Que signifie DORA en pratique ? Un guide pour les équipes de conformité

Introduction

En 2023, l'Union européenne a atteint une étape importante avec l'adoption des renforcements du règlement (UE) 2019/2034, également connu sous le nom de Digital Operational Resilience Act (DORA). Ce règlement vise à améliorer la résilience informatique et opérationnelle des prestataires de services financiers européens en exigeant une approche globale de l'évaluation et de la gestion des risques. L'article 6, paragraphe 1 de DORA demande aux entreprises financières de maintenir un système de gestion des risques en matière de technologies de l'information et de la communication (gestion des risques ICT), souvent considéré comme un simple exercice de cases à cocher. Cependant, cette interprétation superficielle peut exposer votre organisation à des risques de conformité importants et à des sanctions potentielles allant jusqu'à 2 milliards EUR*.

L'importance de DORA va bien au-delà d'un simple système de cases à cocher de conformité. Elle concerne tous les aspects du secteur des services financiers et menace la stabilité de l'ensemble de l'économie européenne. La conformité à ces règlements est donc cruciale pour toute organisation offrant des services financiers dans l'UE. Ce guide vous aidera à mettre en pratique les exigences de DORA et à éviter d'éventuels problèmes de conformité.

*Source : BaFin

Le Problème Principal

Les défis liés à la mise en œuvre de DORA sont complexes et étendus. De nombreuses entreprises interprètent les exigences comme une simple tâche de conformité visant à satisfaire uniquement les prescriptions minimales. Cependant, DORA exige bien plus que la conformité. Elle nécessite une révision et une refonte fondamentales de l'infrastructure et des processus ICT de votre organisation.

Cela a entraîné des coûts énormes pour les entreprises. Une étude menée par l'Office fédéral de la sécurité dans les technologies de l'information (BSI) a révélé que l'application de DORA pourrait augmenter les coûts de conformité et de gestion des risques dans le secteur financier de jusqu'à 30 %. Cela représente un fardeau supplémentaire pouvant atteindre 2,1 milliards EUR par an* pour le secteur.

Cependant, les coûts ne sont pas seulement d'ordre financier. La mise en œuvre de DORA nécessite également un investissement considérable en temps et en ressources. L'application du cadre de gestion des risques ICT peut à elle seule prendre plusieurs mois, et une mise en œuvre insuffisante peut entraîner une perte significative de confiance sur le marché et de réputation. De plus, les violations de conformité peuvent entraîner une perturbation opérationnelle qui peut affecter la capacité commerciale de votre organisation.

Cependant, ce n'est pas seulement le fardeau financier que les entreprises doivent prendre en compte. L'article 45 de DORA exige que les entreprises financières documentent et conservent leur conformité aux règlements. Cela signifie qu'elles doivent prouver qu'elles respectent les exigences de DORA, ce qui nécessite des efforts supplémentaires.

*Source : BSI

Pourquoi c'est Urgent Maintenant

La nécessité de mettre DORA en pratique devient de plus en plus pressante. Premièrement, l'Union européenne a constaté en 2023 plusieurs violations des règlements existants et a imposé des amendes allant jusqu'à 20 millions EUR. Ces cas ont montré que le secteur financier a encore du mal à répondre efficacement aux exigences de l'UE. Deuxièmement, les exigences en matière de conformité et de sécurité dans le secteur financier ont augmenté avec la numérisation. Les clients s'attendent de plus en plus à ce que leurs prestataires de services financiers respectent des normes internationales telles que SOC 2, ISO 27001 et GDPR.

La mise en œuvre de DORA est également une question de compétitivité. Les entreprises financières qui ne respectent pas les exigences de DORA sont désavantagées sur le plan concurrentiel. Elles risquent non seulement des amendes et des pénalités allant jusqu'à 2 milliards EUR*, mais aussi la perte de clients et de parts de marché. Enfin, les entreprises qui respectent DORA sont en mesure de démontrer leur force et leur fiabilité, ce qui est un facteur décisif pour les clients à la recherche de services financiers sûrs et dignes de confiance.

