Обучение на управителните органи по DORA: изискванията на член 5, параграф 4

Започнете с организацията и хората, а не с каталога с курсове

DORA се прилага от 17 януари 2025 г. Обхватът му във финансовия сектор се определя чрез категории субекти и изключения; той не е общ закон за обучението във всяко европейско дружество. Използвайте лиценза си, конкретното юридическо лице и съответните надзорни правила, за да определите отправната точка. Прегледът на DORA от EIOPA обяснява контекста на сектора; член 2 е разпоредбата, която определя обхвата.

Преди да възложите обучение, опишете обхвата му на една страница. Посочете регулираното дружество, приложимата рамка, управителните му органи, хората в тях и лицето, което е потвърдило това разпределение. Програмата на групово ниво може да осигури общо съдържание, но управителният орган на всяко дъщерно дружество трябва да разбира собствените си услуги, зависимости и решения. Отчетът за завършено обучение на чуждестранното дружество майка не показва дали местните директори разбират местните процедури за възстановяване.

Когато определяте за кого е обучението, изхождайте от действителните отговорности в управлението. „Управителен орган“ е правен термин, чието значение се определя чрез член 3, точка 30, а не просто синоним на всички, в чиято длъжност присъства „мениджър“. Поискайте от екипа по корпоративно управление или правния екип да потвърди как терминът се прилага към вашата структура. Включвайте новоназначените членове в регистъра на обученията незабавно; не ги оставяйте да чакат следващата групова кампания.

Не пропускайте едно важно изключение: субектите в обхвата на опростената рамка по член 16 не прилагат пряко членове 5–15. Изискванията към тях за обучение и управление произтичат от тази рамка и нейните технически стандарти. Опростеният режим не означава, че не е необходимо обучение.

Разграничете изискването от формата на обучение

Член 5(4) свързва редовното специализирано обучение със способността да се разбира и оценява рискът в областта на ИКТ и неговото въздействие върху дейността. Член 13, параграф 6 разглежда отделно повишаването на осведомеността и обучението по устойчивост на персонала и висшето ръководство. Нито една от двете разпоредби не определя универсален брой учебни часове годишно.

Това разграничение е важно при избора на обучителна програма. Доставчикът може да осигури последователна учебна програма, запис за обучението и оценяване. Вашата компания все пак трябва да прецени дали съдържанието отговаря на отговорностите и рисковата експозиция на участниците. Сертификатът не може да потвърди валидността на план за възстановяване, който обучаемият никога не е виждал, или на зависимост от доставчик, за чието съществуване курсът няма информация.

Определете наблюдаеми резултати, преди да изберете формата. След обучението членът на управителния орган трябва да може да обясни загубата на коя услуга би причинила най-големи вреди, да установи къде доказателствата на ръководството са слаби и да опише кои решения остават в правомощията на управителния орган при нарушение в работата. Висшият ръководител трябва да може да приложи установения в организацията ред за ескалация, без да търси из непознати документи с политики.

Затова практическата програма има три части: обща основа от понятия, запознаване със самата организация и задача за вземане на решения. Онлайн обучението е подходящо за първата част; отговорник за услуга и ръководител по риска могат да осигурят втората; дискусия с водещ проверява третата. Тази комбинация е предложение за организация на обучението, а не задължителен начин на провеждане.

Създайте матрица за обучение според решенията, които хората вземат

Следващата матрица е начален шаблон. Заменете примерите с реалните отговорности във вашата компания и съхранявайте чувствителните оперативни подробности в контролираната си среда за обучение. За всеки ред определете отговорник, който може да потвърди дали обещаният резултат от обучението е постигнат.

Полезната матрица съдържа повече от списък с модули. Добавете необходимия език, нуждите от достъпност, датата на следващия преглед, версията на материала, оценяващия и коригиращото действие. Някой може да разбира основните термини, но да се нуждае от помощ при тълкуването на анализ на въздействието върху бизнеса. Друг може да има задълбочени технически познания, но слабо да познава управлението във финансовия сектор.

Не възлагайте на всички една и съща програма за допълнително обучение, защото един участник е срещнал затруднения. Запишете точно какъв е пропускът: „Не успя да посочи кой разрешава спешното уведомяване на клиентите“ позволява да се определи полезно действие, а „Нуждае се от повече осведоменост за киберсигурността“ — не. Помолете участника да прегледа отново съответната вътрешна процедура и след това да обясни решението със свои думи.

Изберете обоснована периодичност и ясни условия за актуализиране

Окончателният отговор на EIOPA по въпрос DORA 250-3380 свързва честотата на обучението с ролите и принципа на пропорционалност и посочва, че при актуализиране на програмите трябва да се вземат предвид поуките от инциденти и относимата информация за заплахи. Следователно само календарен график не е достатъчен за планиране на обучението. Документирайте както обичайния цикъл, така и събитията, които могат да наложат по-ранно обучение.

