Uygulamada DORA: Operasyonel Dayanıklılığın Bankacılık Profesyonelleri İçin Anlamı

Operasyonel dayanıklılık bir bankacılık disiplini haline geldi

Modern bankacılık; ödemeler, müşterilerin erişimi, kredilendirme, ticaret finansmanı, uyum, hazine ve iç operasyonlar için dijital altyapıya dayanır. Bu nedenle büyük bir teknoloji arızası artık yalnızca BT departmanı ile sınırlı bir aksaklık değil; müşterileri, piyasaları ve düzenleyici yükümlülükleri etkileyen bir iş kesintisine dönüşebilir. Dijital Operasyonel Dayanıklılık Yasası (DORA), ICT risk yönetimi, olay bildirimi, dayanıklılık testleri ve üçüncü taraf teknoloji riski için ortak bir Avrupa çerçevesi oluşturarak bu gerçeğe yanıt vermektedir.

Bankacılık profesyonelleri için önemli olan nokta, dayanıklılığın kurum genelinde bir sorumluluk olduğudur. Her iş birimi sistemlere, verilere ve dış sağlayıcılara dayanır. Ticaret finansmanı belge platformlarına ve yaptırım taramasına dayanır; perakende bankacılık dijital kanallara ve ödeme altyapısına; uyum araçları ve verilere; kredi ekipleri ise modellere ve bilgi sistemlerine dayanır. Bir alandaki arıza hızla diğer alanlara yayılabilir.

Hazırlık, önleme ve tespit

Etkin dayanıklılık, kritik olanın anlaşılmasıyla başlar. Bankalar, kesinti sırasında hangi hizmetlerin devam etmesi gerektiğini, hangi sistemlerin bu hizmetleri desteklediğini ve bu sistemlerin altında hangi üçüncü tarafların bulunduğunu bilmelidir. Bu harita olmadan kurtarma planlaması spekülatif kalır. Bu nedenle, kritiklik değerlendirmeleri teknoloji bağımlılıklarını gerçek müşteri ve iş sonuçlarıyla ilişkilendirmelidir.

Önleme hâlâ esastır. Güvenli yapılandırma, yamalar, erişim yönetimi, izleme ve etkin değişiklik kontrolü arıza olasılığını azaltır. Ancak DORA, daha geniş bir ilkeyi de yansıtır: Önleyici kontroller hâlâ bazı arızaların meydana gelmesini engelleyemez. Bu nedenle dayanıklılık, kurumun kesintiyi hızla tespit etme, sınırlama ve kritik hizmetleri sunmaya devam etme yeteneğine bağlıdır.

Tespit, hem teknoloji hem de net bir üst makama bildirim süreci gerektirir. Çalışanlar bir olayın ne zaman olay teşkil ettiğini, olağandışı faaliyetlerin nasıl bildirildiğini ve bir durumun düzenleyici makamlara bildirilmesi gerekecek kadar ciddi hale gelip gelmediğini anlamalıdır. Bir olay sırasında yaşanan belirsizlik değerli zaman kaybettirir.

Müdahale, kurtarma ve öğrenme

Kesinti meydana geldiğinde sorumluluklar açıkça tanımlanmalıdır. Müdahaleye kim liderlik eder? Müşterilerle kim iletişim kurar? Bir hizmetin askıya alınıp alınmayacağına kim karar verir? Denetleyici makamlarla kim irtibatta bulunur? Bu kararlar kriz anında uydurulmamalıdır. Senaryo çalışmaları ve belgelenmiş yetki, müdahaleyi daha hızlı ve tutarlı hale getirir.

Kurtarma, yalnızca bir sistemi yeniden devreye almaktan fazlasını içerir. Veri bütünlüğü kontrol edilmeli, işlemler karşılaştırılmalı ve sonraki süreçler gözden geçirilmelidir. Teknik olarak çevrimiçi olan ancak bozulmuş veya eksik bilgilerle çalışan bir hizmet gerçekten kurtarılmış sayılmaz. Bu nedenle bankalar, yalnızca sistem kullanılabilirliğini değil, işin doğruluğunu da içeren kurtarma kriterleri tanımlamalıdır.

Her önemli olaydan öğrenim de çıkarılmalıdır. Kök neden analizi, iyileştirme takibi ile iletişim ve üst makama bildirim süreçlerinin gözden geçirilmesi dayanıklılığın merkezinde yer alır. Ramak kala olaylar, büyük bir kayıp meydana gelmeden önce zayıf noktaları ortaya çıkardığı için dikkat çekmelidir.

DORA kapsamında üçüncü taraf teknoloji riski

Bankalar giderek daha fazla bulut hizmetlerine, yazılım sağlayıcılarına, ödeme işlemcilerine ve uzman satıcılara dayanmaktadır. Dış kaynak kullanımı verimliliği artırabilir, ancak sorumluluğu devretmez. Kurumlar, kritik tedarikçilerin dayanıklılığını, sözleşme haklarını, olay bildirim düzenlemelerini, kurtarma yeteneklerini ve çıkış seçeneklerini anlamalıdır.

Yoğunlaşma riski özellikle önemlidir. Birçok kritik işlev tek bir sağlayıcıya bağlıysa, o sağlayıcının arızası birden fazla kurumu aynı anda etkileyebilir. DORA'nın kritik üçüncü taraf sağlayıcılara odaklanması, bu riskin sistemsel doğasını yansıtır.

