KOBİ'lerde iş etki analizi (BIA) metodolojisi: Kritik iş süreçlerini belirleme, kesinti maliyeti hesaplama ve iş sürekliliği yol haritasını hemen inceleyin.
Hızlı Özet (TL;DR)
İş Etki Analizi (BIA - Business Impact Analysis), olası bir siber saldırı (fidye yazılımı), sunucu odası arızası, yangın, enerji kesintisi veya kritik tedarikçi çöküşü durumunda işletmedeki iş süreçlerinin durmasının yaratacağı finansal, operasyonel, yasal ve itibar bazlı zararları zamana bağlı olarak ölçen stratejik bir mühendislik çalışmasıdır. ISO 22301 (Madde 8.2.2) ve TISAX denetimlerinin kalbini oluşturan BIA yapılmadan satın alınan yedekleme ve felaket kurtarma sistemleri, ya düşük öncelikli sistemlere gereksiz bütçe harcar ya da fabrikayı ayakta tutan asıl kritik veritabanlarını korumasız bırakır. KOBİ’ler için BIA’nın en somut çıktısı; hangi departmanın ve hangi yazılım/makine sisteminin hangi sırayla, kaç dakika içinde (RTO) ve en fazla ne kadar veri kaybı toleransıyla (RPO) kurtarılacağını gösteren onaylı bir yol haritasıdır.
Risk Değerlendirmesi (Risk Assessment) ile İş Etki Analizi (BIA) Arasındaki Fark Nedir?
Yönetim toplantılarında ve denetim hazırlıklarında en sık karıştırılan iki kavram Risk Analizi ile İş Etki Analizi (BIA) çalışmasıdır. Aralarındaki temel metodolojik fark şudur:
- Risk Değerlendirmesi “Neden ve Nasıl?” Sorusunu Sorar: Tehditlere, zafiyetlere ve gerçekleşme olasılıklarına odaklanır (Örneğin: “Sunucu odasında yangın çıkma olasılığı nedir?”, “Fidye yazılımının güvenlik duvarını aşma ihtimali nedir?”).
- İş Etki Analizi (BIA) “Eğer Çökerse Ne Olur?” Sorusunu Sorar: Kesintinin nedeninden (siber saldırı mı, deprem mi, trafo patlaması mı olduğundan) tamamen bağımsız olarak sonuca ve zamana karşı oluşan hasara odaklanır. “Sebebi ne olursa olsun, eğer bugün saat 10:00’da ERP ve Barkod sunucumuz tamamen kapanırsa; 1. saatte, 4. saatte, 24. saatte ve 3. günde fabrikamızda hangi çarklar durur ve kaç lira zarar ederiz?” sorusunun matematiksel cevabını üretir.
KOBİ ve Sanayi Tesislerinde BIA Sürecinin 5 Temel Aşaması
Kurumsal bir üretim işletmesinde iş etki analizi masa başında sadece bilgi işlem (IT) sorumlusunun tahminiyle yapılamaz. Tüm departman liderlerinin katılımıyla yürütülen 5 aşamalı BIA metodolojisi aşağıdaki tabloda özetlenmiştir:
| BIA Aşaması | Yürütülen Saha Faaliyeti | Katılımcı Departmanlar | Elde Edilen Somut Mühendislik Çıktısı |
|---|---|---|---|
| 1. Süreç ve Varlık Envanteri | Fabrikadaki tüm üretim, lojistik, kalite ve yönetim iş akışlarının uçtan uca listelenmesi | Üretim, Planlama, Depo, Kalite, Muhasebe, Satış, IT | Süreç Envanter Listesi ve Girdi/Çıktı Haritası |
| 2. Bağımlılık Haritalama | Her iş sürecinin hangi yazılıma, sunucuya, ağ cihazına, makineye ve kilit personele bağlı olduğunun tespiti | Süreç Sahipleri + IT ve Bakım Mühendisleri | BT/OT Bağımlılık Matrisi ve Tek Nokta Arıza (SPOF) Raporu |
| 3. Zamana Bağlı Etki Ölçümü | Kesintinin 1 saat, 4 saat, 24 saat ve 72 saat sürmesi halindeki maddi/operasyonel yıkımın hesaplanması | Finans, Üst Yönetim, Satış ve Üretim Müdürü | Zamana Bağlı Finansal Kayıp ve Ceza Matrisi |
| 4. MTPD, RTO ve RPO Tayini | Her süreç için dayanılabilecek maksimum kesinti (MTPD), hedef kurtarma süresi (RTO) ve veri kaybı (RPO) sınırının belirlenmesi | İSYS Komitesi ve Üst Yönetim | Onaylı Tier 1 / Tier 2 / Tier 3 Kurtarma Öncelik Tablosu |
| 5. Kaynak ve Mimari Eşleştirme | Belirlenen RTO/RPO hedeflerini teknik olarak sağlayacak sunucu, ZFS yedekleme ve ağ mimarisinin tasarlanması | IT Yönetimi ve Maysa Sistem Mühendisliği | Felaket Kurtarma Bütçesi ve Teknik Yatırım Planı |
Departman Yöneticileriyle BIA Mülakatı Nasıl Yapılır? (Örnek Sorular)
Başarılı bir BIA çalışmasının sırrı, üretim, depo ve muhasebe müdürlerine doğru soruları sormaktır. Mülakatlarda “Sizin bölümünüz önemli mi?” diye sorulursa her müdür “Benim bölümüm çok kritik, 1 dakika bile duramaz” cevabını verir. Bunun yerine şu somut sorular yöneltilir:
- Kesinti Zaman Çizelgesi Sorusu: “Kullandığınız Üretim Takip Yazılımı (MES) veya ERP ekranları pazartesi sabahı 09:00’da kapansa; ilk 2 saatte üretim bandı durur mu, yoksa eldeki basılı iş emirleriyle çalışmaya devam edebilir misiniz? Kaçıncı saatten itibaren sevkiyat ve tezgâhlar tamamen kilitlenir?”
