Responsabilités DORA du Conseil : de la politique à la décision

Comprendre de qui relève la responsabilité selon DORA

La base de départ est l’entité juridique réglementée. Le champ d’application et les exclusions de DORA figurent dans Article 2, tandis que l’Article 3(30) fait correspondre le terme « organe de gestion » aux dispositifs sectoriels et nationaux de gouvernance applicables. Un intitulé de poste commercial seul ne détermine pas cette correspondance. Consignez quelle(s) instance(s) exercent effectivement les fonctions concernées dans votre organisation.

Dans le cadre général, Article 5(2) confie au corps de gestion la gestion du risque TIC, y compris la responsabilité ultime du risque TIC pour l’entité. Cela est compatible avec le fait que des spécialistes effectuent le travail. La question pratique est de savoir si le conseil d’administration peut démontrer qu’il a fixé les attentes, reçu des informations adéquates, interpellé les lacunes et suivi les décisions importantes.

Cet article se concentre sur ce cadre général. Les entités relevant de l’article 16 suivent un régime simplifié au lieu des articles 5 à 15 ; les dispositions de gouvernance pour ce régime sont développées dans Article 28 du Règlement délégué 2024/1774. Confirmez le régime applicable avant de transformer ce guide en registre interne d’obligations.

Les modalités de groupe doivent être tout aussi claires. Une société mère peut fournir l’exploitation sécurité, les achats ou l’expertise en politiques. La filiale doit néanmoins disposer d’une vision exploitable des services dont elle dépend, des risques qu’elle porte et des décisions que son propre organe de gouvernance doit prendre. « Le groupe gère cela » est une explication incomplète de l’imputabilité.

Considérez l’approbation comme le début de la supervision.

L’article 5 couvre des responsabilités telles que la stratégie de résilience et la tolérance au risque TIC, les dispositifs de continuité et de restauration, la planification des audits, les ressources, la politique tiers et les canaux de signalement. Consultez l’attribution précise dans Article 5(2)(c)–(i). Notre démarche pratique pour organiser le travail qui en découle, et non un substitut à la disposition.

Pour chaque approbation significative, conservez un court compte rendu de décision structuré en trois parties liées : ce que le conseil a autorisé, les hypothèses sur lesquelles il s’est appuyé, et les preuves attendues par la suite. Une validation de stratégie doit déboucher sur des progrès alignés sur les priorités. Une validation de plan de reprise doit conduire à une capacité testée. Une validation de budget doit aboutir à des personnes, services ou contrôles qui atténuent réellement l’exposition identifiée.

Par exemple, valider un plan de remédiation de six mois sans demander qui réalisera le travail crée un problème prévisible. Si les deux seuls spécialistes sont déjà mobilisés sur une migration essentielle, le plan peut s’avérer impossible. Exigez les hypothèses de capacité avant validation et consignez le compromis. Une date révisée réaliste assortie d’un contrôle intérimaire explicite est plus utile qu’une date ambitieuse qu’aucun intervenant ne peut tenir.

Distinguer sujets à décision et sujets à information. Tout document sollicitant une décision doit énoncer l’action proposée, des alternatives crédibles, les conséquences d’un retard, les incertitudes non levées et la date limite de décision. Cela permet aux administrateurs de challenger la recommandation sans s’impliquer dans chaque détail technique.

Utilisez une matrice des droits décisionnels pour lever toute ambiguïté

Convenir qui prépare, challenge, décide et contrôle chaque sujet important. Adapter cet exemple à votre structure juridique, vos sujets réservés et vos comités. « Conseil » ci-dessous désigne l’instance dirigeante pertinente dans cette structure ; cela ne signifie pas que chaque décision opérationnelle attend un conseil plénier.

Les fonctions risques et conformité doivent pouvoir challenger la proposition, sans détenir chaque contrôle opérationnel. L'audit interne doit conserver l'indépendance adaptée à son rôle. N'attribuez pas à un comité à la fois la remédiation et l'unique assurance de son efficacité.

Testez la matrice avec une vraie décision à venir. Si un contrat fournisseur doit être renouvelé la semaine prochaine, chacun peut-il identifier qui peut l’approuver, qui peut exiger des conditions et qui accepte un éventuel risque résiduel ? Résolvez tout désaccord avant qu’un incident ou une échéance commerciale ne les révèle.

Traduire la tolérance au risque en choix de services

Une déclaration selon laquelle l’entreprise a « peu d’appétence pour le risque cyber » n’aide pas un dirigeant à arbitrer entre projets. Demandez à la direction de relier la déclaration aux services, aux conséquences pour le client, aux attentes de contrôle et à l’escalade. Gardez explicite la distinction entre résultat souhaité et capacité démontrée.