Yapay zeka bir katman daha ekler. Bankalar analiz, dolandırıcılık tespiti, müşteri hizmetleri ve verimlilik araçlarında dış yapay zeka modellerini ve hizmetlerini giderek daha fazla kullanmaktadır. Aynı dayanıklılık soruları geçerlidir: Veriler nerede işleniyor, modeller nasıl güncelleniyor, banka sağlayıcıyı ne kadar sürede değiştirebilir ve dış hizmet kullanılamaz olduğunda ne olur?

Dayanıklılık testleri ve kurumsal kültür

Testler, uyumluluğu kanıtlamaktan ziyade zayıf noktaları ortaya çıkaracak şekilde tasarlanmalıdır. Senaryo temelli çalışmalar; bir müşteri portalının kaybını, bulut kesintisini, fidye yazılımını, bozulmuş verileri veya bir üçüncü taraf sağlayıcının arızasını inceleyebilir. Daha gelişmiş kurumlar, yaygın hatalı çıktılar veya kritik bir sürece entegre edilmiş bir model hizmetinin kaybı gibi yapay zeka ile ilgili senaryoları da değerlendirebilir.

İnsan hâlâ merkezdedir. Teknik olarak iyi tasarlanmış bir kurtarma planı, çalışanlar baskı altında uygulayamıyorsa etkisizdir. Bu nedenle eğitim, iletişim ve gerçekçi çalışmalar önemlidir. Üst yönetim katılımı da aynı derecede önemlidir; çünkü dayanıklılık itibarı, müşteri güveni ve finansal performansı etkiler.

DORA, faydalı bir kültürel dönüşümü teşvik eder. Geleneksel operasyonel risk genellikle arızayı önlemeye odaklanırken; modern dayanıklılık, bazı kesintilerin kaçınılmaz olduğunu kabul eder ve bankanın temel hizmetleri sunmaya devam etme yeteneğine odaklanır. Bu; yedeklilik, acil durum planları, netlik ve bilinçli karar verme gerektirir.

Sonuç

Bankacılık profesyonelleri için dijital yetkinlik artık mesleki yetkinliğin bir parçasıdır. Yöneticilerin güvenlik duvarlarını yapılandırmasına gerek yoktur, ancak hangi teknolojinin işlevlerini desteklediğini, hangi yedek düzenlemelerin mevcut olduğunu ve tedarikçi bağımlılıklarının riski nasıl etkilediğini anlamaları gerekir. Bu nedenle eBSI Bankacılık Akademisi, operasyonel dayanıklılığı çağdaş bankacılık bilgisinin temel bir bileşeni olarak ele alır.

DORA, yalnızca düzenleyici raporlar üretmek yerine olaylar arasındaki davranışları değiştirdiğinde en faydalı hale gelir. Bağımlılıklarını anlayan, bunları dürüstçe test eden ve arızalardan öğrenen kurumlar, yalnızca siber saldırılara karşı değil, genel olarak teknoloji değişimlerine karşı da daha dayanıklı hale gelir. Operasyonel dayanıklılık nihayetinde güvenle ilgilidir: Müşteriler paralarına erişmeyi, işletmeler ödemelerin gerçekleşmesini ve piyasalar zorlu koşullarda finansal kurumların işlevini sürdürmesini bekler.

Dayanıklılık, olağan yönetim bilgilerinde görünür olmalıdır

DORA, dayanıklılığın yıllık bir uyum çalışması olmaktan ziyade normal yönetimin bir parçası haline geldiği yerde en büyük değerini kazanacaktır. Üst yönetim; önemli olaylar, tekrarlayan zafiyetler, tedarikçi bağımlılıkları, test sonuçları ve süresi geçmiş iyileştirmeler hakkında bilgi almalıdır. Bu göstergeler, büyük bir olay meydana gelmeden önce operasyonel zayıflığın birikip birikmediğini görmeyi mümkün kılar.

İş birimleri de kendi dayanıklılık varsayımlarını anlamalıdır. Bir yönetici, hangi uygulamaların işlev için kritik olduğunu, ne kadar süre kullanılamayacaklarını ve hangi manuel alternatiflerin mevcut olduğunu bilmelidir. Bu bilgi, dijital dönüşüm eski yedekleme süreçlerini ortadan kaldırdığında özellikle önemlidir. Kurum, pratik bir alternatifi olmayan, son derece optimize edilmiş tek bir sisteme bağımlı hale gelirse verimlilik, dayanıklılığı istemeden azaltabilir. DORA, bankaları bu ödünleşmeyi açıkça incelemeye ve kritik hizmetlerin gerçekçi koşullar altında kurtarılabilir kalmasını sağlamaya teşvik eder.

Belgelendirme, yalnızca uyumluluğu kanıtlamak yerine eylemi desteklemelidir. Normal sistemler kullanılamadığında kritik prosedürlere, iletişim bilgilerine ve karar yetkililerine erişilebilmelidir. Kurumlar, çalışanların planı gerçekçi koşullar altında gerçekten kullanıp kullanamayacağını test etmelidir. Yalnızca tüm olağan araçlar kullanıma açıkken işleyen bir dayanıklılık çerçevesinin, tasarlandığı kesinti sırasında faydalı olması pek olası değildir.