ISO 22301 Belgesi Nedir, Nasıl Alınır, Nereden Alınır? TÜRKAK Onaylı

ISO 22301 belgesi, bir kuruluşun deprem, yangın, siber saldırı, enerji kesintisi, pandemi ya da tedarik zinciri krizi gibi beklenmedik kesintiler karşısında kritik faaliyetlerini sürdürebildiğini ve en kısa sürede normale dönebildiğini uluslararası düzeyde kanıtlayan iş sürekliliği yönetim sistemi (İSYS / BCMS) belgesidir.

Bu rehberde ISO 22301 belgesinin ne olduğunu, standardın şartlarını, belgelendirme sürecinin nasıl işlediğini, ISO 22301 belgesinin nereden alınacağını ve TÜRKAK onaylı belgeyi nasıl ayırt edebileceğinizi adım adım anlatıyoruz.

ISO 22301 Belgesi Kısaca: Hızlı Bilgi Tablosu

ISO 22301 Belgesi Nedir?

ISO 22301, kuruluşların kesintiye yol açabilecek olaylara karşı hazırlanmasını, bu olaylara etkin biçimde müdahale etmesini ve olay sonrasında toparlanmasını sistematik biçimde yönetmesini sağlayan uluslararası iş sürekliliği yönetim sistemi standardıdır.

Standardın tam adı “ISO 22301 Güvenlik ve Dayanıklılık – İş Sürekliliği Yönetim Sistemleri – Gereklilikler” olup, kuruluşların sistemlerini bağımsız bir belgelendirme kuruluşuna denetleterek belgelendirebileceği gereklilikleri içerir.

İş sürekliliği yönetimi yalnızca bilgi teknolojileri altyapısını yedeklemek ya da bir felaket kurtarma planı hazırlamak anlamına gelmez.

ISO 22301 insan kaynağını, tesisleri, tedarikçileri, teknolojiyi ve bilgiyi birlikte ele alır; hangi ürün ve hizmetlerin kesintiye ne kadar süre tahammül edebileceğini belirler, ardından bu hedeflere ulaşmayı sağlayacak strateji, plan ve tatbikatları kurar.

Standart, ISO 9001, ISO 14001, ISO 27001 ve ISO 45001 gibi yönetim sistemi standartlarıyla aynı üst yapıyı (Annex SL) ve PUKÖ (Planla – Uygula – Kontrol Et – Önlem Al) mantığını kullanır.

Bu nedenle mevcut yönetim sistemlerinizle birlikte kurulabilir ve entegre denetimle belgelendirilebilir. Güncel sürüm ISO 22301:2019’dur; diğer ISO yönetim sistemi standartlarında olduğu gibi 2024’te iklim değişikliğinin kuruluşun bağlamı ve ilgili tarafların beklentileri içinde değerlendirilmesini isteyen bir değişiklik (Amd 1:2024) yayımlanmıştır.

İş Sürekliliği Yönetiminin Temel Kavramları

ISO 22301 belgesi uygulamalarında ve denetimlerinde sık karşılaşılan terimleri bilmek, standardın mantığını anlamayı kolaylaştırır. Aşağıdaki tablo en temel kavramları özetler:

Bu kavramların tamamı, standardın kalbi olan operasyon bölümünde (madde 8) bir araya gelir ve belgelendirme denetiminde en çok kanıt istenen alanı oluşturur.

