Exigences de gouvernance DORA : responsabilité de la direction

Les membres du conseil, les dirigeants et les cadres supérieurs doivent maintenant s'engager activement dans la gestion des risques TIC, suivre une formation et assumer une responsabilité personnelle pour la résilience numérique de leur organisation.

Points clés

Réponse rapide : DORA exige que l'organe de direction (conseil d'administration, direction générale ou équivalent) assume une responsabilité directe pour la gestion des risques TIC. Cela inclut l'approbation du cadre de risques TIC, l'assurance de ressources adéquates, le suivi d'une formation pour comprendre les risques TIC, et la supervision active de la mise en œuvre. Les membres individuels peuvent être tenus personnellement responsables en cas de défaillance, avec des sanctions potentielles jusqu'à 1 million d'euros par individu.

Qui est l'organe de direction ?

Les exigences de gouvernance de DORA s'appliquent à « l'organe de direction », défini conformément à la législation sectorielle :

En pratique, cela désigne le conseil d'administration et l'équipe de direction.

Responsabilités fondamentales de gouvernance

Propriété du cadre

L'organe de direction doit :

Cela ne peut pas être entièrement délégué. Bien que la gestion quotidienne puisse être assignée à d'autres, l'organe de direction conserve la responsabilité ultime.

Cadre de gestion des risques TIC

Obligations spécifiques de l'organe de direction concernant le cadre :

Allocation des ressources

L'organe de direction doit assurer des ressources adéquates :

Continuité d'activité

Obligations spécifiques pour la continuité d'activité :

• Approuver la politique de continuité d'activité TIC
• S'assurer que les plans de continuité sont en place
• Revoir les résultats des tests
• Superviser les arrangements de gestion de crise

Exigences de formation

Formation de l'organe de direction

DORA exige explicitement que les membres de l'organe de direction :

« Maintiennent activement à jour des connaissances et compétences suffisantes pour comprendre et évaluer les risques TIC et leur impact sur les opérations de l'entité financière. »

Cela signifie une formation régulière sur :

Format de la formation

La formation peut inclure :

• Briefings au niveau du conseil par la direction TIC
• Présentations d'experts externes
• Conférences et événements de l'industrie
• Programmes de formation formels
• Exercices de scénarios et simulations

Documentation

Maintenez des preuves de la formation de l'organe de direction :

• Registres de formation
• Procès-verbaux de réunions reflétant les discussions TIC
• Participation à des événements pertinents
• Qualifications et certifications

Supervision et reporting

Reporting des risques TIC à la direction

L'organe de direction devrait recevoir un reporting régulier sur :

Points à l'ordre du jour du conseil

Les risques TIC devraient être un point régulier à l'ordre du jour du conseil :

• Revue des métriques et tendances des risques TIC
• Revues des incidents significatifs
• Mises à jour sur les risques tiers
• Résultats des tests et audits
• Discussions sur les ressources et le budget
• Évolutions réglementaires

Documentation des décisions

Documentez les décisions de l'organe de direction sur les questions TIC :

• Approbations de politiques
• Allocations de ressources
• Décisions d'acceptation des risques
• Arrangements avec les tiers
• Modifications du cadre

Structure organisationnelle

Fonction de gestion des risques TIC

Pour les non-microentreprises, DORA exige une fonction de gestion des risques TIC qui est :

• Indépendante des fonctions TIC opérationnelles
• Dotée d'un personnel et de ressources adéquats
• Capable de rendre compte directement à la direction

Lignes de reporting

Lignes de reporting claires pour les questions de risques TIC :

1Organe de direction
2       ↑
3   Rapports sur les risques TIC
4       ↑
5Fonction de gestion des risques TIC
6       ↑
7   Informations de
8       ↑
9Opérations TIC, Sécurité, Gestion des tiers

Rôles et responsabilités

Définissez des responsabilités claires pour :

Responsabilité personnelle

Responsabilité individuelle

DORA crée une responsabilité personnelle pour les membres de l'organe de direction :

Conséquences potentielles

Les sanctions individuelles peuvent inclure :

Assurance D&O

Les administrateurs devraient revoir leur couverture d'assurance D&O concernant :

• Les réclamations liées à DORA
• Les coûts d'enquête réglementaire
• Les frais de défense
• Les limitations et exclusions

Mise en œuvre pratique

Éducation du conseil

Commencez par l'éducation de l'organe de direction :

1. Briefez le conseil sur les exigences DORA et leurs implications
2. Expliquez les dispositions de responsabilité personnelle
3. Définissez ce que signifie la supervision active en pratique
4. Établissez une cadence de formation continue

Améliorations de la gouvernance

Envisagez des changements structurels :

Pratiques de documentation

Maintenez une documentation robuste :

• Procès-verbaux du conseil reflétant les discussions TIC
• Registres d'approbation des politiques et cadres
• Registres de formation pour l'organe de direction
• Justifications des décisions pour les choix significatifs

Questions fréquentes

Peut-on déléguer entièrement la gestion des risques TIC au CTO ?

Non. Bien que la gestion quotidienne puisse être déléguée, l'organe de direction conserve la responsabilité ultime du cadre. La supervision active, l'approbation et l'allocation des ressources restent des responsabilités de l'organe de direction.

À quelle fréquence le conseil devrait-il discuter des risques TIC ?

Les risques TIC devraient être un point régulier à l'ordre du jour, au minimum trimestriellement. Les incidents ou changements significatifs justifient une attention immédiate du conseil.

Quelle formation est requise ?

DORA exige que les membres de l'organe de direction maintiennent des « connaissances et compétences suffisantes » pour comprendre les risques TIC. La formation spécifique dépend du parcours individuel et de la complexité de l'entité, mais des mises à jour régulières sont essentielles.

Cela s'applique-t-il aux administrateurs non exécutifs ?

Oui. Tous les membres de l'organe de direction partagent la responsabilité de la gestion des risques TIC, y compris les administrateurs non exécutifs. Ils doivent être suffisamment informés pour assurer une supervision efficace.

Comment démontrer la conformité ?

Maintenez des preuves des activités de gouvernance : procès-verbaux de réunions, registres de formation, documents d'approbation, supports de reporting et documentation des décisions. Les régulateurs peuvent demander ces preuves lors des examens.

Comment Bastion peut vous aider

Bastion accompagne les organes de direction pour répondre aux exigences de gouvernance DORA :

• Briefings au conseil : Présentations au niveau exécutif sur les obligations DORA
• Programmes de formation : Formation sur mesure pour les membres de l'organe de direction
• Conception de la gouvernance : Établissement de structures de supervision appropriées
• Cadres de reporting : Conception du reporting des risques TIC à la direction
• Documentation : Support pour la documentation de gouvernance

Prêt à renforcer votre gouvernance des risques TIC ? Parlez à notre équipe

Sources

• Article 5 de DORA - Gouvernance et organisation
• Article 13 de DORA - Apprentissage et évolution
• Articles 50-52 de DORA - Dispositions sur les sanctions et la responsabilité