За управителен орган със слаба начална подготовка разумно вътрешно предложение е въвеждащо обучение при назначаване, планиран годишен преговор на основите, целеви информационни сесии преди важни решения и учение, когато състоянието на бизнеса или заплахите го налагат. Това са предложения за планиране. Годишният преговор на основите не е законово установена честота на обучение, а бизнес с чести промени или висок риск може да се нуждае от значително повече обучение.

• Нов оперативен модел, придобиване или критична услуга въвежда непознати зависимости.
• Съществен инцидент разкрива неясноти относно ескалацията, въздействието върху клиентите или правомощията за възстановяване.
• Тест показва, че предвиден обходен вариант не може да работи в необходимия мащаб.
• Смяна на доставчик променя концентрацията, достъпа до данни или практическата възможност за прекратяване на използването му.
• Член на управителния орган сменя ролята си в комитет или поема нова отговорност.
• Съществена промяна в законодателството или надзорната практика променя решенията, които управителният орган трябва да разбира.

Възложете на конкретен човек отговорността да преглежда тези поводи за обучение. Регистър на обученията, който изпраща само напомняния за изтичащи срокове, ще пропусне най-полезните моменти за учене. Добавете кратко поле „Отражение върху обучението“ към предложенията за значителни промени и към действията след инциденти, за да може програмата да се адаптира към събитията.

Отделете време за обсъждане. Петминутен брифинг, който води до ясно и документирано решение, може да е по-полезен от още един час пасивно гледане на слайдове. Това не означава, че пет минути са достатъчни за цялата програма; то показва защо наред с продължителността трябва да се измерват относимостта на съдържанието и разбирането му.

Съхранявайте доказателства за наученото и за последвалите промени

Подредете доказателствата така, че колега да може да проследи обучението, без да разпитва администратора на програмата. Започнете от установената нужда, преминете през подходящото съдържание и участието и стигнете до оценяването и произтичащите действия. Това е предложена от нас структура на документацията; не твърдим, че DORA изисква точно тези полета.

1. Запишете за кого е предназначено обучението, ролята и причината за възлагането му.
2. Съхранявайте учебната програма, версията на материалите, датата на провеждане и датата на преглед на източниците.
3. Документирайте присъствието или завършването така, че да се установява кой действително е участвал.
4. Съхранявайте резултатите от оценяването и кратко описание на използваните въпроси.
5. Запишете пропуските, лицето, отговорно за отстраняването им, и датата за приключване.
6. Свързвайте обсъжданията по същество със съответното решение на управителния орган или със записа в регистъра на действията.

Оценявайте както преценката, така и запомненото. Въпросът „Кой член урежда управлението?“ проверява паметта. Въпросът „Доставчикът съобщава за възстановяване, но сверяването на транзакциите не е приключило: какви доказателства ще поискате, преди да възобновите нормалната работа на услугата?“ проверява полезно за ръководителите разграничение. Не е необходимо участниците да избират едни и същи оперативни действия, но трябва да разпознават несигурността и да обясняват основанията за избора си.

Процентът на завършване винаги трябва да се посочва с общия брой, спрямо който е изчислен, и с дата. „Осем от десетте членове в обхвата завършиха текущото основно обучение; за двама новоназначени членове е насрочено въвеждащо обучение“ дава повече информация от „80% съответствие“. Статусът на обучението и съответствието с нормативните изисквания са различни неща.

Определете правилата за съхранение и достъп заедно с отговорните за защитата на личните данни, документацията и управлението. Ограничете достъпа до подробните индивидуални резултати от оценяването до хората, които се нуждаят от тях; за материалите за заседанието може да са достатъчни обобщената картина и неотстранените пропуски. Запазете съответната историческа версия на курса, за да може при последващ преглед да се види какво действително е преподавано.

Разработен пример: използвайте едно прекъсване, за да установите реалните нужди от обучение

Разгледайте това учебно упражнение с измислена ситуация. В 09:15 клиентският портал за трансакции на финансова компания е недостъпен. Доставчикът ѝ съобщава, че инфраструктурата работи нормално, но все още не може да потвърди съгласуваността на трансакциите на опашка. Екипът за обслужване на клиенти получава оплаквания за дублирани плащания. Следващата информация за ръководството трябва да бъде представена след двадесет минути.

Първо решение: определете проблема от гледна точка на бизнеса

Помолете участниците да опишат засегнатата услуга, изложените на риск клиенти и последиците от изчакването. Добрият отговор разграничава достъпността на услугата от надеждността на транзакциите. Той посочва и какво остава неизвестно. Ако дискусията веднага се превърне в спор за техническата терминология на доставчика, програмата има нужда от повече работа върху обясняването на техническите факти чрез последиците им за бизнеса.

Второ решение: определете кой има правомощия и как се ескалира

Попитайте кой може да ограничи обработката на транзакции, кой координира действията при инцидента, кой прилага процедурата за докладване и кога управителният орган получава актуална информация. Участниците трябва да използват собствените си утвърдени роли и процедури. Не измисляйте срок за докладване за целите на учението и не чакайте заседание на целия управителен орган, преди упълномощеният екип да може да изпълни съществуващо задължение за докладване на инцидент.