ISO 22301 Belgesi Neden Önemli? Kuruluşa Sağladığı Faydalar

Kesintiler yalnızca üretimi ya da hizmeti durdurmakla kalmaz; müşteri güvenini, itibarı ve yasal yükümlülüklerin karşılanmasını da tehdit eder. ISO 22301 belgesi, bu riskleri tesadüfe bırakmadan yönettiğinizi kanıtlar. Kuruluşlara sağladığı başlıca faydalar şunlardır:

• Kesinti maliyetini düşürür: Hangi faaliyetin ne kadar sürede toparlanması gerektiği önceden bilindiği için kesinti anında zaman ve kaynak kaybı azalır.
• Müşteri ve paydaş güvenini artırır: Kritik hizmetlerinizin kesintiye rağmen sürdürüleceğini bağımsız bir denetimle kanıtlarsınız.
• İhale ve tedarikçi kriterlerini karşılar: Büyük kurumsal müşteriler ve kamu kurumları, tedarikçilerinden iş sürekliliği güvencesi isteyebilir.
• Yasal ve sektörel beklentilere uyumu kolaylaştırır: Finans, sağlık, enerji ve telekomünikasyon gibi sektörlerde düzenleyici kurumlar iş sürekliliği ve felaket kurtarma konusunda beklentiler belirler.
• Riskleri proaktif yönetir: İş etki analizi ve risk değerlendirmesi, zayıf noktaları olay yaşanmadan önce görünür kılar.
• Bilgi güvenliğiyle birlikte çalışır: ISO 27001:2022 Ek A’daki 5.29 (kesinti sırasında bilgi güvenliği) ve 5.30 (iş sürekliliği için BİT hazırlığı) kontrolleriyle doğrudan örtüşür.
• Kurumsal hazırlık kültürü oluşturur: Roller, sorumluluklar ve tatbikatlar sayesinde ekip, kriz anında ne yapacağını bilir.

ISO 22301 Belgesini Kimler Alabilir? Hangi Sektörler İçin Kritiktir?

ISO 22301 belgesi; büyüklüğü, sektörü ve faaliyet alanı ne olursa olsun tüm kuruluşlar için uygundur, küçük işletmeler standardı kendi ölçeklerine göre uygulayabilir. Ancak kesintinin maliyetinin çok yüksek olduğu sektörlerde talep daha yoğundur:

• Bankacılık, sigorta ve finans kuruluşları: İşlem sürekliliği, veri bütünlüğü ve müşteri hizmetlerinin kesintisiz sunulması kritiktir.
• Sağlık kuruluşları: Hastaneler, laboratuvarlar ve tıbbi cihaz tedarikçileri için kesinti doğrudan hasta güvenliğini etkiler.
• Enerji, su ve altyapı işletmeleri: Toplumun temel ihtiyaçlarını karşılayan bu hizmetlerde kesintiye tolerans çok düşüktür.
• Telekomünikasyon, veri merkezi, yazılım ve bulut hizmet sağlayıcıları: Hizmet seviyesi anlaşmalarının (SLA) korunması için erişilebilirlik hedefleri kritiktir.
• Lojistik, taşımacılık ve tedarik zinciri firmaları: Zincirin bir halkasındaki kesinti tüm müşterilere yansır; ISO 28000 ile birlikte ele alınabilir.
• Üretim ve gıda firmaları: Üretim hattının durması, hammadde tedarikindeki aksama ve soğuk zincir kırılmaları ciddi maliyet yaratır.
• E-ticaret ve perakende: Sipariş, ödeme ve depo süreçlerindeki kesinti satış ve itibar kaybına dönüşür.
• Kamu kurumları ve kamu ihalelerine katılan firmalar: Sürekli hizmet yükümlülüğü ve sözleşme şartları iş sürekliliği güvencesi gerektirebilir.

ISO 22301 belgesinin her kuruluş için yasal bir zorunluluk olmadığını da belirtmek gerekir; belgenin zorunlu hale geldiği durumlar genellikle sektör düzenlemeleri, ihale şartnameleri ve müşteri sözleşmeleridir. Genel çerçeve için ISO belgesi zorunlu mudur yazımıza göz atabilirsiniz.

