Exigences de formation DORA pour les conseils d’administration : l’article 5(4) expliqué

Commencez par l’entité et les personnes, pas par le catalogue de formations

DORA s’applique depuis le 17 janvier 2025. Son champ d’application est défini par des catégories d’entités financières et des exclusions : il ne s’agit pas d’une obligation générale de formation pour toutes les entreprises européennes. Commencez par vérifier votre agrément, votre entité juridique et les règles de supervision applicables. La présentation de DORA par l’EIOPA explique le contexte sectoriel ; l’article 2 définit le champ d’application.

Avant d’attribuer les formations, consignez leur périmètre sur une page. Indiquez l’entité réglementée, le cadre applicable, ses organes de direction, leurs membres et la personne ayant validé cette correspondance. Un programme de groupe peut fournir un contenu commun, mais le conseil d’une filiale doit comprendre ses propres services, dépendances et décisions. Le rapport de formation d’une société mère étrangère ne permet pas de savoir si les administrateurs locaux comprennent les dispositifs de reprise locaux.

Pour déterminer qui doit être formé, partez des responsabilités réelles de gouvernance. L’« organe de direction » est une notion juridique définie à l’article 3(30), pas une désignation de toute personne portant le titre de manager. Faites confirmer les fonctions concernées par votre équipe juridique ou de gouvernance. Inscrivez tout nouveau membre au registre de formation dès sa nomination, sans attendre la prochaine campagne du groupe.

Une exception importante concerne les entités relevant du cadre simplifié de l’article 16 : elles n’appliquent pas directement les articles 5 à 15. Leurs obligations de formation et de gouvernance découlent de ce cadre et des normes techniques associées. Un cadre simplifié ne signifie pas une absence de formation.

Dissocier l’exigence du format de formation

L’article 5(4) relie un apprentissage régulier et spécifique à la capacité d’analyser et d’évaluer le risque TIC ainsi que son impact métier. L’article 13(6) traite séparément de la sensibilisation et de la formation à la résilience pour le personnel et la haute direction. Aucune de ces dispositions ne fixe de nombre universel d’heures de formation annuelles.

Cette distinction est essentielle lors du choix d’un programme. Un prestataire peut fournir un programme cohérent, un registre d’apprentissage et une évaluation. Votre entreprise doit toujours décider si le contenu est pertinent pour les responsabilités et l’exposition au risque des participants. Un certificat ne peut valider un plan de reprise que l’apprenant n’a jamais vu, ni une dépendance fournisseur inconnue du cours.

Définissez ce que les participants devront savoir faire avant de choisir le format. Après la formation, un administrateur doit pouvoir expliquer quel service causerait le plus de dommages en cas d’interruption, repérer les faiblesses dans les éléments présentés par la direction et identifier les décisions qui restent du ressort du conseil pendant une perturbation. Un dirigeant doit savoir appliquer la procédure d’escalade de son organisation sans découvrir les règles au moment de la crise.

Un programme pratique comporte donc trois niveaux : un socle conceptuel commun, une présentation de l’organisation elle-même et un exercice de prise de décision. L’apprentissage en ligne convient au premier niveau ; un responsable de service et un responsable des risques peuvent assurer le deuxième ; une discussion animée permet de tester le troisième. Cette combinaison est une proposition de conception, et non une méthode de formation imposée.

Construisez une matrice de formation en fonction des décisions que les personnes prennent

La matrice suivante est un point de départ. Adaptez les exemples aux responsabilités réelles de votre entreprise et conservez les informations opérationnelles sensibles dans votre environnement de formation sécurisé. Désignez, pour chaque ligne, un responsable chargé de vérifier que l’objectif pédagogique a été atteint.

Une matrice utile va au-delà d’une simple liste de modules. Ajoutez la langue requise, les besoins d’accessibilité, la date du prochain réexamen, la version des supports, l’évaluateur et l’action corrective. Une personne peut comprendre le vocabulaire de base tout en ayant besoin d’aide pour interpréter une analyse d’impact sur l’activité. Une autre peut posséder une expertise technique approfondie, mais mal connaître la gouvernance du secteur financier.

