Exigences de formation DORA pour le Conseil : explications de l’article 5(4)

Commencez par l’entité et les personnes, pas par le catalogue de formations

DORA s’applique depuis le 17 janvier 2025. Son périmètre secteur financier est défini par des catégories et exclusions d’entités ; il ne s’agit pas d’une loi générale de formation pour toutes les entreprises européennes. Utilisez votre licence, votre entité juridique et la réglementation applicable pour déterminer le cadre de référence. Vue d’ensemble DORA d’EIOPA explique le contexte sectoriel ; Article 2 est la clause de champ d’application.

Create a one-page scope record before assigning learning. List the regulated entity, the framework it follows, its governing bodies, the people holding those positions, and the person who validated that mapping. A group-level programme can supply common content, but a subsidiary board still needs to understand its own services, dependencies and decisions. An overseas parent’s completion report does not tell you whether local directors understand the local recovery arrangements.

Utilisez les responsabilités réelles de gouvernance lors de la définition du public. « Organe de direction » est un terme juridique, défini via l’Article 3(30), et ne désigne pas simplement toutes les personnes avec le titre de « manager ». Demandez à votre équipe gouvernance ou juridique de confirmer la correspondance pour votre structure. Inscrivez tout nouveau membre nommé immédiatement dans le registre de formation ; ne les laissez pas attendre la prochaine campagne de groupe.

Gardez visible une exception majeure : entités situées dans Cadre simplifié de l’article 16 ne pas appliquer directement les articles 5 à 15. Leurs exigences en matière de formation et de gouvernance suivent ce cadre et ses standards techniques. Simplifié ne signifie pas absence de formation.

Dissocier l’exigence du format de formation

Article 5(4) relie un apprentissage régulier et spécifique à la capacité d’analyser et d’évaluer le risque TIC ainsi que son impact métier. L’article 13(6) traite séparément de la sensibilisation et de la formation à la résilience pour le personnel et la haute direction. Aucune de ces dispositions ne fixe de nombre universel d’heures de formation annuelles.

Cette distinction est essentielle lors du choix d’un programme. Un prestataire peut fournir un programme cohérent, un registre d’apprentissage et une évaluation. Votre entreprise doit toujours décider si le contenu est pertinent pour les responsabilités et l’exposition au risque des participants. Un certificat ne peut valider un plan de reprise que l’apprenant n’a jamais vu, ni une dépendance fournisseur inconnue du cours.

Définissez les résultats observables avant de choisir le format. Après l’apprentissage, un administrateur doit pouvoir expliquer quel service aurait l'impact le plus dommageable en cas de perte, identifier les points faibles dans les preuves de la direction et décrire les décisions qui relèvent toujours du conseil en situation de perturbation. Un cadre doit pouvoir mettre en œuvre ses propres modalités d'escalade sans chercher dans des politiques inconnues.

Un programme efficace comporte donc trois niveaux : une base conceptuelle commune, une présentation de l’organisation et un exercice décisionnel. L’étude en ligne convient au premier niveau ; le responsable de service et le référent risque assurent le second ; une discussion animée teste le troisième. Cette combinaison est une proposition de conception, non une méthode de livraison imposée.

Construire une matrice de formation autour des décisions prises par les personnes

La matrice suivante est un modèle de départ. Remplacez les exemples par les responsabilités réelles de votre entreprise et gardez les détails opérationnels sensibles dans votre environnement d’apprentissage maîtrisé. Attribuez un responsable par ligne qui peut confirmer si l’objectif d’apprentissage promis a été atteint.

Une matrice utile va au-delà d'une simple liste de modules. Ajoutez la langue requise, les besoins en accessibilité, la date de la prochaine révision, la version du matériel, l'évaluateur et les actions correctives. Une personne peut comprendre le vocabulaire de base, mais avoir besoin d’aide pour interpréter une analyse d’impact métier. Une autre peut avoir une expertise technique approfondie, mais peu de familiarité avec la gouvernance du secteur financier.

N’attribuez pas à tous le même programme de remédiation parce qu’une personne a eu des difficultés. Consignez précisément le point à améliorer : « N’a pas identifié l’autorité pour la communication client d’urgence » génère une action utile ; « Besoin d’une meilleure sensibilisation cyber » non. Demandez au participant de revoir la procédure interne concernée puis d’expliquer la démarche avec ses propres mots.

Choisir un rythme défendable et des déclencheurs explicites de rafraîchissement

Q&R finale DORA EIOPA 250-3380 relie la fréquence de formation aux rôles et à la proportionnalité, et prend en compte les leçons tirées des incidents ainsi que les renseignements sur les menaces pertinents lors de la mise à jour des programmes. Un simple calendrier est donc une conception incomplète. Documentez à la fois votre cycle habituel et les événements susceptibles d’avancer l’apprentissage.