ISO 22301 Standardının Maddeleri ve Şartları

ISO 22301 standartının, diğer yönetim sistemi standartlarıyla ortak olan 4 ile 10 arasındaki maddelerden oluşur. Her maddenin uygulamada ne anlama geldiği aşağıda özetlenmiştir:

ISO 22301 Belgesi Nasıl Alınır? Adım Adım Belgelendirme Süreci

ISO 22301 belgesi almak, standardın gerekliliklerini kuruluşunuzun gerçek iş akışlarına uyarlayıp sürdürülebilir hale getirmeyi gerektirir. Süreç genel olarak şu adımlarla ilerler:

1. Mevcut durum (boşluk) analizi: Kuruluşun mevcut iş sürekliliği uygulamaları standardın gereklilikleriyle karşılaştırılır; eksik doküman, süreç ve altyapı alanları raporlanır. Nobel Belgelendirme bu aşamada altyapı eksikleri analizi ve standart uyum raporu ile mevcut doküman eksiklerinin belirlenmesi hizmetleriyle destek verir.
2. Kapsam, politika ve üst yönetim taahhüdü: Sistemin hangi lokasyon, ürün ve hizmetleri kapsayacağı belirlenir; üst yönetim iş sürekliliği politikasını yayımlar ve roller atanır.
3. Risk değerlendirmesi ve iş etki analizi (BIA): Kritik faaliyetler, bağımlılıklar, RTO, RPO ve MTPD değerleri belirlenir; olası kesinti senaryoları ve riskleri değerlendirilir.
4. Strateji ve çözümlerin seçilmesi: Alternatif lokasyon, uzaktan çalışma, yedek tedarikçi, veri yedekleme ve çoğaltma gibi çözümler maliyet ve etkinlik açısından değerlendirilerek seçilir.
5. İş sürekliliği planlarının hazırlanması: Olay müdahale yapısı, uyarı ve iletişim planı, iş sürekliliği planları ve kurtarma prosedürleri yazılır. ISO entegre doküman kurulumları sayesinde bu dokümanlar diğer yönetim sistemi dokümanlarınızla uyumlu hazırlanabilir.
6. Eğitim, farkındalık ve tatbikat: Ekip eğitilir; planlar en az bir tatbikatla sınanır ve sonuçlar kayıt altına alınır.
7. İç tetkik ve yönetimin gözden geçirmesi: Sistem, tarafsız iç tetkikçilerle denetlenir (ekibinizi ISO 19011 iç tetkik eğitimi ile yetiştirebilirsiniz), bulgular kapatılır ve üst yönetim sistemi gözden geçirir.
8. Belgelendirme denetimi: TÜRKAK akreditasyonlu belgelendirme kuruluşu Aşama 1 ve Aşama 2 denetimlerini gerçekleştirir; sonuç uygunsa ISO 22301 belgesi düzenlenir.

ISO 22301 belgesi ne kadar sürede alınır?

Süre; kuruluşun büyüklüğüne, lokasyon sayısına, mevcut sistem olgunluğuna ve ayrılan kaynağa göre değişir.

İş sürekliliği altyapısı bulunmayan orta ölçekli kuruluşlarda hazırlık ve belgelendirme genellikle 3 ile 9 ay arasında tamamlanır; ISO 9001 veya ISO 27001 gibi sistemleri zaten yürüten kuruluşlar mevcut altyapılarını kullanarak bu süreyi kısaltabilir.

Genel bir çerçeve için ISO belgesi kaç günde alınır yazımıza da bakabilirsiniz.

Belgelendirme Denetimi: Aşama 1 ve Aşama 2

Aşama 1 denetiminde belgelendirme kuruluşu dokümantasyonu, sistem kapsamını ve denetime hazırlık düzeyini gözden geçirir. Aşama 2 denetimi ise sistemin gerçekten uygulandığını, hedeflerin izlendiğini ve planların çalıştığını kanıtlarla doğrular.

Denetimde tespit edilen uygunsuzluklar belirlenen süre içinde kapatılır; ardından belgelendirme kararı verilir ve belge düzenlenir. İş etki analizi sonuçları, iş sürekliliği planları, tatbikat kayıtları ve iç tetkik raporları denetçinin en çok incelediği kanıtlar arasındadır.