N’imposez pas à tous le même programme de remise à niveau parce qu’une personne a rencontré des difficultés. Consignez précisément la lacune : « N’a pas su identifier qui autorise les communications d’urgence aux clients » permet de définir une action utile ; « A besoin d’être davantage sensibilisé à la cybersécurité » ne le permet pas. Demandez au participant de revoir la procédure interne concernée, puis d’expliquer la décision avec ses propres mots.

Fixez une fréquence justifiable et les événements qui imposent une actualisation

La réponse définitive de l’EIOPA à la question DORA 250-3380 relie la fréquence des formations aux fonctions exercées et au principe de proportionnalité. Elle invite aussi à tenir compte des enseignements des incidents et des renseignements pertinents sur les menaces lors de la mise à jour du programme. Un calendrier ne suffit donc pas : documentez le rythme habituel et les événements qui justifient une formation anticipée.

Pour un conseil dont les connaissances de départ sont limitées, une proposition interne raisonnable consiste à prévoir une formation initiale lors de la nomination, une révision annuelle planifiée des fondamentaux, des séances d’information ciblées avant les décisions importantes et un exercice lorsque l’activité ou le contexte des menaces le justifie. Il s’agit de suggestions de planification. La révision annuelle des fondamentaux n’est pas une fréquence de formation fixée par la loi, et une entreprise qui connaît de nombreux changements ou présente un risque élevé peut avoir besoin de beaucoup plus.

• Un nouveau modèle opérationnel, une acquisition ou un service critique introduit des dépendances inconnues.
• Un incident significatif révèle une confusion sur l’escalade, l’impact sur les clients ou l’autorité habilitée à décider de la reprise.
• Un test montre qu’une solution de contournement supposée ne peut pas fonctionner à l’échelle requise.
• Un changement de prestataire modifie la concentration, l’accès aux données ou la faisabilité d’une sortie.
• Un administrateur change de rôle au sein d’un comité ou assume une nouvelle responsabilité.
• Une évolution importante du cadre juridique ou de la supervision modifie les décisions que le conseil doit comprendre.

Désignez une personne chargée d’examiner ces déclencheurs. Un registre de formation qui n’envoie que des rappels d’expiration passera à côté des occasions les plus utiles d’apprendre. Ajoutez un court champ « impact sur la formation » aux propositions de changement importantes et aux actions post-incident afin que le programme puisse s’adapter aux événements.

Prévoyez du temps pour la discussion. Un point de cinq minutes débouchant sur une décision claire et consignée peut être plus utile qu’une heure supplémentaire passée à regarder des diapositives. Cela ne signifie pas que cinq minutes suffisent pour tout le programme, mais que sa pertinence et la compréhension des participants doivent être évaluées autant que sa durée.

Conservez les preuves d’apprentissage et des évolutions apportées par la suite

Construisez une chaîne de preuves qu’un collègue peut suivre sans interroger l’administrateur du programme. Elle doit relier un besoin de formation identifié aux contenus pertinents et à la participation, puis à une évaluation et aux éventuelles actions qui en résultent. C’est la structure de dossier que nous proposons ; nous ne prétendons pas que DORA impose cet ensemble précis de champs.

1. Consignez le public concerné, les fonctions exercées et la raison de l’attribution de la formation.
2. Conservez le programme, la version des supports, la date de la formation et la date de vérification des sources.
3. Enregistrez la présence ou la fin de formation en identifiant la personne qui y a réellement participé.
4. Conservez les résultats de l’évaluation et une brève présentation des questions utilisées.
5. Consignez les lacunes, les personnes chargées de les combler et la date prévue.
6. Reliez la discussion de fond à la décision ou au registre d’actions du conseil concernés.

Évaluez le jugement autant que la restitution des connaissances. « Quel article traite de la gouvernance ? » teste la mémoire. « Le fournisseur annonce le rétablissement du service, mais le rapprochement des transactions n’est pas terminé : quelles preuves demandez-vous avant de reprendre le service normal ? » teste une distinction utile pour un dirigeant. Les participants ne sont pas tenus de faire les mêmes choix opérationnels, mais ils doivent reconnaître l’incertitude et expliquer leur raisonnement.

Un taux d’achèvement doit toujours être accompagné d’un dénominateur et d’une date. « Huit des dix membres concernés ont terminé la formation de base actuelle ; deux membres nouvellement nommés ont prévu leur formation initiale » est plus informatif que « 80 % de conformité ». L’état d’avancement de la formation et la conformité réglementaire sont deux choses différentes.

