Noua eră a responsabilității cerută de DORA
DORA repoziționează Consiliile de Administrație ca proprietari primari ai rezilienței operaționale digitale. Aflați ce implică asta concret pentru compania dumneavoastră.
Sarcini specifice ale organului de conducere enumerate explicit
Funcții noi de control și monitorizare impuse
Strategii distincte obligatorii: IT și DORA
Conform articolului 5(2), organul de conducere trebuie să definească, aprobe, supravegheze și să-și asume responsabilitatea directă pentru întregul cadru de gestionare a riscurilor TIC. Această obligație acoperă:
Strategia DORA
Aprobarea și monitorizarea Strategiei de Reziliență Operațională Digitală
Continuitate TIC
Aprobarea politicii de continuitate a activității TIC și a planurilor de recuperare
Risc terți
Revizuirea periodică a riscului furnizorilor terți de servicii TIC
Politici de securitate
Aprobarea politicilor de securitate TIC conform RTS
Membrii conducerii sunt obligați să dețină cunoștințe și competențe suficiente privind riscurile TIC și să le actualizeze continuu prin formare specifică — o cerință fără precedent în reglementările anterioare.
Gradul tipic de pregătire al instituțiilor
față de cerințele DORA de guvernanță — estimare bazată pe analiza sectorului
Instituțiile care presupun că structura ISO existentă se transpune automat în funcția de control al riscului TIC impusă de DORA se pot găsi expuse în cadrul unui control de supraveghere.
Modelul celor trei linii de apărare
Management operațional TIC
Responsabil pentru controlul zilnic al riscurilor și implementarea politicilor
Funcția de control al riscului TIC
Nouă, distinctă față de ISO, cu mandat extins și independență structurală
Audit intern
Evaluează conformitatea cadrului și dacă conducerea și-a asumat real rolul impus de DORA
Articolul 5(3) impune suplimentar o funcție dedicată de monitorizare a contractelor cu furnizorii terți de servicii TIC, clar poziționată în cadrul de guvernanță.
Două strategii distincte obligatorii
Focalizată pe gestionarea riscului TIC. Include strategia privind riscul terților (Art. 28(2)) și, opțional, strategia multi-furnizor. Nu poate fi redenumită dintr-un document existent.
Instituțiile care unesc cele două documente fără a trata explicit conținuturile cerute de fiecare riscă să creeze un document care nu satisface niciuna dintre cerințe.
Lista de verificare a conformității
Concluzie
Instituțiile care abordează guvernanța DORA ca pe un exercițiu de documentare, și nu unul structural, vor constata că așteptările supraveghetorilor impun considerabil mai mult.
Instituția dvs. este pregătită pentru DORA?
Evaluați nivelul de conformitate al structurii dvs. de guvernanță și identificați lacunele înainte de o inspecție de supraveghere.