. Ancak ISO 22301’de dokümantasyonun amacı diğer standartlardan biraz farklıdır. Buradaki dokümanların önemli bir kısmı, olağan günlerde değil kriz anında kullanılacaktır. Bir siber saldırı, yangın, uzun süreli elektrik kesintisi veya kritik tedarikçinin devre dışı kalması durumunda ekibin başvuracağı iş sürekliliği planı; okunabilir, güncel ve sistemler çalışmasa bile erişilebilir olmalıdır.

Bu rehberde ISO 22301:2019’un zorunlu tuttuğu dokümanlı bilgileri madde numaralarıyla listeliyor, iş sürekliliği planlarının içeriğini ayrıntılandırıyor ve denetimde en sık karşılaşılan doküman bulgularını paylaşıyoruz. Standardın genel tanıtımı için ISO 22301 belgesi sayfamıza bakabilirsiniz.

ISO 22301’in Yapısı

ISO 22301:2019, diğer yönetim sistemi standartlarıyla aynı ortak yapıyı izler ve 2024’te iklim değişikliğiyle ilgili değişiklikle güncellenmiştir. Standardın özgün kısmı 8. maddedir. İş etki analizi, risk değerlendirmesi, iş sürekliliği stratejileri, planlar ve tatbikat programı bu maddede yer alır. Bu yüzden dokümantasyonun ağırlık merkezi de burasıdır.

Zorunlu Dokümanlı Bilgiler (Madde Madde)

Listede iş etki analizi ve risk değerlendirmesinin hem süreç hem sonuç olarak yer aldığına dikkat edin. Denetçi yalnızca bir analiz tablosu görmek istemez. Analizin hangi yöntemle, kimlerin katılımıyla ve hangi kriterlere göre yapıldığını, ne sıklıkla güncellendiğini de sorgular. İş etki analizinin adım adım nasıl yapılacağını iş etki analizi (BIA) nasıl yapılır rehberimizde anlattık.

İş Sürekliliği Planında Bulunması Gerekenler

ISO 22301, iş sürekliliği planlarının içeriği için ayrıntılı şartlar koyar. İyi hazırlanmış bir plan şu unsurları içerir:

• Amaç ve kapsam: Planın hangi faaliyetleri ve hangi senaryoları kapsadığı.
• Devreye alma kriterleri: Planın ne zaman ve kim tarafından aktive edileceği.
• Müdahale ekipleri: Rol, sorumluluk ve yetkiler; yedek kişiler.
• İletişim listeleri: Ekip üyeleri, üst yönetim, kritik tedarikçiler, müşteriler, resmi kurumlar ve acil servisler.
• Uygulama adımları: İlk saatlerde yapılacaklar, faaliyetlerin kabul edilebilir seviyede sürdürülmesi ve kademeli kurtarma.
• Kaynaklar: Alternatif çalışma yeri, yedek ekipman, veri ve sistem yedekleri, kritik tedarikçi alternatifleri.
• Hedef süreler: İş etki analizinden gelen öncelikli faaliyetlerin kurtarma zaman hedefleri.
• Bilgi akışı ve kayıt: Kriz sırasında alınan kararların ve yapılan işlemlerin kaydı.
• Normal faaliyete dönüş: Kriz sonrası geri dönüş ve değerlendirme adımları.

Pratik bir öneri: Planları senaryo bazlı değil, etki bazlı yazmak bakımı kolaylaştırır. “Sel planı”, “deprem planı”, “yangın planı” yerine “bina kullanılamaz”, “bilgi sistemleri kullanılamaz”, “personelin önemli kısmı çalışamaz” ve “kritik tedarikçi hizmet veremez” gibi etkiler için plan yazmak, farklı nedenlerden doğan aynı sonucu tek planla yönetmenizi sağlar.

