Responsabilités du conseil d’administration au titre de DORA : de la politique aux décisions

Comprendre de qui relève la responsabilité selon DORA

Partez de l’entité juridique réglementée. Le champ d’application et les exclusions de DORA figurent à l’article 2, tandis que l’article 3(30) définit l’« organe de direction » en fonction des dispositifs de gouvernance sectoriels et nationaux applicables. Un simple intitulé de poste utilisé dans l’entreprise ne suffit pas à déterminer cette correspondance. Consignez quel organe ou quels organes exercent les fonctions concernées dans votre organisation.

Dans le cadre général, l’article 5, paragraphe 2 confie à l’organe de direction la responsabilité du cadre de gestion des risques liés aux TIC, y compris la responsabilité ultime du risque lié aux TIC de l’entité. Des spécialistes peuvent bien sûr exécuter le travail. La question est de savoir si le conseil peut démontrer qu’il a défini ses attentes, reçu des informations suffisantes, examiné les lacunes de manière critique et suivi la mise en œuvre des décisions importantes.

Cet article se concentre sur ce cadre général. Les entités relevant de l’article 16 suivent un régime simplifié au lieu des articles 5 à 15 ; les dispositions de gouvernance pour ce régime sont développées dans l’article 28 du règlement délégué 2024/1774. Confirmez le régime applicable avant de transformer ce guide en registre interne d’obligations.

L’organisation au sein du groupe doit être tout aussi claire. Une société mère peut prendre en charge les opérations de sécurité ou les achats, ou apporter son expertise en matière de politiques. La filiale doit néanmoins disposer d’une vision exploitable des services dont elle dépend, des risques qu’elle assume et des décisions que son propre organe de direction doit prendre. « Le groupe s’en occupe » ne suffit pas à expliquer qui doit rendre compte de quoi.

Considérez l’approbation comme le début de la supervision

L’article 5 couvre des responsabilités telles que la stratégie de résilience et la tolérance au risque lié aux TIC, les dispositifs de continuité et de reprise, la planification des audits, les ressources, la politique à l’égard des tiers et les canaux de signalement. Consultez la répartition précise dans l’article 5, paragraphe 2, points c) à i). Voici notre démarche pratique pour organiser le travail qui en découle ; elle ne remplace pas la disposition.

Pour chaque approbation significative, conservez un court compte rendu de décision structuré en trois parties liées : ce que le conseil a autorisé, les hypothèses sur lesquelles il s’est appuyé, et les preuves attendues par la suite. Une validation de stratégie doit déboucher sur des progrès alignés sur les priorités. Une validation de plan de reprise doit conduire à une capacité testée. Une validation de budget doit aboutir à des personnes, services ou contrôles qui atténuent réellement l’exposition identifiée.

Par exemple, approuver un plan de remédiation de six mois sans demander qui réalisera le travail crée un problème prévisible. Si les deux mêmes spécialistes sont déjà mobilisés sur une migration essentielle, le plan peut être impossible à mettre en œuvre. Demandez les hypothèses de capacité avant l’approbation et consignez l’arbitrage. Une échéance révisée réaliste, assortie d’une mesure de contrôle provisoire explicite, est plus utile qu’une date ambitieuse que personne ne peut respecter.

Distinguez les sujets soumis pour décision des sujets présentés pour information. Toute note sollicitant une décision doit préciser l’action proposée, les autres options crédibles, les conséquences d’un retard, les incertitudes restantes et la date limite de décision. Les administrateurs peuvent ainsi examiner la recommandation de manière critique sans entrer dans chaque détail technique.

Clarifiez les pouvoirs de décision à l’aide d’une matrice

Convenez des personnes qui préparent, examinent de manière critique, décident et vérifient chaque question importante. Adaptez cet exemple à votre structure juridique, aux questions réservées et aux mandats de vos comités. Ci-dessous, « Conseil » désigne l’organe de direction compétent dans cette structure ; cela ne signifie pas que chaque décision opérationnelle doit attendre une réunion plénière.

Les fonctions risques et conformité doivent pouvoir examiner la proposition de manière critique sans être responsables de chaque mesure de contrôle opérationnelle. L’audit interne doit conserver l’indépendance nécessaire à son rôle. Ne confiez pas à un même comité la mise en œuvre d’une correction et la vérification exclusive de son efficacité.

Testez la matrice avec une vraie décision à venir. Si un contrat fournisseur doit être renouvelé la semaine prochaine, chacun peut-il identifier qui peut l’approuver, qui peut exiger des conditions et qui accepte un éventuel risque résiduel ? Résolvez tout désaccord avant qu’un incident ou une échéance commerciale ne les révèle.

Traduire la tolérance au risque en choix de services

Une déclaration selon laquelle l’entreprise a « peu d’appétence pour le risque cyber » n’aide pas un dirigeant à arbitrer entre projets. Demandez à la direction de relier la déclaration aux services, aux conséquences pour le client, aux attentes de contrôle et à l’escalade. Gardez explicite la distinction entre résultat souhaité et capacité démontrée.