Compte tenu de ces défis, il est temps pour les équipes de conformité de prendre au sérieux les exigences de DORA et de développer une stratégie éclairée pour sa mise en œuvre. Nous aborderons dans les prochaines sections de ce guide comment vous pouvez le faire pour garantir la conformité à DORA et minimiser les risques pour votre organisation. Restez à l'écoute pour en savoir plus sur la mise en pratique de DORA et préparer votre organisation pour l'avenir.

*Source : BaFin

Le Cadre de Solution

Dans la pratique, traiter le Digital Operational Resilience Act (DORA) signifie adopter une approche approfondie et proactive des risques liés aux informations et aux technologies. Une approche progressive, basée sur les exigences de conformité, est essentielle pour une mise en œuvre réussie de DORA. Dans cet article, nous vous proposons un guide pour vous aider à répondre aux exigences de DORA et à gérer efficacement les risques.

Étape 1 : Évaluation des Risques

En premier lieu, vous devez effectuer une évaluation complète des risques, fondée sur les articles 6(1) et 29, paragraphe 1 de DORA. Vous devez identifier et évaluer tous les risques ICT pertinents, y compris les risques technologiques, opérationnels et stratégiques. Cette évaluation doit également prendre en compte les impacts potentiels sur les processus et stratégies commerciales de votre entreprise, ainsi que les effets potentiels sur l'économie européenne et la protection des consommateurs.

Étape 2 : Données de Référence sur les Risques ICT

Après l'évaluation des risques, vous devez, conformément à l'article 6(1) de DORA, établir un système de données de référence sur les risques ICT. Ce système doit être capable de stocker et de conserver toutes les informations pertinentes sur les risques. Il doit également inclure des mécanismes de surveillance et d'évaluation des risques ICT, qui doivent être constamment mis à jour.

Étape 3 : Stratégie de Gestion des Risques

La troisième phase consiste à développer une stratégie complète de gestion des risques conformément à l'article 29, paragraphe 1 de DORA. Cette stratégie doit inclure des mesures spécifiques pour identifier, évaluer, surveiller et maîtriser les risques ICT. Elle doit également définir clairement les responsabilités et les rôles au sein de l'entreprise et clarifier les voies de communication et d'escalade.

Étape 4 : Audit et Surveillance

Dans la quatrième phase, des audits réguliers et des surveillances doivent être effectués pour évaluer l'efficacité de la mise en œuvre de DORA. Cela inclut l'examen de la conformité aux exigences de DORA et l'évaluation des mécanismes d'identification et d'évaluation. Vous devez également rester attentif aux nouvelles technologies et aux risques potentiels qui peuvent émerger.

Un bon exemple de mise en œuvre de DORA, par opposition à un simple "taux de réussite", impliquerait une intégration cohérente des mesures de conformité dans les processus commerciaux de votre entreprise. Cela signifie que la conformité n'est pas seulement considérée comme une réaction tardive aux changements législatifs, mais comme une partie intégrante de la planification stratégique et de la prise de décision au sein de votre entreprise.

Erreurs Courantes à Éviter

Il est important de comprendre quelles erreurs les entreprises commettent souvent lorsqu'elles tentent de mettre en œuvre les exigences de DORA. Voici les erreurs les plus courantes et des recommandations pour les éviter :

Erreur 1 : Évaluation des Risques Insuffisante

De nombreuses organisations effectuent une évaluation des risques superficielle et n'identifient pas tous les risques pertinents. Cela peut entraîner l'oubli d'aspects importants des risques ICT. Au lieu de cela, comme l'exige l'article 29, paragraphe 1 de DORA, vous devez effectuer une évaluation complète des risques qui couvre tous les aspects de vos activités commerciales.

Erreur 2 : Communication des Risques Manquante ou Insuffisante

Dans certains cas, les entreprises ne communiquent pas efficacement leurs évaluations et stratégies de risques aux parties prenantes concernées. Cela peut entraîner des malentendus et une conformité insuffisante. Comme l'exige l'article 6(1) de DORA, vous devez développer une stratégie de communication soigneuse qui prenne en compte toutes les parties prenantes.