Belge Sonrası: Gözetim Denetimleri ve Yeniden Belgelendirme

ISO 22301 belgesi 3 yıl geçerlidir. Bu süre boyunca sistemin canlı tutulduğunu doğrulamak için genellikle yılda bir gözetim denetimi yapılır; üçüncü yılın sonunda ise yeniden belgelendirme denetimi ile belge yenilenir.

Ayrıntılar için ISO belgesi kaç yıl geçerlidir ve ISO belgesi yenileme süreci yazılarına göz atabilirsiniz.

ISO 22301 Belgesi Nereden Alınır? TÜRKAK Onaylı Belge Nasıl Anlaşılır?

ISO 22301 belgesi, belgelendirme denetimi yapma yetkisine sahip bir belgelendirme kuruluşu tarafından düzenlenir.

Belgenin kamu kurumlarında, ihalelerde ve büyük kurumsal müşterilerin tedarikçi değerlendirmelerinde kabul görmesi için TÜRKAK (Türk Akreditasyon Kurumu) tarafından akredite edilmiş bir kuruluştan alınması gerekir.

TÜRKAK, belgelendirme kuruluşlarının yetkinliğini, tarafsızlığını ve denetim kalitesini TS EN ISO/IEC 17021-1 gibi uluslararası standartlara göre değerlendirir ve akredite eder.

TÜRKAK’ın uluslararası akreditasyon kuruluşlarının (IAF ve EA) karşılıklı tanıma yapılarında yer alması da akredite kuruluşların düzenlediği belgelerin yurt dışında kabul görmesini kolaylaştırır. Akreditasyonun ne olduğunu ayrıca inceleyebilirsiniz.

Doğru Belgelendirme Kuruluşunu Seçerken Kontrol Etmeniz Gerekenler

• Akreditasyon durumu ve kapsamı: Kuruluşun TÜRKAK akreditasyonunun geçerli olduğunu ve kapsamında ISO 22301 (iş sürekliliği yönetim sistemi) bulunduğunu TÜRKAK’ın resmi internet sitesinden doğrulayın.
• Belge üzerindeki akreditasyon işareti: Akredite bir belgede akreditasyon işareti ve doğrulanabilir bir belge numarası bulunması beklenir; belgenin düzenleyen kuruluşun kaydında sorgulanabildiğinden emin olun.
• Denetçi yetkinliği: Denetimin, iş sürekliliği yönetimi alanında yetkin ve baş denetçi niteliklerine sahip denetçilerce yürütüldüğünü kontrol edin.
• Şeffaf denetim planı ve fiyat: Denetim süresi (adam/gün), gözetim ve yeniden belgelendirme maliyetleri başlangıçta yazılı olarak netleşmelidir.
• Sektör deneyimi: Kuruluşun sektörünüzün risklerini ve gerekliliklerini tanıması denetimin verimini artırır.
• Süreç boyunca destek: Hazırlık, doküman, iç tetkik ve denetim planlaması için tek noktadan destek almak süreci hızlandırır.

Daha geniş bir değerlendirme için ISO belgesi veren firmalar nasıl seçilir rehberimizi de okuyabilirsiniz.

Nobel Belgelendirme, TÜRKAK akreditasyonlu belgelendirme kuruluşlarıyla kurduğu iş birlikleri sayesinde ISO 22301 dahil TÜRKAK onaylı ISO belgesi sürecini başvurudan sonuca kadar yönetir.

Mevcut durumunuzu değerlendirir, doküman ve süreç eksiklerinizi belirler, iç tetkik ve denetim hazırlıklarında yanınızda olur; belgeyi düzenleyen kuruluşun akreditasyon durumunu ve kapsamını ise her zaman TÜRKAK’ın resmi internet sitesinden doğrulayabilirsiniz. Merkezimiz Ankara’dadır ve Türkiye’nin her ilindeki firmalara hizmet veriyoruz. Belgelendirme hizmetlerimizin tamamını inceleyebilirsiniz.

