Requisitos de Formación para el Consejo bajo DORA: Explicación del Artículo 5(4)

Empieza por la entidad y las personas, no por el catálogo de cursos

DORA se aplica desde el 17 de enero de 2025. Su alcance en el sector financiero se define por categorías de entidades y exclusiones; no es una ley general de formación para todas las empresas europeas. Utilice su licencia, entidad jurídica y normas supervisoras relevantes para fijar el punto de partida. Visión general de DORA por EIOPA explica el contexto sectorial; Artículo 2 es la disposición de alcance.

Create a one-page scope record before assigning learning. List the regulated entity, the framework it follows, its governing bodies, the people holding those positions, and the person who validated that mapping. A group-level programme can supply common content, but a subsidiary board still needs to understand its own services, dependencies and decisions. An overseas parent’s completion report does not tell you whether local directors understand the local recovery arrangements.

Utiliza responsabilidades reales de gobernanza al definir la audiencia. “Órgano de administración” es un término legal, definido en el Artículo 3(30), y no equivale simplemente a cualquiera que tenga “manager” en su cargo. Pide al equipo de gobernanza o jurídico que confirme la correspondencia en tu estructura. Incluye a los nuevos miembros en el registro de formación inmediatamente; no esperes a la próxima campaña grupal.

Mantén visible una excepción importante: entidades dentro de El marco simplificado del artículo 16 no aplique directamente los artículos 5–15. Sus requisitos de formación y gobierno siguen ese marco y sus normas técnicas. Simplificado no significa sin formación.

Separe el requisito del formato formativo

Artículo 5(4) vincula un aprendizaje regular y específico con la capacidad de comprender y evaluar el riesgo TIC y su impacto empresarial. El artículo 13(6) trata por separado la sensibilización y la formación en resiliencia de plantilla y alta dirección. Ninguna disposición establece un número universal de horas por año.

Esta distinción importa al contratar un programa. Un proveedor puede aportar un temario coherente, un registro de aprendizaje y una evaluación. Su empresa debe decidir si el contenido aborda las responsabilidades y exposición al riesgo de sus participantes. Un certificado no puede validar un plan de recuperación que el alumno nunca ha visto, ni una dependencia de proveedor que el curso no conoce que existe.

Determina resultados observables antes de escoger el formato. Tras la formación, una persona directiva debería poder explicar qué servicio sería el más perjudicial perder, identificar dónde la evidencia de la gestión es débil y describir las decisiones que siguen correspondiendo al consejo en una interrupción. Un ejecutivo debería poder aplicar su propio esquema de escalado sin buscar entre documentos normativos desconocidos.

Por tanto, un programa práctico tiene tres capas: una base conceptual compartida, una sesión informativa sobre la organización y un ejercicio de toma de decisiones. El estudio online se adapta a la primera capa; un responsable de servicio y un líder de riesgos pueden proporcionar la segunda; una discusión facilitada prueba la tercera. La combinación es una propuesta de diseño, no un método de entrega obligatorio.

Crea una matriz de formación en torno a las decisiones que toma la gente

La siguiente matriz es una plantilla de partida. Sustituya los ejemplos por las responsabilidades reales de su empresa y mantenga los detalles operativos sensibles dentro de su entorno de aprendizaje controlado. Asigne cada fila a un responsable que pueda confirmar si se ha conseguido el resultado de aprendizaje prometido.

Una matriz útil tiene más que una lista de módulos. Añada el idioma requerido, necesidades de accesibilidad, próxima fecha de revisión, versión del material, evaluador y acciones correctivas. Alguien puede comprender el vocabulario básico y aun así necesitar ayuda para interpretar un análisis de impacto en el negocio. Otra persona puede tener una gran experiencia técnica pero poco conocimiento del gobierno en el sector financiero.

No asignes el mismo programa correctivo a todos solo porque una persona tuvo dificultades. Registra la carencia de forma precisa: “No pudo identificar quién autoriza la comunicación de emergencia con el cliente” genera una acción útil; “Necesita más concienciación en ciberseguridad” no la genera. Pide a la persona que revise el procedimiento interno relevante y luego explique la decisión con sus propias palabras.

Escoge una cadencia defendible y desencadenantes de actualización explícitos

Respuesta final DORA Q&A 250-3380 de EIOPA relaciona la frecuencia de la formación con los roles y la proporcionalidad, e incluye las lecciones de incidentes e inteligencia de amenazas relevante al actualizar los programas. Por tanto, un calendario por sí solo es un diseño incompleto. Documente tanto su ciclo normal como los eventos que pueden adelantar el aprendizaje.

