Отговорности на управителния орган по DORA: от политики към решения

Разберете чия отговорност описва DORA

Отправната точка е юридическото лице, което подлежи на регулиране. Обхватът на DORA и изключенията са посочени в член 2, докато член 3(30) свързва понятието „управителен орган“ с приложимите секторни и национални правила за управление. Само длъжностното наименование в компанията не е достатъчно, за да се определи кой орган съответства на това понятие. Запишете кой орган или кои органи изпълняват съответните функции във вашата организация.

Съгласно общата рамка член 5, параграф 2 възлага на управителния орган отговорността за рамката за управление на риска в областта на ИКТ, включително крайната отговорност за риска в областта на ИКТ на субекта. Това е съвместимо с изпълнението на работата от специалисти. Практическият въпрос е дали управителният орган може да покаже, че е определил очакванията, получил е достатъчна информация, поставил е критични въпроси за пропуските и е проследил изпълнението на съществените решения.

Тази статия е посветена на общата рамка. Субектите, попадащи в обхвата на член 16, прилагат опростен режим вместо членове 5–15; разпоредбите за управлението при този режим са доразвити в член 28 от Делегиран регламент 2024/1774. Потвърдете приложимия режим, преди да превърнете това ръководство във вътрешен регистър на задълженията.

Същата яснота е нужна и за организацията на дейностите в групата. Дружеството майка може да осигурява оперативни дейности по сигурността, снабдяване или експертни знания за политиките. Дъщерното дружество все пак трябва да има ясна и полезна представа за услугите, от които зависи, рисковете, които носи, и решенията, които собственият му управителен орган трябва да взема. „Групата се занимава с това“ не обяснява напълно кой носи отговорност.

Приемайте одобрението като начало на надзора

Член 5 обхваща отговорности, включително стратегията за устойчивост и толерантността към риска в областта на ИКТ, мерките за непрекъснатост и възстановяване, планирането на одити, ресурсите, политиката за трети страни и каналите за докладване. Прочетете точното разпределение в член 5, параграф 2, букви c)—i). Следващото изложение представя нашия практически подход за организиране на произтичащата работа, а не замества разпоредбата.

За всяко значимо одобрение съхранявайте кратък запис на решението с три свързани части: какво е разрешил управителният орган, на какви допускания се е основал и какви доказателства очаква да получи след това. Одобряването на стратегия трябва да води до напредък по приоритетите. Одобряването на план за възстановяване трябва да води до проверена чрез изпитвания способност за възстановяване. Одобряването на бюджет трябва да осигурява хора, услуги или контроли, които действително намаляват установената рискова експозиция.

Например одобряването на шестмесечен план за отстраняване на недостатъци, без да попитате кой ще извърши работата, създава предвидим проблем. Ако същите двама специалисти вече са ангажирани с ключова миграция, планът може да се окаже неизпълним. Преди одобрението поискайте допусканията за наличния капацитет и запишете направения компромис. Реалистична преразгледана дата с изрично определен временен контрол е по-полезна от пожелателна дата, която никой не може да спази.

Разграничете въпросите за вземане на решение от въпросите за информация. Всеки документ, с който се иска решение, трябва да посочва предложеното действие, реалистичните алтернативи, последиците от забавяне, оставащите неизвестни и крайния срок за решението. Така членовете на управителния орган могат по-лесно да подлагат препоръката на критична преценка, без да се намесват във всяка техническа подробност по изпълнението.

Използвайте матрица на правомощията за вземане на решения, за да премахнете неяснотите

Уточнете кой подготвя, кой прави критичен преглед, кой взема решения и кой проверява всеки съществен въпрос. Адаптирайте този пример към правната си структура, въпросите от изключителна компетентност на съответните органи и правилата за работа на комитетите. По-долу „управителен орган“ означава съответния управителен орган в тази структура; това не означава, че всяко оперативно решение трябва да чака заседание в пълен състав.

Звената по управление на риска и съответствие трябва да могат да оспорват предложението, без да отговарят за всяка оперативна контролна мярка. Вътрешният одит трябва да запази независимостта, необходима за ролята му. Не възлагайте на една и съща комисия едновременно да приложи коригираща мярка и да бъде единствената, която потвърждава, че тя е дала резултат.

Проверете матрицата с реално предстоящо решение. Ако договор с доставчик трябва да бъде подновен следващата седмица, може ли всеки да посочи кой има право да го одобри, кой може да постави условия и кой приема остатъчната рискова експозиция? Изяснете противоречивите отговори, преди инцидент или търговски срок да ги разкрие.

Превърнете толерантността към риск в решения за услугите

Твърдението, че компанията има „нисък апетит към киберриск“, не показва на ръководителя как да избира между конкуриращи се проекти. Поискайте от ръководството да свърже това твърдение с услугите, последиците за клиентите, очакванията към контролните механизми и ескалацията. Разграничавайте ясно желания резултат от доказаната способност за постигането му.