Pour un conseil partant d’une base faible, une proposition raisonnable en interne consiste à une induction à la nomination, une revue de fondation annuelle planifiée, des sessions ciblées avant toute décision importante, et un exercice dès lors que le contexte métier ou la menace le justifie. Ce sont des choix de planification suggérés. La revue de fondation annuelle n’est pas une fréquence de formation fixée par la loi, et une entreprise à fort changement ou risque élevé peut nécessiter bien plus.

• Un nouveau modèle opérationnel, une acquisition ou un service critique introduit des dépendances inconnues.
• Un incident significatif révèle une confusion sur l’escalade, l’impact client ou les pouvoirs de reprise.
• Un test montre qu’une solution de contournement présumée n’est pas opérable à l’échelle requise.
• Un changement de fournisseur modifie la concentration, l’accès aux données ou la faisabilité d’un retrait.
• Un directeur change de rôle en comité ou prend une nouvelle responsabilité.
• Un changement juridique ou réglementaire important modifie les décisions que le conseil doit comprendre.

Désignez une personne responsable de la revue de ces déclencheurs. Un registre de formation qui n'envoie que des rappels d'expiration manquera les moments les plus pertinents d’apprentissage. Ajoutez un court champ « impact formation » aux propositions de changement majeures et aux actions post-incident afin que le programme puisse s’adapter aux événements.

Réserver du temps pour la discussion. Un briefing de cinq minutes aboutissant à une décision claire et enregistrée peut être plus utile qu’une heure supplémentaire de présentations passives. Cela ne signifie pas que cinq minutes suffisent pour l’ensemble du programme ; cela montre pourquoi la pertinence et la compréhension doivent être mesurées en plus de la durée.

Conservez les preuves d’apprentissage et des évolutions apportées par la suite

Construire une chaîne de preuves qu’un collègue puisse suivre sans interroger l’administrateur du programme. La chaîne doit partir d’un besoin d’apprentissage identifié, passer par les contenus pertinents et la participation, pour aboutir à une évaluation et une éventuelle action. Il s’agit de notre structure d’enregistrement suggérée ; ce n’est pas une affirmation que DORA prescrit cet ensemble exact de champs.

1. Enregistrer l’audience, la fonction et la raison de l’attribution du parcours d’apprentissage.
2. Gardez le référentiel, la version du contenu, la date de livraison et la date d’examen technique.
3. Consigner la présence ou la validation de l’accomplissement d’une manière qui identifie effectivement le participant.
4. Conserver les résultats de l’évaluation et un résumé des questions utilisées.
5. Consigner les lacunes, la personne chargée de les résoudre et la date d’achèvement.
6. Reliez la discussion de fond à la décision ou au registre d’actions du conseil concernés.

Évaluez le jugement aussi bien que la capacité de mémorisation. « Quel article traite de la gouvernance ? » teste la mémoire. « Le fournisseur indique une reprise mais la réconciliation des transactions n’est pas terminée : quelles preuves demandez-vous avant de reprendre l’activité normale ? » teste une distinction essentielle pour un décideur. Les participants ne sont pas obligés de choisir les mêmes actions opérationnelles, mais ils doivent reconnaître l’incertitude et justifier leur raisonnement.

Un taux de complétion doit toujours avoir un dénominateur et une date. « Huit membres sur dix concernés ont terminé la fondation actuelle ; deux nouveaux membres ont planifié leur intégration » est plus informatif que « 80% conforme ». Le statut de formation et la conformité réglementaire sont des choses différentes.

Définissez des règles de conservation et d’accès avec les responsables de la confidentialité, des archives et de la gouvernance. Limitez le détail individuel des évaluations à ceux qui en ont besoin ; un rapport au conseil peut seulement nécessiter l’agrégat et les écarts non résolus. Préservez la version historique du cours afin qu’un vérificateur ultérieur puisse voir ce qui a réellement été dispensé.

Exemple commenté : exploiter une perturbation pour révéler les besoins réels en formation

Entraînez-vous avec cet exercice fictif. À 09h15, le portail transactionnel client d’une société financière est indisponible. Son fournisseur déclare que l’infrastructure est saine mais ne peut pas encore confirmer la cohérence des transactions en attente. Le service client reçoit des plaintes de paiements en double. La prochaine communication de la direction est prévue dans vingt minutes.

Première décision : définir le problème en termes métier

Demandez aux participants de décrire le service concerné, les clients exposés et l’impact d’une attente. Une réponse solide distingue un service accessible d’opérations fiables. Elle mentionne aussi ce qui reste inconnu. Si la discussion vire d’emblée au débat sur la terminologie technique du fournisseur, le programme devra être renforcé en matière de traduction du technique en conséquences métiers.

Deuxième décision : identifier l’autorité et l’escalade

Demandez qui peut restreindre le traitement des transactions, qui coordonne l’incident, qui applique la procédure de signalement et quand le conseil d’administration est mis à jour. Les participants doivent utiliser leurs rôles et procédures autorisés. N’inventez pas d’échéance de notification pour l’exercice ni n’attendez une réunion du conseil pour qu’une équipe autorisée agisse selon l’obligation déclarative existante.