Önerilen Destekleyici Dokümanlar

• Bağlam ve ilgili taraflar analizi: Müşterilerin, düzenleyicilerin ve hissedarların süreklilik beklentileri, sözleşmelerdeki hizmet seviyesi taahhütleri.
• Kritik tedarikçi listesi: Tedarikçilerin süreklilik kabiliyetleri ve alternatifleri.
• Kaynak gereksinimleri tablosu: Öncelikli faaliyetlerin zaman içinde ihtiyaç duyduğu personel, bilgi, teknoloji, tesis ve tedarik.
• Tatbikat programı: Masa başı tatbikattan tam ölçekli teste uzanan yıllık plan.
• Tatbikat sonrası değerlendirme şablonu: Gözlemler, aksaklıklar, iyileştirme faaliyetleri.
• Kriz iletişim şablonları: Çalışan, müşteri ve kamuoyu duyuruları için önceden hazırlanmış taslaklar.
• Plan dağıtım ve erişim listesi: Planın basılı ve çevrim dışı kopyalarının kimlerde bulunduğu.

Diğer Standartlarla Ortak Dokümanlar

ISO 22301, ISO 27001 ile güçlü bir ilişki içindedir. ISO 27001’in Ek A’sında iş sürekliliği sırasında bilgi güvenliği ve iş sürekliliği için BİT hazırlığına ilişkin kontroller bulunur. Bilgi güvenliği yönetim sistemi olan bir işletme; risk metodolojisini, varlık envanterini, yedekleme ve felaket kurtarma dokümanlarını, olay yönetimi sürecini ve tedarikçi değerlendirmelerini ISO 22301 ile ortak kullanabilir. Mevcut setinizi ISO 27001 doküman listesi ile karşılaştırabilirsiniz.

Ortak yapı sayesinde doküman kontrolü, iç tetkik, yönetimin gözden geçirmesi ve düzeltici faaliyet süreçleri de ISO 9001, ISO 14001 veya ISO 45001 ile birlikte yürütülebilir. Entegrasyon mantığı için entegre yönetim sistemi yazımıza bakabilirsiniz.

Sektörel Düzenlemelerle İlişki

Finans, telekomünikasyon, enerji ve sağlık gibi sektörlerde faaliyet gösteren kuruluşlar için iş sürekliliği planlaması çoğu zaman sektörel düzenlemelerin bir gereğidir. Kamu kurumları ve kamuya hizmet veren kuruluşlar için Bilgi ve İletişim Güvenliği Rehberi de iş sürekliliğine ilişkin tedbirler içerir. Bu durumda ISO 22301 dokümantasyonu, düzenleyici şartları karşıladığınızı gösteren sistematik bir çatı işlevi görür. Uygulanabilir şartları 4.2.2 maddesi kapsamında listeleyip her şartın hangi dokümanla karşılandığını gösterecek bir eşleştirme tablosu hazırlamanız önerilir. Rehber ile ilişki için Bilgi ve İletişim Güvenliği Rehberi ve ISO 27001 yazımıza bakabilirsiniz.

Denetimde En Sık Görülen Doküman Bulguları

1. İş etki analizinin yalnızca BT tarafından yapılması: İş birimleri sürece katılmadığı için kurtarma hedefleri gerçek iş ihtiyacını yansıtmaz.
2. Planların hiç test edilmemesi: Tatbikat programı vardır ama uygulanmamıştır ya da yalnızca yedekleme testi yapılmıştır.
3. İletişim listelerinin güncel olmaması: İşten ayrılmış kişilerin adları, değişmiş telefon numaraları.
4. Planların yalnızca ortak ağ klasöründe bulunması: Sistemler çalışmadığında plana erişilememesi.
5. Tedarikçi bağımlılıklarının değerlendirilmemesi: Bulut hizmeti, veri merkezi veya tek kaynaklı ham madde tedarikçisinin iş etki analizinde yer almaması.
6. Tatbikat sonuçlarının iyileştirmeye dönüşmemesi: Tatbikatta görülen aksaklıkların planlara yansıtılmaması.