Разгледайте измислена инвестиционна фирма, която обмисля нова платформа за отчетност към клиентите. Ръководството предлага цел за възстановяване въз основа на маркетинговите материали на доставчика. Управителният орган трябва да попита дали целта обхваща цялата услуга за отчетност: изходните данни, удостоверяването, сверяването на данните, достъпа на служителите и разпространението на отчетите до клиентите. Ако е тествана само платформата, запишете непроверените зависимости и решението, върху което те влияят.

Полезни въпроси за критично обсъждане са:

• Какви вреди възникват, ако услугата е недостъпна или на данните ѝ не може да се има доверие?
• Кои предположения са доказани и кои остават приблизителни оценки?
• Какво можем да продължим да правим безопасно, докато основната услуга работи с влошено качество?
• Какво събитие би наложило ескалация или различно оперативно решение?
• Кой може да приеме остатъчния риск, за какъв срок и при какви условия?

Определете конкретни граници за изключенията. Изключение с ограничен срок може да посочва засегнатата услуга, обосновката, временните защитни мерки, отговорното лице, срока на валидност и обстоятелствата, изискващи по-ранно преразглеждане. Многократните удължавания следва да водят до обсъждане дали първоначалният план остава реалистичен. Регистърът на изключенията е инструмент за вземане на решения само когато някой предприема действия въз основа на него.

Оценете критично дали бюджетът е достатъчен за постигане на обещания резултат

Член 5(2)(g) обхваща осигуряването на подходящи ресурси и периодичния преглед на бюджета. На практика бюджетът дава повече информация, когато свързва разходите с конкретен резултат, отколкото когато просто ги обозначава като „DORA“ или „киберсигурност“. Поискайте от ръководството да обясни кой риск се намалява, от какво зависи изпълнението и какви доказателства има за подобрение.

Сравнете следните предложения: „Да закупим нов продукт за резервно копиране“ и „Да докажем, че услугата, която предоставяме на клиентите, може да бъде възстановена със сверени данни в изолирана среда за възстановяване“. Второто позволява да се зададат въпроси за хората, времето за тестове, интеграцията и потвърждаването на резултатите от бизнес звената. Продуктът може да е необходим, но закупуването му не е равнозначно на постигане на резултата.

Полезното инвестиционно предложение трябва да показва:

1. Услугата и рисковата експозиция, които обосновават работата.
2. Резултатът и как ще бъде проверен.
3. Еднократни и текущи разходи, включително работното време на персонала и поддръжката от доставчика.
4. Зависимости от други проекти и от умения, за които има недостиг на специалисти.
5. Остатъчната рискова експозиция, ако предложението бъде отложено или обхватът му бъде намален.
6. Човекът, който ще потвърди, че ползата е постигната.

Включете обучението и упражненията за вземане на решения в планирането на ресурсите. Даден план може да се провали, защото служителите не знаят как да го задействат, дори когато технологията, на която се основава, работи. Също така обучението не може да компенсира липсваща техническа защитна мярка. Разглеждайте тези потребности заедно, но ги измервайте поотделно.

Запазете отговорността, когато услугата се предоставя от доставчик

Възлагането на външен изпълнител променя модела на предоставяне на услугата; то не отменя отговорностите на субекта. За субектите, за които се прилагат тези изисквания към политиките, член 3 от Делегиран регламент 2024/1773 изисква ясни правила за управление на съответните договорености и преглед от управителния орган поне веднъж годишно на политиката за ИКТ услуги, поддържащи критични или важни функции. Проверете изключенията в член 28, параграф 2 от DORA, включително тези за микропредприятията. Тази честота се отнася до прегледа на конкретната политика, а не до всички обучения на управителния орган.

За съществена зависимост поискайте кратко обяснение, насочено към услугата. Какво биха загубили клиентите при срив при доставчика? Кои други услуги зависят от същата инфраструктура или подизпълнител? Как Вашата организация ще получава информация, ще запазва контрола и ще възстановява данните си? Какво на практика изисква прекратяването на отношенията с доставчика?

Разгледайте измислено предложение за подновяване на договор със значителна отстъпка при по-дългосрочен ангажимент. Ръководството има договорно право да експортира данните, но никога не е импортирало експортираните данни в друга работеща среда. Не е необходимо управителният орган да проектира миграцията. Той трябва да попита дали твърдението за възможност за прекратяване на отношенията с доставчика е достоверно и дали подновяването трябва да зависи от валидиране на данните, оценка на капацитета за преход или намаляване на друг риск от концентрация.

Разграничавайте документите на доставчика от собствените си заключения. Сертификат или доклад за изразяване на увереност може да подпомогне надлежната проверка, но проверете обхвата му, отчетния период, изключенията и относимостта му към услугата. Запишете кой е оценил документа и какво остава неизяснено.

В своите надзорни приоритети за 2026–2028 г. ЕЦБ определя оперативната устойчивост и капацитета в областта на ИКТ като приоритети за банковия сектор и подчертава, че надзорът върху критичните доставчици допълва собственото управление на риска от трети страни на банките. Това са надзорни приоритети за банките; те не означават, че всички финансови субекти подлежат на еднакъв надзорен подход.