Troisième décision : valider les preuves pour la reprise

Le fournisseur annonce que la plateforme est à nouveau disponible. Un directeur doit demander quelles réconciliations, contrôles métier et protections client soutiennent la reprise. L’exercice doit permettre à la direction d’expliquer diverses options et leurs conséquences, y compris le service partiel contrôlé. « Le tableau de bord est au vert » est une observation, non un argument de reprise complet.

Concluez par un court debriefing. Il se peut que le conseil ait compris l’escalade mais n’ait pas différencié l’objectif de reprise du dernier résultat démontré. Assignez une action d’apprentissage ciblée, demandez au propriétaire du service d’améliorer le rapport, et réexaminez la décision lors d’une réunion ultérieure. Cela crée un lien direct entre apprentissage, preuves et meilleure supervision, sans prétendre qu’un exercice sur table démontre la capacité technique de reprise.

Évaluer un cours DORA en fonction des besoins de votre conseil d’administration

Utilisez un cahier des charges qui énonce ce que les participants sauront faire à l’issue. Demandez un programme, un exemple de scénario de direction, les sources juridiques et leur date de révision, la méthode d’évaluation et les informations présentes dans les registres de réussite. Demandez comment le prestataire met à jour ses contenus si la position légale ou réglementaire change.

Recherchez des limites claires. Un cours d’introduction doit préciser les sujets qui nécessitent une discussion spécifique à l’organisation. Si un fournisseur affirme qu’accomplir un module unique rend votre entreprise conforme à DORA, demandez comment il a évalué votre modèle opérationnel, vos contrôles, contrats et preuves. La seule délivrance d’une formation ne suffit pas à étayer une telle affirmation.

Privilégiez des explications claires de la disponibilité, de l’intégrité des données, des dépendances de service, de la reprise et de la gestion du risque, plutôt qu’un grand glossaire. Un conseil d’administration n’a pas besoin de configurer un pare-feu pour remettre en question une hypothèse de reprise non étayée. Il doit cependant avoir la confiance pour demander ce que la direction a testé et ce qui reste incertain.

de BlueTeam Academy DORA Formation pour Dirigeants & Conseil d’Administration propose un programme d'environ trois heures d'étude guidée réparties sur huit modules, axé sur la prise de décision. Utilisez-le pour établir un langage commun, puis ajoutez votre briefing interne sur les services, une discussion adaptée à chaque rôle et un plan de formation continue. L’achèvement constitue une preuve d’apprentissage, non une accréditation ni la confirmation que votre organisation respecte DORA.

Un plan pratique sur 90 jours pour un conseil existant

Il s’agit d’une séquence de mise en œuvre pour améliorer un programme, non d’un délai de grâce réglementaire. Comblez immédiatement les lacunes critiques de connaissance lorsqu’elles influent sur les décisions en cours.

Désignez un coordinateur de programme, tout en conservant la responsabilité de chaque sujet auprès des fonctions appropriées. Le coordinateur peut relancer les actions et conserver la traçabilité ; le référent risque valide la pertinence, les responsables métiers expliquent la réalité opérationnelle, et le président veille à réserver du temps pour une discussion pertinente. Documentez la gestion des absences, des nouvelles nominations et des lacunes d’évaluation non résolues.

Lors de la revue finale, prenez un exemple complet de dossier d'apprentissage d'un participant et une action issue de l'exercice. Pouvez-vous démontrer à la fois que la personne a appris quelque chose de pertinent et que l'organisation a agi sur la question résultante ? Si l'un des deux maillons manque, améliorez-le avant d'ajouter plus de contenu.

Présentez ces questions à la prochaine réunion du conseil

• Avons-nous identifié chaque personne dont le rôle requiert cette formation ?
• Chaque membre peut-il expliquer notre dépendance ICT la plus déterminante ?
• Notre programme inclut-il nos propres preuves de service et de reprise ?
• Quel incident, test ou changement récent devrait modifier le plan de formation ?
• Quelles lacunes non résolues en matière d'apprentissage pourraient impacter une décision ce trimestre ?
• Pouvons-nous relier une activité d’apprentissage à une meilleure évaluation ou à une action complétée ?

Utilisez les réponses pour définir un ordre du jour ciblé. Un conseil ayant une base solide peut exiger une analyse détaillée d’un fournisseur. Un conseil nouvellement nommé nécessite peut-être les fondamentaux pour interpréter le tableau de bord des risques. Les deux doivent être capables d’expliquer en quoi leur programme répond à leurs responsabilités.

Poursuivre avec notre guide sur Responsabilités DORA du conseil et la dimension pratique Tableau de bord de reporting DORA pour conseils. Ensemble, ils relient ce que les administrateurs apprennent aux décisions qu’ils prennent et aux informations qu’ils demandent à recevoir.