- Manuel Geçici Çözüm (Workaround) Sorusu: “Sistem kapalıyken süreci kağıt, kalem veya çevrimdışı formlarla geçici olarak yürütebilir misiniz? Sistem tekrar açıldığında bu kağıtlardaki verileri sisteme girmek kaç saat (WRT) sürer?”
- Veri Kaybı (RPO) Sorusu: “Sistem çöktüğünde dün akşamki yedeğe dönmek zorunda kalsak, sabahtan beri yapılan sevkiyatları, kalite ölçümlerini ve stok düşümlerini tekrar tespit edip girebilir misiniz? Yoksa en fazla 15 dakikalık veri kaybına mı tahammülünüz var?”
- Dönemsel Kritiklik Sorusu: “Sürecinizin kritikliği ayın her günü aynı mı, yoksa ay sonu fatura kesim günlerinde, KDV/Muhtasar beyanname günlerinde veya OEM müşteri tır yükleme saatlerinde kritiklik seviyesi katlanıyor mu?”
Finansal ve Operasyonel Etki Ölçümü: Kesintinin 4 Boyutu
Bir sanayi işletmesinde sunucuların veya üretim ağının çökmesi durumunda oluşan zararlar yalnızca bilgi işlem onarım masrafıyla sınırlı değildir; dört ana kategoride puanlanır (1’den 5’e kadar şiddet skoru):
- Doğrudan Ciro ve Üretim Kaybı: İmalat bandının durması, barkod/etiket basılamadığı için mamullerin kolilenememesi, e-İrsaliye kesilemediği için rampadaki tırların çıkamaması.
- Sözleşmesel ve Yasal Cezalar: Otomotiv ana sanayi (JIT - Tam Zamanında Teslimat) müşterilerine taahhüt edilen teslimat pencerelerinin kaçırılması sonucu kesilen dakika bazlı hat durdurma cezaları, KVKK veri ihlali bildirim yükümlülükleri ve 5651 log kesintisi riskleri.
- Müşteri Güveni ve İtibar Kaybı: Sipariş durumu sorulduğunda “Sistemlerimiz çöktü, siparişinizin hangi aşamada olduğunu göremiyoruz” cevabını alan ihracat müşterilerinin alternatif tedarikçilere yönelmesi.
- Telafi ve Fazla Mesai Maliyeti: Kesinti süresince boş bekleyen vardiyanın maliyetine ek olarak, geciken siparişleri yetiştirmek için hafta sonu ödenen %100 zamlı fazla mesai, ekspres kargo/uçak kargo navlun farkları.
Kritiklik Seviyelerine (Tier) Göre Süreç Sınıflandırması ve Kurtarma Sırası
BIA puanlaması tamamlandığında fabrikadaki tüm süreçler ve bunlara hizmet eden BT/OT sistemleri 3 ana kritiklik katmanına ayrılır. Bir felaket anında bilgi işlem ekibi enerjisini rastgele harcamaz; kurtarma işlemini Tier 1 -> Tier 2 -> Tier 3 sırasıyla yürütür:
Tier 1: Kritik / Hayati Süreçler (MTPD: 4 Saat | Hedef RTO: 15–60 Dakika | Hedef RPO: < 15 Dakika)
- Kapsamdaki İş Süreçleri: Tır yükleme ve sevkiyat (e-İrsaliye), aktif üretim hattı iş emri ve barkod takibi, CNC/PLC saha ağ iletişimi, kurumsal güvenlik duvarı ve internet/VPN erişimi.