ISO 22301 Belgesi Fiyatı Nasıl Belirlenir?

ISO 22301 belgesi maliyeti sabit bir tutar değildir; belgelendirme kuruluşu denetim süresini (adam/gün) kuruluşunuza özgü kriterlere göre hesaplar. Fiyatı etkileyen başlıca unsurlar şunlardır:

• Çalışan sayısı ve kapsamdaki personel: Kapsama giren kişi sayısı arttıkça denetim süresi uzar.
• Lokasyon ve tesis sayısı: Her ek lokasyon denetim süresini ve örnekleme kapsamını etkiler.
• Kritik süreç ve hizmet sayısı: İş etki analizi sonucunda belirlenen kritik faaliyetlerin çokluğu ve karmaşıklığı süreyi belirler.
• Sektör ve risk düzeyi: Finans, sağlık ve enerji gibi yüksek riskli sektörlerde denetim kapsamı genişleyebilir.
• Mevcut olgunluk düzeyi: Dokümanların ve iş sürekliliği altyapısının hazır olması, hazırlık ve danışmanlık maliyetini düşürür.
• Entegre denetim: ISO 9001 veya ISO 27001 gibi standartlarla birlikte yapılan denetim zaman ve maliyet avantajı sağlayabilir.

Kuruluşunuza özel net bir fiyat için fiyat teklifi formunu doldurabilir veya iletişim sayfamızdan bize ulaşabilirsiniz.

ISO 22301 ile ISO 27001, ISO 31000 ve Diğer Standartların İlişkisi

ISO 22301 tek başına çalışmaz; kuruluşun risk, bilgi güvenliği ve hizmet yönetimi sistemleriyle birlikte düşünüldüğünde en yüksek değeri sağlar. En sık birlikte uygulanan standartlar şunlardır:

Birden fazla standardı birlikte kurmayı düşünüyorsanız ISO entegre doküman kurulumları hizmetimiz, ortak dokümanları tek çatı altında toplayarak tekrar eden işi azaltır.

ISO 22301 Sürecinde En Sık Yapılan Hatalar

Uygulamada belgelendirme sürecini uzatan ve denetimde uygunsuzluğa yol açan hatalar büyük ölçüde benzerdir:

• İş etki analizi yapmadan plan yazmak: Hangi faaliyetin ne kadar kesintiyi kaldırabileceği bilinmeden yazılan planlar gerçek ihtiyaçla uyuşmaz.
• Sistemi yalnızca BT ve yedekleme olarak görmek: İnsan kaynağı, tesis, tedarikçi ve iletişim boyutu ihmal edilirse plan sahada işlemez.
• Planları hiç sınamamak: Tatbikat yapılmamış bir plan hem denetimde hem de gerçek bir olayda kanıtsız kalır.
• Gerçekçi olmayan RTO ve RPO hedefleri: Mevcut altyapıyla ulaşılamayacak hedefler belirlemek uygunsuzluğa yol açar.
• Üst yönetim desteğinin eksikliği: Kaynak ve yetki verilmediğinde sistem kâğıt üzerinde kalır.
• Tedarikçi bağımlılıklarını gözden kaçırmak: Kritik bir tedarikçi kesintiye uğradığında planın devreye girip girmediği önceden sorgulanmalıdır.
• Dokümanları güncellememek: Personel, lokasyon veya altyapı değiştiğinde planlar güncellenmezse sistem zamanla işlevini yitirir.

Bu hataların çoğu, belgelendirme denetiminden önce yapılacak kapsamlı bir hazırlık ve deneme denetimiyle yakalanabilir. İç tetkik soru listeleri ve dış denetim hizmetlerimiz bu aşamada işinize yarar.

ISO 22301 Belgesi Hakkında Sık Sorulan Sorular

ISO 22301 belgesi zorunlu mudur?