Erreur 3 : Surveillance et Audit Insuffisants

Une autre erreur courante est le manque de surveillance et d'audit de la mise en œuvre de DORA. Les entreprises qui commettent cette erreur ne mettent souvent pas en place de mécanismes pour vérifier l'efficacité de leurs mesures de conformité. En raison des exigences de DORA, vous devez établir des audits et des surveillances réguliers pour vous assurer que vos dispositions respectent les exigences légales.

Outils et Approches

Le choix de l'outil ou de l'approche à utiliser pour répondre aux exigences de DORA dépend de divers facteurs, tels que la taille de votre entreprise, la complexité de vos activités et les ressources disponibles.

Approche Manuelle

L'approche manuelle a l'avantage d'être flexible et adaptable. Elle vous permet de répondre à des exigences spécifiques et d'intégrer une approche personnelle dans les mesures de conformité. Cependant, elle présente également des inconvénients, tels que l'imprécision potentielle et le coût élevé en temps et en ressources des mesures de conformité manuelles.

Solutions Spreadsheet/GRC

Les solutions Spreadsheet ou de Gouvernance, Risque et Conformité (GRC) offrent une méthode plus automatisée que l'approche purement manuelle. Elles vous permettent de stocker et de gérer des données de manière centralisée. Leur principale limitation est qu'elles ne sont souvent pas en mesure de couvrir complètement les exigences dynamiques de DORA, en particulier en ce qui concerne la gestion des risques technologiques et l'intégration dans les processus opérationnels.

Plateformes de Conformité Automatisées

Les plateformes de conformité automatisées comme Matproof offrent une variété d'avantages. Elles peuvent, par exemple, permettre l'automatisation des mesures de conformité et la collecte de preuves de conformité auprès des fournisseurs de cloud. Elles offrent également une conservation des données à 100 % dans l'UE et sont spécialement conçues pour répondre aux besoins du secteur des services financiers européens. Les aspects clés à prendre en compte lors du choix d'une plateforme de conformité automatisée incluent la convivialité, la capacité d'intégration dans vos systèmes existants et la capacité à mettre en œuvre rapidement et efficacement les changements réglementaires.

En résumé, il est crucial que vous preniez votre décision en fonction de vos besoins spécifiques. Les outils automatiques peuvent être d'une grande aide, notamment pour réduire la complexité et améliorer l'efficacité, mais ils ne doivent pas être considérés comme une solution unique à tous les défis de conformité. La meilleure stratégie de conformité est celle qui combine des outils manuels et automatisés et qui est adaptée à vos besoins individuels.

Pour Commencer : Vos Prochaines Étapes

Pour commencer avec succès la mise en œuvre de DORA, vous disposez d'un plan d'action clair en cinq étapes que vous pouvez mettre en œuvre cette semaine :

1. Familiarisez-vous avec les exigences : Lisez les publications officielles de l'UE et de la BaFin sur DORA pour comprendre les exigences légales. Voici quelques ressources qui peuvent vous aider :

• Le règlement DORA sur le site de l'UE pour saisir les détails des dispositions légales.
• Les lignes directrices DORA de la BaFin pour des instructions de mise en œuvre et des meilleures pratiques.

2. Respect des Cadres de Conformité : Évaluez vos méthodes actuelles d'évaluation des risques ICT et assurez-vous qu'elles répondent aux exigences de DORA.

3. Identifiez les Domaines Critiques : Recherchez les vulnérabilités dans votre système de conformité actuel et identifiez les domaines nécessitant une action immédiate.

4. Analyse des Besoins pour un Soutien Externe : Évaluez si vous avez besoin d'une expertise externe pour accélérer la mise en œuvre et améliorer l'efficacité.

5. Élaboration d'un Plan de Conformité Détailé : Développez une feuille de route contenant des objectifs précis et des délais pour respecter les exigences de DORA.