- Teknik Altyapı Karşılığı: Bu sistemler durduğunda fabrika fiziksel olarak felç olur. Yedekli (High Availability) güvenlik duvarı, NVMe sanallaştırma kümesi ve her 15 dakikada bir alınan TrueNAS ZFS anlık görüntü (Snapshot) replikasyonu zorunludur.
Tier 2: Önemli Operasyonel Süreçler (MTPD: 24 Saat | Hedef RTO: 2–8 Saat | Hedef RPO: 1–4 Saat)
- Kapsamdaki İş Süreçleri: CAD/CAM yeni ürün tasarım ve kalıp modelleme arşivi, satın alma talep/teklif onayları, kurumsal e-posta iletişimi, CRM müşteri teklif yönetimi ve ortak departman dosya paylaşımları.
- Teknik Altyapı Karşılığı: Birkaç saatlik kesinti geçici yöntemlerle tolere edilebilir ancak gün boyu sürmesi mühendislik ve ticari operasyonu durdurur. Saatlik ZFS snapshot ve hızlı yerel NAS/SAN geri yükleme mimarisi uygulanır.
Tier 3: Destek ve İdari Süreçler (MTPD: 72+ Saat | Hedef RTO: 24–48 Saat | Hedef RPO: 24 Saat)
- Kapsamdaki İş Süreçleri: İnsan kaynakları eğitim ve izin portalları, geçmiş yılların kapalı muhasebe arşivleri, Ar-Ge test simülasyon ortamları ve yemekhane/turnike raporlama yazılımları.
- Teknik Altyapı Karşılığı: Günlük gece yedeklemesi ve soğuk arşiv (Off-site / Bulut yedekleme) yeterlidir.
Tek Nokta Arıza (Single Point of Failure - SPOF) Tespiti
BIA çalışmasının en değerli mühendislik çıktılarından biri, fabrikadaki gizli Tek Nokta Arıza (SPOF) darboğazlarını ortaya çıkarmasıdır. Örneğin fabrikanın 2 milyon TL değerinde çok güçlü bir sunucusu olabilir; ancak tüm üretim holünün bağlı olduğu ana omurga switch’in yedek güç kaynağı (PSU) yoksa veya fabrikaya gelen fiber internet kablosu tek bir saha dolabından geçiyorsa ve yedek 4.5G/Metro hattı yoksa, 500 liralık bir adaptör arızası tüm fabrikayı durdurur. BIA bağımlılık haritası bu zayıf halkaları tek tek tespit ederek yedeklenmesini sağlar.
İşletmenizde ISO 22301 standartlarında İş Etki Analizi (BIA) yapmak, Özel İmalat Çözümleri altyapınızı kesintisiz kılmak ve doğru boyutlandırılmış felaket kurtarma sistemleri kurmak için Ortak Dosya Sunucusu ve Yedekleme ile Güvenlik Duvarı Firewall sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
İş Etki Analizi (BIA) belgesi ne sıklıkla güncellenmelidir?
ISO 22301 standardına göre BIA yaşayan bir dokümandır; yılda en az bir kez periyodik olarak gözden geçirilmelidir. Ayrıca fabrikaya yeni bir üretim hattı eklendiğinde, yeni bir ERP/MES yazılımına geçildiğinde, vardiya düzeni değiştiğinde veya önemli bir ana sanayi müşteri sözleşmesi imzalandığında yıl dolması beklenmeden BIA derhal güncellenmelidir.
BIA çalışmasında sadece bilgisayar ve sunucular mı analiz edilir?
Hayır. BIA bir “BT analizi” değil, “İş Süreci analizidir”. Bilgisayar ve sunucuların yanı sıra; kritik üretim makineleri (örneğin fabrikada sadece 1 adet bulunan özel ısıl işlem fırını veya CMM ölçüm cihazı), kritik hammadde tedarikçileri (Single-Source Supplier), elektrik/basınçlı hava/çiller altyapısı ve o işi dünyada sadece tek bir kişinin bildiği kilit personel bağımlılıkları da BIA kapsamına dahil edilir.
Küçük ve orta ölçekli bir fabrikada BIA çalışması kaç gün sürer?
50 ila 250 çalışanı olan standart bir üretim KOBİ’sinde; süreç envanterinin çıkarılması, 6–8 departman yöneticisiyle 45’er dakikalık odak mülakatların yapılması, bağımlılık matrisinin oluşturulması ve RTO/RPO hedeflerinin üst yönetim onayıyla raporlanması uzman bir danışman/mühendis eşliğinde ortalama 5 ila 10 iş günü içinde tamamlanır.