Para un consejo que parte de una base débil, una propuesta interna razonable es la inducción al nombramiento, una revisión anual planificada de los fundamentos, sesiones informativas focalizadas antes de decisiones importantes, y un ejercicio cuando la empresa o el panorama de amenazas lo requieran. Estas son opciones de programación sugeridas. La revisión anual de los fundamentos no es una frecuencia formativa legalmente establecida, y los negocios con altos cambios o riesgos pueden necesitar mucho más.

• Un nuevo modelo operativo, adquisición o servicio crítico introduce dependencias desconocidas.
• Un incidente relevante expone confusión sobre la escalada, impacto al cliente o autoridad de recuperación.
• Una prueba demuestra que una solución alternativa supuesta no puede operar a la escala requerida.
• Un cambio de proveedor altera la concentración, el acceso a datos o la factibilidad de una salida.
• Un director cambia de función en el comité o asume una nueva responsabilidad.
• Un desarrollo legal o supervisor relevante cambia las decisiones que el consejo debe comprender.

Da a alguien la responsabilidad de revisar esos desencadenantes. Un registro de formación que sólo envía recordatorios de caducidad perderá los momentos más útiles para aprender. Añade un campo breve de “impacto de la formación” a propuestas de cambios significativos y acciones post-incidente para que el programa pueda responder a los eventos.

Reserve tiempo para la discusión. Un resumen de cinco minutos que concluya en una decisión clara y registrada puede ser más útil que otra hora de diapositivas pasivas. Esto no significa que cinco minutos sean suficientes para el programa global; resalta por qué la relevancia y la comprensión deben medirse junto con la duración.

Conserva evidencia del aprendizaje y de los cambios realizados posteriormente

Construye una cadena de evidencia que un colega pueda seguir sin entrevistar al administrador del programa. La cadena debe ir desde una necesidad de aprendizaje identificada, a través de contenido relevante y participación, hasta una evaluación y cualquier acción resultante. Esta es nuestra estructura de registro sugerida; no implica que DORA exija estos campos exactos.

1. Registrar la audiencia, el rol y el motivo por el que se asignó el aprendizaje.
2. Mantén el temario, la versión del material, la fecha de entrega y la de revisión de fuentes.
3. Registra la asistencia o finalización de manera que identifique al participante real.
4. Conservar los resultados de la evaluación y un resumen conciso de las preguntas utilizadas.
5. Registrar carencias, la persona responsable de resolverlas y una fecha de finalización.
6. Relacione la discusión sustantiva con la decisión relevante del consejo o el registro de acciones.

Evalúe el juicio además de la memoria. “¿Qué artículo cubre la gobernanza?” verifica la memoria. “El proveedor reporta recuperación, pero la conciliación de transacciones está incompleta: ¿qué evidencia solicita antes de reanudar el servicio normal?” pone a prueba una distinción ejecutiva útil. Los participantes no tienen que elegir opciones operativas idénticas, pero sí reconocer la incertidumbre y explicar su razonamiento.

La tasa de finalización siempre debe tener un denominador y una fecha. “Ocho de diez miembros en alcance completaron la fundación actual; dos miembros recién nombrados han programado su inducción” es más informativo que “80% conforme”. El estado de la formación y el cumplimiento regulatorio son cosas diferentes.

Fija reglas de retención y acceso con los responsables de privacidad, archivos y gobernanza. Mantén los detalles individuales de la evaluación restringidos a quienes los necesiten; un informe para el consejo puede requerir solo la posición global y las brechas sin resolver. Conserva la versión histórica del curso para que un revisor posterior pueda ver qué se impartió realmente.

Ejemplo resuelto: utiliza una interrupción para identificar las verdaderas necesidades de aprendizaje

Considera este ejercicio ficticio. El portal de transacciones de clientes de una empresa financiera no está disponible a las 09:15. Su proveedor afirma que la infraestructura está sana, pero aún no puede confirmar la consistencia de las transacciones en cola. El servicio de atención al cliente recibe quejas de pagos duplicados. La próxima actualización al equipo directivo es en veinte minutos.

Primera decisión: define el problema en términos empresariales

Pida a los participantes que describan el servicio afectado, los clientes expuestos y la consecuencia de esperar. Una buena respuesta distingue entre la posibilidad de acceder a un servicio y que las transacciones sean fiables. Además, debe nombrar qué se desconoce. Si la discusión se convierte inmediatamente en un debate sobre la terminología técnica del proveedor, el programa necesita más trabajo para traducir hechos técnicos en consecuencias de negocio.

Segunda decisión: identificar autoridad y escalado

Pregunte quién puede restringir el procesamiento de transacciones, quién coordina el incidente, quién aplica el proceso de notificación y cuándo recibe la junta una actualización. Los participantes deben usar sus propios roles y procedimientos aprobados. No invente un plazo de notificación para el ejercicio ni espere a una reunión plenaria antes de que un equipo autorizado pueda cumplir una obligación existente de notificación de incidentes.