Prenons une entreprise d’investissement fictive qui envisage une nouvelle plateforme de reporting client. La direction propose un objectif de reprise fondé sur la documentation commerciale du fournisseur. Le conseil doit vérifier si cet objectif couvre l’ensemble du service : données sources, authentification, rapprochement des données, accès du personnel et transmission des rapports aux clients. Si seule la plateforme a été testée, consignez les dépendances non testées et la décision qu’elles affectent.

Voici des questions utiles pour examiner les propositions :

• Quel préjudice survient si le service est indisponible ou si ses données ne sont plus fiables ?
• Quelles hypothèses ont été démontrées, et lesquelles restent à l’état d’estimation ?
• Qu’est-ce que nous pouvons continuer en toute sécurité pendant que le service principal est dégradé ?
• Quel événement justifierait une escalade ou une autre décision opérationnelle ?
• Qui peut accepter le risque résiduel, pour combien de temps et sous quelles conditions ?

Fixez des limites précises aux dérogations. Une dérogation temporaire peut préciser le service concerné, sa justification, les mesures provisoires, le responsable, la date d’expiration et les circonstances imposant un réexamen anticipé. Des prolongations répétées doivent conduire à se demander si le plan initial reste réalisable. Un registre des dérogations n’aide à décider que si quelqu’un agit sur la base de son contenu.

Examiner si le budget permet réellement d’atteindre le résultat promis

L’article 5, paragraphe 2, point g) porte sur l’adéquation des ressources et le réexamen périodique du budget. Un budget est plus utile lorsqu’il relie une dépense à un résultat que lorsqu’il se contente de l’étiqueter « DORA » ou « cybersécurité ». Demandez à la direction de préciser le risque traité, les dépendances à prendre en compte pour réaliser le projet et les preuves attendues de l’amélioration.

Comparez ces propositions : « Acheter un nouveau produit de sauvegarde » et « Démontrer que le service client peut être rétabli avec des données rapprochées, dans un environnement de reprise isolé. » La seconde permet de poser des questions sur les personnes, le temps consacré aux tests, l’intégration et la validation métier. Le produit peut être nécessaire, mais l’acheter ne signifie pas que le résultat est atteint.

Une note d’investissement utile doit présenter :

1. Le service et l’exposition qui justifient l’intervention.
2. Le résultat et la manière dont il sera vérifié.
3. Coûts ponctuels et récurrents, y compris le temps du personnel et le support du fournisseur.
4. Dépendances vis-à-vis d’autres projets et compétences rares.
5. L'exposition résiduelle si la proposition est retardée ou réduite.
6. La personne qui confirmera que le bénéfice attendu a été obtenu.

Intégrez la formation et les exercices de prise de décision à la planification des ressources. Un plan peut échouer parce que le personnel ne sait pas comment l’activer, même lorsque la technologie sous-jacente fonctionne. De même, la formation ne peut pas compenser l’absence d’un contrôle technique. Gardez ces besoins liés tout en les mesurant séparément.

Conservez la responsabilité du service même lorsqu’un fournisseur l’assure

L’externalisation change le mode de prestation ; elle ne supprime pas les responsabilités de l’entité. Pour les entités soumises à ces exigences, l’article 3 du règlement délégué 2024/1773 impose une gouvernance claire des accords concernés et un réexamen, au moins annuel, par l’organe de direction de la politique relative aux services TIC soutenant des fonctions critiques ou importantes. Vérifiez les exemptions prévues à l’article 28, paragraphe 2, de DORA, notamment celles concernant les microentreprises. Cette fréquence de réexamen d’une politique précise ne constitue pas une fréquence universelle pour toutes les formations du conseil.

Pour une dépendance importante, demandez une brève explication centrée sur le service. Que perdraient les clients si le fournisseur était défaillant ? Quels autres services reposent sur la même infrastructure ou le même sous-traitant ? Comment votre organisation obtiendra-t-elle les informations, gardera-t-elle le contrôle et récupérera-t-elle ses données ? Qu’exige concrètement une sortie ?

Prenez l’exemple d’une proposition fictive de renouvellement offrant une remise importante en échange d’un engagement plus long. La direction dispose d’un droit contractuel d’exporter les données, mais n’a jamais importé les données exportées dans un autre environnement exploitable. Le conseil n’a pas à concevoir la migration. Il devrait demander si la possibilité de sortie annoncée est crédible et si le renouvellement devrait dépendre de la validation des données, de l’estimation de la capacité de transition ou de la réduction d’un autre risque de concentration.

Distinguez les documents du prestataire de vos propres conclusions. Une certification ou un rapport d’assurance peut étayer les vérifications préalables, mais vérifiez son périmètre, la période couverte, les exclusions et sa pertinence pour le service. Consignez qui a évalué le document et ce qui reste à clarifier.

Les priorités de supervision de la BCE pour 2026–2028 font de la résilience opérationnelle et des capacités TIC des priorités pour les banques. Elles soulignent que la surveillance des prestataires critiques complète la gestion des risques liés aux tiers menée par les banques elles-mêmes. Il s’agit de priorités de supervision bancaire, et non de l’affirmation que toutes les entités financières sont soumises au même traitement prudentiel.