Определете правомощията при криза, преди тя да настъпи

Определете предварително как управителният орган получава съществена информация и какви незабавни действия може да предприеме ръководството. Не бива едва при инцидент да се прояви разногласие кой може да ограничи услуга, да разреши извънредни разходи или да изпрати актуална информация до клиентите. Оперативният екип също се нуждае от ясни канали за докладване пред регулаторните органи съгласно приложимите процедури.

Изисквайте кратки актуализации с четири елемента: какво е известно, какво остава несигурно, какви действия се предприемат и какво решение е необходимо. Не настоявайте за сигурен срок за възстановяване, когато доказателствата не го подкрепят. Вместо това попитайте коя е следващата стъпка за проверка и кога ръководството ще представи по-надеждна информация.

Решението за възстановяване трябва да отчита не само наличността на услугата, но и нейната цялостност. Едно достъпно приложение все още може да съдържа липсващи, дублирани или несъгласувани записи. Попитайте кой потвърждава резултата за бизнеса, кои сверявания още не са приключили и какви ограничения защитават клиентите при частично възстановяване.

Проверете този модел на управление чрез упражнение. Симулирайте загуба на обичайния канал за заседания, недостъпен ръководител и противоречиви актуализации от доставчика. Наблюдавайте дали упълномощените заместници могат да действат и дали се поддържа запис на решенията. Това е примерен замисъл за упражнение; то не заменя техническите тестове и другите мерки, изисквани от приложимата рамка.

След това определете по едно отговорно лице за всяка съществена констатация и посочете доказателствата, необходими за нейното приключване. „Процедурата е актуализирана“ може да е достатъчно за приключване на проблем с документацията. Това обаче не решава проблема с невъзможността за възстановяване на услугата, освен ако съответната способност също не е демонстрирана.

Проведете заседание, което води до решения и полезен протокол

Краткият дневен ред може да е по-полезен от дълга техническа презентация. Примерът по-долу предлага периодично заседание по въпроси на управлението; определете честотата му според рисковете, приложимите задължения и структурата на комитетите във вашата организация.

1. Прегледайте промените след последното заседание: рисковата експозиция на услугите, съществените инциденти и зависимостите.
2. Разгледайте най-същественото разминаване между очакваната и демонстрираната способност.
3. Вземайте решения за изключения, ресурси или приоритети, които надхвърлят делегираните правомощия.
4. Потърсете обосновка за просрочените действия и многократните удължавания на срокове.
5. Потвърдете кои доказателства трябва да бъдат представени следващия път и какво обучение е необходимо.

Протоколът трябва да отразява съществените критични въпроси и обсъждания, без да се превръща в дословна стенограма. Запишете разгледаната информация, отчетената несигурност, обсъдените алтернативи, решението и условията към него. Посочете отговорник и дата за повторно разглеждане. Избягвайте обща формулировка, че управителният орган е „взел под внимание актуалната информация за киберсигурността“, когато всъщност е приет риск със значими последици.

Примерен запис на решение: Управителният орган разгледа резултатите от теста за възстановяване на услугата за отчетност към клиентите. Приложението беше възстановено, но сверяването на бизнес данните не приключи в планирания времеви прозорец. Ръководството ще запази временната ръчна проверка, ще потвърди капацитета ѝ и ще представи резултатите от повторен тест на целия процес от край до край. Изпълнителният ръководител по оперативната дейност отговаря за действието; датата на следващия преглед е вписана в регистъра на действията.

Този пример умишлено се придържа към фактите. Той не определя организацията като съответстваща на изискванията и не твърди, че проблемът е изчезнал. Показва ясно нерешения въпрос и следващата стъпка. За да изберете информацията, която подпомага такова заседание, използвайте нашето ръководство за таблото за докладване пред управителния орган по DORA.

Подобрете управленския цикъл през следващите 90 дни

Използвайте този план за подобрение наред с текущите си задължения; той не ви дава разрешение да отлагате съществуващо задължение. Започнете с пропуска, който създава най-непосредствен риск при вземането на решения.

Оценете доколко ефективно са отстранени проблемите. Изберете три приключени действия и проверете дали подкрепящите ги доказателства показват, че първоначалната констатация е отстранена. Ако действието е довело само до създаването на документ, а рискът продължава да съществува, подновете обсъждането. Изберете едно прието изключение и проверете дали срокът му на валидност, условията и определеният отговорник все още са подходящи.

Накрая се уверете, че членовете на управителния орган разбират материалите, които се очаква да подлагат на критична оценка. Нашето ръководство за изискванията на DORA за обучение на управителния орган обяснява как да структурирате обучението според ролите. Курсът « DORA обучение по киберсигурност за мениджъри » предлага програма, насочена към вземането на решения, с около три часа обучение с насоки в осем модула. Допълнете я с вашите управленски процедури и упражнения за вземане на решения. Завършването на курса не представлява акредитация или заключение за съответствие.