Трето решение: съгласувайте доказателствата за възстановяване

Доставчикът обявява, че платформата отново е достъпна. Член на управителния орган трябва да попита какви сверявания, бизнес проверки и мерки за защита на клиентите обосновават възобновяването на работата. Упражнението трябва да даде възможност на ръководството да обясни различните варианти и последиците от тях, включително контролирано частично предоставяне на услугата. „Таблото е зелено“ е наблюдение, а не пълна обосновка, че възстановяването е успешно.

Завършете с кратко обсъждане. Възможно е управителният орган да е разбрал процеса на ескалация, но да не е успял да разграничи целта за възстановяване от последния демонстриран резултат. Възложете конкретна учебна задача, помолете отговорника за услугата да подобри отчета и се върнете към решението на следващо заседание. Това създава пряка връзка между обучението, доказателствата и по-добрия надзор, без да се създава впечатление, че настолното учение доказва техническата способност за възстановяване.

Оценете доколко курсът по DORA отговаря на нуждите на вашия управителен орган

Използвайте задание за избор на доставчик, в което се пита какво ще могат да правят участниците след обучението. Поискайте учебна програма, примерен сценарий за ръководители, правните източници и датата на техния преглед, подхода за оценяване и информацията, която се съдържа в записите за завършено обучение. Попитайте как доставчикът коригира материалите при промяна в правната рамка или позицията на надзорния орган.

Търсете ясно определени граници. Един основен курс трябва да посочва кои въпроси изискват обсъждане според особеностите на организацията. Ако доставчик твърди, че завършването на един модул прави компанията ви съответстваща на DORA, попитайте как е оценил вашия оперативен модел, контролни механизми, договори и доказателства. Това твърдение не може да се обоснове само с провеждането на обучение.

Предпочитайте ясни обяснения за достъпността на услугите, целостта на данните, зависимостите, възстановяването и отговорността за риска пред обширен речник на термините. Членовете на управителния орган не трябва да умеят да конфигурират защитна стена, за да оспорят недоказано допускане за възстановяването. Но трябва да имат увереността да попитат какво е проверило ръководството и какво остава несигурно.

Курсът на BlueTeam Academy DORA обучение по киберсигурност за мениджъри предлага програма, насочена към вземането на решения: около три часа обучение с насоки в осем модула. Използвайте я, за да изградите общ език, след което я допълнете с вътрешен преглед на услугите, обсъждане според конкретните роли и план за текущо обучение. Завършването удостоверява преминато обучение, а не акредитация или заключение, че вашата организация спазва DORA.

Практически 90-дневен план за действащ управителен орган

Това е последователност от стъпки за подобряване на програмата, а не регулаторен гратисен период. Дайте незабавно предимство на неотложните пропуски в знанията, когато те влияят върху решения, които вече се вземат.

Назначете един координатор на програмата, като запазите отговорността за отделните теми в съответните звена. Координаторът може да следи за завършването и да съхранява записите; ръководителят по управление на риска потвърждава съответствието с нуждите, отговорниците за услугите обясняват реалните условия на работа, а председателят осигурява време за съдържателно обсъждане. Документирайте как се процедира при отсъствия, нови назначения и неотстранени пропуски, установени при оценяването.

При окончателния преглед проверете като извадка пълния запис за обучението на един участник и едно действие, произтичащо от учението. Можете ли да покажете както че човекът е научил нещо относимо, така и че организацията е предприела действия по установения проблем? Ако някоя от тези връзки липсва, подобрете я, преди да добавяте още съдържание.

Поставете тези въпроси на следващото заседание на управителния орган

• Установили ли сме всички лица, чиито роли изискват това обучение?
• Може ли всеки член да обясни нашата ИКТ зависимост с най-съществени последици?
• Включва ли нашата програма собствени доказателства за услугите ни и тяхното възстановяване?
• Кой скорошен инцидент, тест или промяна налага промяна в плана за обучение?
• Какви неотстранени пропуски в знанията биха могли да повлияят на решение през това тримесечие?
• Можем ли да проследим дали дадена учебна дейност е довела до по-задълбочена критична оценка или до изпълнено действие?

Използвайте отговорите, за да съставите целенасочен дневен ред. Управителен орган със солидни основни познания може да се нуждае от подробно обсъждане на един доставчик. Новоназначен управителен орган може първо да се нуждае от основните знания, за да може да тълкува таблото с показатели за риска. И в двата случая членовете трябва да могат да обяснят защо програмата им съответства на техните отговорности.

Продължете с нашето ръководство за отговорностите на управителния орган по DORA и практическото табло за докладване пред управителния орган по DORA. Заедно те свързват наученото от членовете на управителния орган с решенията, които вземат, и информацията, която изискват да получават.