Prenons un cabinet d’investissement fictif qui envisage une nouvelle plateforme de reporting client. La direction propose un objectif de reprise basé sur la documentation marketing du fournisseur. Le conseil doit se demander si cet objectif couvre l’intégralité du service de reporting : données sources, authentification, rapprochement, accès du personnel et distribution client. Si seule la plateforme a été testée, consignez les dépendances non testées et la décision impactée.

Exemples de questions de challenge utiles :

• Quel préjudice survient si le service est indisponible ou si ses données ne sont plus fiables ?
• Quelles hypothèses ont été démontrées, et lesquelles restent à l’état d’estimation ?
• Qu’est-ce que nous pouvons continuer en toute sécurité pendant que le service principal est dégradé ?
• Quel événement justifierait une escalade ou une autre décision opérationnelle ?
• Qui peut accepter le risque résiduel, pour combien de temps et sous quelles conditions ?

Fixez des limites spécifiques pour les exceptions. Une exception à durée limitée doit indiquer le service concerné, la justification, les mesures provisoires, un responsable, la date d’expiration et les circonstances justifiant une révision anticipée. Les prolongations répétées doivent conduire à un échange sur la crédibilité du plan initial. Un registre des exceptions n’est un outil décisionnel que si quelqu’un agit dessus.

Remettre en question si le budget permet d'atteindre le résultat promis

Article 5(2)(g) traite les ressources appropriées et la révision périodique du budget. Concrètement, un budget est plus pertinent s’il relie la dépense à un résultat qu’en se contentant d’étiqueter la dépense « DORA » ou « cybersécurité ». Demandez à la direction d’expliquer le risque traité, les dépendances pour la livraison et la preuve d’amélioration.

Comparez ces propositions : « Acheter un nouveau produit de sauvegarde » et « Démontrer que le service client peut être rétabli avec rapprochement des données dans un environnement de reprise isolé. » La seconde permet de s’interroger sur les personnes, temps de test, intégration et validation métier. Le produit peut s’avérer nécessaire, mais l’acheter n’est pas égal au résultat.

Une note d’investissement utile doit présenter :

1. Le service et l’exposition qui justifient l’intervention.
2. Le résultat et la manière dont il sera vérifié.
3. Coûts ponctuels et récurrents, y compris le temps du personnel et le support du fournisseur.
4. Dépendances vis-à-vis d’autres projets et compétences rares.
5. L'exposition résiduelle si la proposition est retardée ou réduite.
6. La personne qui confirmera que l'avantage a été délivré.

Inclure des exercices de formation et de décision dans la planification des ressources. Un plan peut échouer parce que le personnel ne sait pas comment l’activer, même lorsque la technologie fonctionne. Réciproquement, la formation ne comble pas une lacune de contrôle technique. Garder ces besoins liés tout en les mesurant séparément.

Gardez la propriété même si un fournisseur délivre le service

L’externalisation change le mode de prestation ; elle ne supprime pas les responsabilités de l’entité. Pour les entités soumises à ces exigences, Article 3 du Règlement délégué 2024/1773 nécessite une gouvernance claire pour les dispositifs concernés et au moins un examen annuel de la politique par l’organe de direction pour les services TIC soutenant des fonctions critiques ou importantes. Vérifiez les exemptions dans DORA Article 28(2), y compris les microentreprises. Cette fréquence d'examen de politique ne doit pas être confondue avec une fréquence universelle pour toutes les formations du conseil.

Pour une dépendance critique, demandez une brève explication centrée sur le service. Que perdraient les clients si le fournisseur faisait défaut ? Quels autres services reposent sur la même infrastructure ou sous-traitant ? Comment votre organisation obtiendra-t-elle les informations, gardera-t-elle le contrôle et récupérera-t-elle ses données ? Qu’exige concrètement une sortie ?

Considérez une proposition de renouvellement fictive avec une remise substantielle pour un engagement plus long. La direction détient un droit contractuel d'exporter les données mais n'a jamais importé cet export dans un autre environnement exploitable. Le conseil n'a pas à élaborer la migration. Il devrait vérifier la crédibilité de la possibilité de sortie et décider si le renouvellement doit être conditionné à la validation des données, à l'estimation de la capacité de transition ou à la réduction d'une concentration.

Distinguez les documents fournis par le prestataire de vos conclusions personnelles. Un rapport de certification ou d’assurance peut appuyer la diligence raisonnable, mais vérifiez-en le périmètre, la période couverte, les exclusions et la pertinence pour le service. Tracez qui a analysé le document et ce qui reste non résolu.

La BCE Priorités de supervision 2026–28 identifient la résilience opérationnelle et les capacités TIC comme priorités bancaires et insistent sur le fait que la supervision des prestataires critiques complète la gestion des risques tiers propre aux banques. Il s’agit de priorités de supervision bancaire, sans avancer que chaque entité financière bénéficie du même traitement.