Tercera decisión: acordar la evidencia para la recuperación

El proveedor anuncia que la plataforma vuelve a estar disponible. Un directivo debe preguntar qué conciliaciones, controles de negocio y protecciones al cliente respaldan la reanudación. El ejercicio debe permitir que la dirección explique distintas opciones y sus consecuencias, incluido un servicio parcial controlado. “El panel está en verde” es una observación, no una justificación completa de recuperación.

Finaliza con un breve repaso. Quizá el consejo entendió la escalada pero no supo distinguir el objetivo de recuperación del resultado demostrado más reciente. Asigna una acción de aprendizaje específica, pide al responsable del servicio que mejore el informe y retoma la decisión en una reunión posterior. Esto crea un vínculo directo entre aprendizaje, evidencia y una mejor supervisión sin suponer que un simulacro demuestra la capacidad técnica de recuperación.

Evalúe un curso DORA en función de las necesidades de su consejo de administración.

Utiliza un resumen de contratación en el que se pregunte qué podrán hacer los participantes después. Solicita un temario, un ejemplo de escenario ejecutivo, las fuentes legales y su fecha de revisión, el método de evaluación y qué información figura en los registros de finalización. Pregunta cómo corrige el proveedor el material cuando cambian las bases legales o la supervisión.

Busque límites claros. Un curso básico debe indicar qué cuestiones requieren un debate específico de la organización. Si un proveedor afirma que basta con completar un solo módulo para que su empresa cumpla con DORA, pregunte cómo ha evaluado su modelo operativo, controles, contratos y evidencias. No es posible fundamentar dicha afirmación simplemente impartiendo formación.

Priorice explicaciones sencillas sobre disponibilidad, integridad de datos, dependencias del servicio, recuperación y responsabilidad de riesgos en lugar de un extenso glosario. Un consejo de administración no necesita configurar un cortafuegos para cuestionar un supuesto de recuperación no respaldado. Sí necesita confianza para preguntar qué ha probado la dirección y qué sigue siendo incierto.

de BlueTeam Academy Curso de Formación para Consejos y Ejecutivos DORA proporciona un programa guiado por decisiones: aproximadamente tres horas de estudio tutorizado distribuidas en ocho módulos. Utilícelo para establecer un lenguaje común, luego añada su propio resumen interno, discusión específica por rol y un plan de aprendizaje continuo. Completarlo es un registro formativo, no una acreditación ni una conclusión de que su organización cumple DORA.

Un plan práctico de 90 días para un consejo existente

Esta es una secuencia de implementación para mejorar un programa, no un periodo de gracia regulatorio. Priorice de inmediato las carencias de conocimientos urgentes si afectan a decisiones que ya se están tomando.

Nombra un coordinador del programa, manteniendo la titularidad del tema en las funciones apropiadas. El coordinador puede impulsar la finalización y conservar los registros; el responsable de riesgos valida la relevancia, los propietarios de los servicios explican la realidad operativa y la presidencia protege el tiempo para una discusión significativa. Documenta cómo se tratan las ausencias, nuevas incorporaciones y brechas no resueltas en la evaluación.

En la revisión final, selecciona al azar el historial completo de aprendizaje de un participante y una acción resultante del ejercicio. ¿Puedes demostrar tanto que la persona aprendió algo relevante como que la organización actuó sobre el resultado? Si falta uno de los dos vínculos, mejora ese enlace antes de añadir más contenido.

Lleva estas preguntas a la próxima reunión del consejo

• ¿Hemos identificado a toda persona cuyo rol requiere esta formación?
• ¿Puede cada miembro explicar nuestra dependencia TIC más relevante?
• ¿Incluye nuestro programa evidencias de nuestro propio servicio y recuperación?
• ¿Qué incidente, prueba o cambio reciente debería modificar el plan de formación?
• ¿Qué lagunas de aprendizaje no resueltas podrían afectar a una decisión este trimestre?
• ¿Podemos rastrear una actividad de aprendizaje hasta una mejor pregunta o una acción completada?

Utiliza las respuestas para establecer una agenda enfocada. Un consejo con sólidos conocimientos básicos puede necesitar un debate detallado sobre un proveedor. Uno recién nombrado puede requerir fundamentos antes de interpretar el panel de riesgos. Ambos deben poder explicar por qué su programa se ajusta a sus responsabilidades.

Continúa con nuestra guía sobre Responsabilidades del consejo bajo DORA y lo práctico Cuadro de mando de informes al consejo bajo DORA. En conjunto, conectan lo que aprenden los directivos con las decisiones que toman y la información que piden recibir.