Yasal olarak tüm kuruluşlar için genel bir zorunluluk yoktur. Ancak bazı sektör düzenlemeleri, kamu ve kurumsal ihaleler ile büyük müşterilerin tedarikçi kriterleri iş sürekliliği yönetimi ve belgesi talep edebilir.

ISO 22301 belgesi nereden alınır?

ISO 22301 belgesi, kapsamında iş sürekliliği yönetim sistemi bulunan, TÜRKAK akreditasyonlu bir belgelendirme kuruluşundan alınır. Kuruluşun akreditasyon durumunu ve kapsamını TÜRKAK’ın resmi internet sitesinden doğrulayabilirsiniz. Nobel Belgelendirme, TÜRKAK akreditasyonlu belgelendirme kuruluşlarıyla iş birliği içinde çalışarak bu süreci başvurudan sonuca kadar yönetir.

ISO 22301 belgesi kaç ayda alınır?

Süre, kuruluşun büyüklüğüne, lokasyon sayısına ve mevcut sistem olgunluğuna bağlıdır. İş sürekliliği altyapısı olmayan orta ölçekli kuruluşlarda hazırlık ve belgelendirme genellikle 3 ile 9 ay arasında tamamlanır; ISO 9001 veya ISO 27001 gibi sistemleri yürüten kuruluşlar bu süreyi kısaltabilir.

ISO 22301 belgesi kaç yıl geçerlidir?

ISO 22301 belgesi 3 yıl geçerlidir. Bu süre boyunca genellikle yılda bir gözetim denetimi yapılır ve sürenin sonunda yeniden belgelendirme denetimi ile belge yenilenir.

ISO 22301 belgesi fiyatı ne kadardır?

Belge maliyeti sabit değildir; çalışan sayısı, lokasyon sayısı, kritik süreçlerin kapsamı, sektör riski ve mevcut sistem olgunluğuna göre belirlenen denetim süresine bağlıdır. Kuruluşunuza özel net fiyat için fiyat teklifi formunu doldurabilirsiniz.

ISO 22301 ile ISO 27001 arasındaki fark nedir?

ISO 27001 bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya odaklanır. ISO 22301 ise bir kesinti anında kritik faaliyetlerin sürdürülmesine ve toparlanmasına odaklanır. İki standart birbirini tamamlar; birlikte kurulabilir ve entegre denetimle belgelendirilebilir.

Küçük işletmeler ISO 22301 belgesi alabilir mi?

Evet. Standart büyüklükten bağımsız uygulanabilir; küçük işletmeler kritik faaliyet sayısı az olduğu için sistemi daha sade kurabilir. Önemli olan kesinti risklerinin ve bağımlılıkların doğru analiz edilmesidir.

Nobel Belgelendirme TÜRKAK akreditasyonuna sahip mi?

Nobel Belgelendirme, TÜRKAK akreditasyonlu belgelendirme kuruluşlarıyla iş birliği içinde çalışarak ISO 22301 dahil TÜRKAK onaylı ISO belgesi alım sürecini başvurudan sonuca kadar yönetir; akreditasyon durumunu TÜRKAK’ın resmi internet sitesinden doğrulayabilirsiniz.

Sonuç: ISO 22301 ile Kesintiye Hazır Olun

Kesintiler artık istisna değil; doğal afetlerden siber saldırılara, tedarik zinciri krizlerinden enerji kesintilerine kadar her kuruluşun karşılaşabileceği bir gerçek.

ISO 22301 belgesi, bu belirsizlik karşısında kritik faaliyetlerinizin sürdürüleceğini ve müşterilerinize verdiğiniz sözün korunacağını kanıtlamanın uluslararası ve doğrulanabilir yoludur.

TÜRKAK onaylı ISO 22301 belgesi sürecinizi başlatmak, mevcut durumunuzu değerlendirtmek ve kuruluşunuza özel bir yol haritası almak için fiyat teklifi formunu doldurabilir ya da bizimle iletişime geçebilirsiniz.