Établissez l’autorité de crise avant qu’elle ne soit nécessaire

Décidez à l’avance comment le conseil reçoit les informations importantes et ce que la direction peut faire immédiatement. Un incident ne doit pas révéler une divergence sur qui peut restreindre un service, autoriser une dépense d’urgence ou diffuser une communication client. L’équipe opérationnelle a également besoin de voies claires pour le signalement réglementaire selon les procédures applicables.

Demandez des mises à jour concises en quatre points : ce qui est connu, ce qui reste incertain, les actions en cours, la décision à prendre. Évitez d’exiger un délai de reprise alors que les preuves ne le permettent pas. Préférez le prochain jalon de vérification et la date de retour avec de meilleures informations.

Une décision de reprise doit traiter l’intégrité du service autant que la disponibilité. Une application accessible peut comporter des enregistrements manquants, dupliqués ou incohérents. Demandez qui valide le résultat métier, quels rapprochements restent à faire, et quelles mesures protègent les clients lors d’une reprise partielle.

Testez la gouvernance par un exercice. Simulez la perte du canal de réunion habituel, l’indisponibilité d’un dirigeant et des mises à jour contradictoires de fournisseurs. Observez si des adjoints autorisés peuvent agir et si une trace de décision est maintenue. Ceci est une suggestion de conception d’exercice ; elle ne remplace pas les tests techniques ni les autres niveaux imposés par le cadre applicable.

Ensuite, attribuez chaque constatation importante à un responsable identifié et précisez la preuve requise pour la clôture. « Procédure mise à jour » peut clôturer un problème documentaire. Cela ne clôt pas une incapacité à restaurer le service à moins que la capacité concernée ait été également démontrée.

Animez une réunion produisant des décisions et un compte rendu exploitable

Un ordre du jour concis peut être plus utile qu’une longue présentation technique. L’exemple ci-dessous propose une session récurrente de gouvernance ; la fréquence doit être fixée selon vos risques, obligations applicables et la structure de votre comité.

1. Passez en revue les changements depuis la dernière réunion : exposition du service, incidents majeurs et dépendances.
2. Examiner l’écart le plus important entre la capacité attendue et celle démontrée.
3. Décidez des exceptions, des ressources ou des priorités dépassant l’autorité déléguée.
4. Remettre en question les actions en retard et les prorogations récurrentes.
5. Confirmer la prochaine preuve à présenter et tout apprentissage requis.

Le procès-verbal doit expliquer les difficultés rencontrées sans devenir une retranscription mot à mot. Renseignez l’information examinée, l’incertitude reconnue, les alternatives discutées, la décision ainsi que ses conditions. Ajoutez un responsable et une date de retour. Évitez la formule générique où le conseil « prend acte de la mise à jour cyber » alors qu’un risque important a en réalité été accepté.

Exemple de décision : le conseil a examiné les résultats du test de reprise du service de reporting client. L’application a été restaurée, mais la réconciliation métier n’a pas été réalisée dans le délai prévu. La direction maintiendra le contrôle manuel provisoire, validera sa capacité et reviendra avec un nouveau test bout-en-bout. Le directeur des opérations est responsable de l’action ; la date de la prochaine revue est inscrite au registre des actions.

Cet exemple est délibérément factuel. Il ne qualifie pas l’organisation de conforme ni n’affirme que le problème a disparu. Il rend visible la question non résolue et la prochaine étape. Pour choisir l’information utile à ce type de réunion, utilisez notre Guide du tableau de bord de reporting DORA pour conseils.

Renforcer la boucle de gouvernance sur les 90 prochains jours

Utilisez ce plan d’amélioration en complément des obligations actuelles ; ce n’est pas une permission de différer une obligation existante. Commencez par l’écart qui génère le risque décisionnel le plus immédiat.

Évaluer la qualité de la clôture. Sélectionnez trois actions complétées et demandez si les preuves fournies répondent effectivement au constat initial. Si une action n’a produit qu’un document alors que le risque subsiste, rouvrez la discussion. Sélectionnez une dérogation acceptée et vérifiez que sa date d’expiration, ses conditions et son responsable restent pertinents.

Enfin, assurez-vous que les administrateurs comprennent la matière qu’on attend d’eux de remettre en question. Notre guide sur les exigences DORA pour la formation du conseil explique comment structurer l’apprentissage basé sur le rôle. DORA Formation pour Dirigeants & Conseil d’Administration propose un programme axé sur la prise de décisions, d'environ trois heures d'apprentissage guidé réparties sur huit modules. Ajoutez vos propres dispositifs de gouvernance et exercices décisionnels ; terminer le cours ne constitue ni une accréditation ni une conclusion de conformité.