Pour un succès rapide, vous pouvez commencer dans les 24 heures avec un audit rapide de l'état actuel de la conformité et l'identification d'actions immédiates pour adapter la directive DORA.

Questions Fréquemment Posées

Question 1 : Quels domaines de notre organisation devons-nous prioriser lors de la mise en œuvre de DORA ?

Réponse : DORA article 6(1) Vous devez examiner votre évaluation des risques ICT et vous assurer qu'elle répond à toutes les exigences du règlement DORA. Cela inclut la sécurité informatique, la protection des données conformément au GDPR, la continuité des activités ainsi que la structure organisationnelle. Vous devez également évaluer les impacts d'une éventuelle crise ou d'une cyberattaque et disposer d'un plan de gestion de crise.

Question 2 : Comment puis-je m'assurer que mon organisation respecte les réglementations en matière de protection des données de DORA ?

Réponse : Pour la protection des données, l'article 28 de DORA est important. Vous devez nommer un responsable de la protection des données qui sera chargé de veiller au respect des lois sur la protection des données et de conseiller l'organisation sur les éventuelles violations. De plus, vous devez nommer un délégué à la protection des données si votre organisation compte plus de 250 employés ou si le traitement des données représente un risque pour les droits et libertés des personnes concernées.

Question 3 : Dois-je faire appel à un conseil externe ou puis-je gérer cela en interne ?

Réponse : La décision de faire appel à un conseil externe ou de gérer la mise en œuvre en interne dépend de la taille de votre organisation, de votre politique de conformité actuelle et de vos ressources. Si votre organisation a déjà travaillé avec des cadres de conformité similaires et dispose d'une expertise interne suffisante, vous pouvez organiser la mise en œuvre en interne. Sinon, il est conseillé de faire appel à des experts externes qui ont des connaissances spécialisées sur les exigences de DORA et peuvent vous aider à terminer le processus de manière efficace et en temps voulu.

Question 4 : Comment puis-je améliorer la collaboration entre les équipes de conformité et les départements informatiques lors de la mise en œuvre de DORA ?

Réponse : Une collaboration efficace entre les équipes de conformité et les départements informatiques est essentielle pour réussir la mise en œuvre de la directive DORA. Établissez un canal de communication interdisciplinaire qui permet aux équipes de partager leurs préoccupations, défis et progrès. Organisez des ateliers et des formations pour améliorer la compréhension des exigences de DORA tant au sein de l'équipe de conformité qu'au sein du département informatique. Assurez-vous que les rôles et responsabilités de la conformité et de l'informatique sont clairement définis et qu'ils collaborent étroitement lors de la planification stratégique et de la mise en œuvre.

Question 5 : Comment puis-je augmenter l'efficacité des vérifications et évaluations de conformité ?

Réponse : L'efficacité des vérifications et évaluations de conformité peut être améliorée grâce à l'utilisation de la technologie, en particulier grâce à des outils automatisés comme le système d'automatisation de la conformité de Matproof. Avec la création de politiques assistée par IA, la collecte automatisée de preuves auprès des fournisseurs de cloud et des agents de conformité des points de terminaison pour la surveillance des appareils, vous pouvez optimiser vos flux de travail de conformité et gagner du temps. Surtout pour les petites organisations ou si vous travaillez avec des ressources limitées, de tels outils peuvent considérablement simplifier et rendre plus efficaces les vérifications et évaluations de conformité.

Messages Clés

Pour mettre en œuvre avec succès la directive DORA, il est essentiel de comprendre en profondeur les exigences légales et de développer un plan d'action clair pour la mise en œuvre. La collaboration et la communication entre les équipes de conformité et les départements informatiques sont essentielles. L'aide technologique comme celle de Matproof peut vous aider à optimiser vos flux de travail de conformité et à rendre le respect des exigences de DORA plus efficace. Si vous avez besoin d'aide pour la mise en œuvre de DORA, Matproof propose une évaluation gratuite.