Définissez les pouvoirs de décision avant la crise

Décidez à l’avance comment le conseil d’administration reçoit les informations importantes et ce que la direction peut faire immédiatement. Un incident ne doit pas révéler un désaccord sur les personnes habilitées à restreindre un service, à autoriser des dépenses d’urgence ou à communiquer des informations actualisées aux clients. L’équipe opérationnelle a également besoin de circuits clairs pour les notifications réglementaires, conformément aux procédures applicables.

Demandez des mises à jour concises en quatre points : ce qui est connu, ce qui reste incertain, les actions en cours, la décision à prendre. Évitez d’exiger un délai de reprise alors que les preuves ne le permettent pas. Préférez le prochain jalon de vérification et la date de retour avec de meilleures informations.

Une décision de reprise doit prendre en compte l’intégrité du service autant que sa disponibilité. Une application accessible peut encore contenir des enregistrements manquants, dupliqués ou incohérents. Demandez qui valide le résultat métier, quels rapprochements restent à effectuer et quelles restrictions protègent les clients pendant une reprise partielle.

Testez cette gouvernance lors d’un exercice. Simulez l’indisponibilité du canal de réunion habituel, l’absence d’un dirigeant et des informations contradictoires du fournisseur. Vérifiez si les suppléants habilités peuvent agir et si les décisions sont consignées. Ce modèle d’exercice est une suggestion ; il ne remplace ni les tests techniques ni les autres dispositions exigées par le cadre applicable.

Attribuez ensuite chaque constat important à un seul responsable et précisez les preuves nécessaires à sa clôture. La mention « Procédure mise à jour » peut suffire à clôturer un problème documentaire. Elle ne permet pas de clôturer un constat d’incapacité à rétablir le service, sauf si la capacité correspondante a également été démontrée.

Animez une réunion produisant des décisions et un compte rendu exploitable

Un ordre du jour concis peut être plus utile qu’une longue présentation technique. L’exemple ci-dessous propose une session récurrente de gouvernance ; la fréquence doit être fixée selon vos risques, obligations applicables et la structure de votre comité.

1. Passez en revue les changements depuis la dernière réunion : exposition du service, incidents majeurs et dépendances.
2. Examinez l’écart le plus important entre la capacité attendue et la capacité démontrée.
3. Décidez des exceptions, des ressources ou des priorités dépassant l’autorité déléguée.
4. Demandez des explications sur les actions en retard et les prolongations répétées.
5. Confirmez les éléments probants à présenter la prochaine fois et les besoins de formation.

Le procès-verbal doit rendre compte des questions critiques et des objections importantes sans devenir une transcription mot à mot. Consignez les informations examinées, les incertitudes reconnues, les options discutées, la décision et ses conditions. Ajoutez un responsable et une date de réexamen. Évitez d’écrire simplement que le conseil « a pris acte du point cybersécurité » lorsqu’il a en réalité accepté un risque aux conséquences importantes.

Exemple de décision consignée : le conseil a examiné les résultats du test de reprise du service de reporting client. L’application a été restaurée, mais le rapprochement métier n’a pas été achevé dans le délai prévu. La direction maintiendra le contrôle manuel provisoire, validera sa capacité et reviendra avec les résultats d’un nouveau test de bout en bout. Le directeur des opérations est responsable de l’action ; la date du prochain examen est inscrite au registre des actions.

Cet exemple est délibérément factuel. Il ne qualifie pas l’organisation de conforme ni n’affirme que le problème a disparu. Il rend visible la question non résolue et la prochaine étape. Pour choisir l’information utile à ce type de réunion, utilisez notre guide du tableau de bord DORA destiné au conseil.

Renforcer la boucle de gouvernance sur les 90 prochains jours

Utilisez ce plan d’amélioration en complément des obligations actuelles ; ce n’est pas une permission de différer une obligation existante. Commencez par l’écart qui génère le risque décisionnel le plus immédiat.

Évaluez la qualité de la clôture des actions. Choisissez trois actions terminées et vérifiez si les éléments fournis répondent au constat initial. Si une action n’a produit qu’un document alors que le risque subsiste, rouvrez la discussion. Choisissez une dérogation acceptée et vérifiez si sa date d’expiration, ses conditions et le responsable désigné restent pertinents.

Enfin, assurez-vous que les administrateurs comprennent les éléments qu’ils sont censés examiner de manière critique. Notre guide sur les exigences DORA pour la formation du conseil explique comment adapter la formation aux responsabilités de chacun. Notre programme « Formation à la cybersécurité pour les conseils d’administration et les dirigeants dans le cadre de DORA » propose un programme axé sur la prise de décisions, d'environ trois heures d'apprentissage guidé réparties sur huit modules. Ajoutez vos propres dispositifs de gouvernance et exercices décisionnels ; terminer le cours ne constitue ni une accréditation ni une conclusion de conformité.