Doküman Hazırlarken Pratik İlkeler

• Kısa ve eyleme dönük yazın: Kriz anında 40 sayfalık bir plan okunmaz. Kontrol listeleri ve karar akışları kullanın.
• Çevrim dışı erişim sağlayın: Planların basılı veya şifreli taşınabilir kopyalarını kritik kişilerde bulundurun.
• Sürüm kontrolü yapın: Dağıtılmış kopyaların güncel olduğunu düzenli olarak doğrulayın.
• Tatbikatla besleyin: Her tatbikat sonrası planları güncelleyin; plan ile tatbikat arasındaki döngü sistemin canlı kalmasını sağlar.
• İş etki analizini düzenli güncelleyin: Yeni ürünler, yeni sistemler veya organizasyon değişiklikleri sonrası analiz yeniden gözden geçirilmelidir.

Sık Sorulan Sorular

ISO 22301 için zorunlu dokümanlar nelerdir?

Yasal ve düzenleyici şartlar, kapsam, iş sürekliliği politikası, hedefler, iş etki analizi ve risk değerlendirmesi, stratejiler, müdahale yapısı, iletişim prosedürleri ve iş sürekliliği planları zorunlu dokümantasyonun temelini oluşturur. Tatbikat, izleme, iç tetkik, yönetimin gözden geçirmesi ve düzeltici faaliyet kayıtları da saklanmalıdır.

İş sürekliliği planı ile felaket kurtarma planı aynı şey mi?

Hayır. Felaket kurtarma planı genellikle bilgi sistemlerinin ve verilerin geri yüklenmesine odaklanır. İş sürekliliği planı ise personel, tesis, tedarikçi ve iletişim dahil olmak üzere öncelikli iş faaliyetlerinin bütün olarak sürdürülmesini ve kurtarılmasını kapsar. Felaket kurtarma planı iş sürekliliği planının bir parçası olabilir.

ISO 22301’de tatbikat zorunlu mu?

Evet. ISO 22301 madde 8.5, iş sürekliliği stratejilerinin ve planlarının etkinliğini doğrulamak için tatbikat ve test programı uygulanmasını ve sonuçların kayıt altına alınmasını ister.

İş sürekliliği planları ne sıklıkla güncellenmeli?

Standart planlı aralıklarla ve önemli değişikliklerden sonra değerlendirme yapılmasını ister. Uygulamada planlar yılda en az bir kez, her tatbikat sonrası ve organizasyon, sistem veya tedarikçi değişikliklerinde gözden geçirilir.

ISO 27001 belgesi olan bir işletme ISO 22301 dokümanlarını ortak kullanabilir mi?

Evet. Risk metodolojisi, varlık envanteri, yedekleme ve felaket kurtarma dokümanları, olay yönetimi ve tedarikçi değerlendirmeleri büyük ölçüde ortak kullanılabilir. Ancak iş etki analizi ve iş sürekliliği planları ISO 22301’e özgüdür ve ayrıca hazırlanmalıdır.

İş sürekliliği planları nerede saklanmalı?

Planlar, olağan bilgi sistemleri kullanılamadığında da erişilebilecek şekilde saklanmalıdır. Ortak ağ klasörüne ek olarak basılı kopyalar veya güvenli çevrim dışı kopyalar kritik ekip üyelerinde bulunmalıdır.

İlgili Rehberler

• ISO 22301 Belgesi: İş Sürekliliği Yönetim Sistemi
• İş Etki Analizi (BIA) Nasıl Yapılır? ISO 22301’e Göre RTO, RPO ve MTPD Belirleme Rehberi
• ISO 27001 Doküman Listesi
• ISO 27701 Doküman Listesi: 2025 Baskısına Göre Zorunlu Dokümanlar, Kayıtlar ve KVKK Eşleştirmesi
• Bilgi ve İletişim Güvenliği Rehberi ve ISO 27001: Farklar, Örtüşmeler ve Birlikte Uyum Rehberi
• Entegre Yönetim Sistemi: ISO 9001 + 14001 + 45001 Tek Denetimle Nasıl Alınır?