Définissez les règles de conservation et d’accès avec les responsables de la protection des données, des archives et de la gouvernance. Réservez les résultats individuels aux personnes qui en ont besoin. Le conseil peut n’avoir besoin que d’une synthèse et des lacunes restant à combler. Conservez la version du cours suivie pour permettre de vérifier ultérieurement ce qui a été enseigné.

Exemple commenté : exploiter une perturbation pour révéler les besoins réels en formation

Considérez cet exercice fictif. Le portail de transactions clients d’une société financière est indisponible à 09:15. Son fournisseur indique que l’infrastructure fonctionne correctement, mais ne peut pas encore confirmer la cohérence des transactions en attente. Le service client reçoit des réclamations concernant des paiements en double. Le prochain point d’information destiné à la direction est prévu dans vingt minutes.

Première décision : définir le problème en termes métier

Demandez aux participants de décrire le service touché, les clients exposés et les conséquences d’une attente. Une réponse solide distingue l’accessibilité du service de la fiabilité des transactions. Elle précise aussi ce qui reste inconnu. Si la discussion se transforme immédiatement en débat sur la terminologie technique du fournisseur, le programme doit mieux apprendre à traduire les faits techniques en conséquences pour l’activité.

Deuxième décision : clarifier les pouvoirs de décision et les remontées nécessaires

Demandez qui peut restreindre le traitement des transactions, qui coordonne l’incident, qui applique la procédure de notification et quand le conseil d’administration reçoit un point de situation. Les participants doivent s’appuyer sur leurs propres rôles et procédures approuvés. N’inventez pas de délai de notification pour l’exercice et n’attendez pas une réunion plénière du conseil avant qu’une équipe habilitée puisse respecter une obligation existante de notification d’incident.

Troisième décision : valider les preuves pour la reprise

Le prestataire annonce que la plateforme est de nouveau disponible. Un administrateur doit demander quels rapprochements de données, contrôles métier et dispositifs de protection des clients justifient la reprise. L’exercice doit permettre à la direction d’expliquer les options et leurs conséquences, y compris une reprise partielle maîtrisée. « Le tableau de bord est au vert » est un constat, pas une justification suffisante de la reprise.

Terminez par un bref débriefing. Le conseil a peut-être compris quand faire remonter un problème, sans parvenir à distinguer l’objectif de reprise du dernier résultat démontré. Attribuez une action d’apprentissage ciblée, demandez au responsable du service d’améliorer le rapport et réexaminez la décision lors d’une réunion ultérieure. Cela relie directement l’apprentissage, les preuves et une meilleure supervision, sans prétendre qu’un exercice sur table démontre la capacité technique de reprise.

Évaluez un cours DORA selon les besoins de votre conseil

Précisez dans votre cahier des charges ce que les participants devront savoir faire après la formation. Demandez le programme, un scénario destiné aux dirigeants, les sources juridiques et leur date de vérification, la méthode d’évaluation et le contenu des attestations de fin de formation. Demandez aussi comment le prestataire actualise les supports en cas d’évolution juridique ou des attentes de la supervision.

Recherchez des limites claires. Un cours d’introduction doit préciser les sujets qui nécessitent une discussion spécifique à l’organisation. Si un fournisseur affirme qu’accomplir un module unique rend votre entreprise conforme à DORA, demandez comment il a évalué votre modèle opérationnel, vos contrôles, contrats et preuves. La seule délivrance d’une formation ne suffit pas à étayer une telle affirmation.

Privilégiez des explications claires de la disponibilité, de l’intégrité des données, des dépendances de service, de la reprise et de la gestion du risque, plutôt qu’un grand glossaire. Un conseil d’administration n’a pas besoin de configurer un pare-feu pour remettre en question une hypothèse de reprise non étayée. Il doit cependant avoir la confiance pour demander ce que la direction a testé et ce qui reste incertain.

Le cours Formation à la cybersécurité pour les conseils d’administration et les dirigeants dans le cadre de DORA de BlueTeam Academy propose huit modules et environ trois heures de travail guidé, centrés sur la prise de décision. Utilisez-le pour établir un langage commun, puis ajoutez une présentation de vos propres services, des échanges adaptés aux fonctions de chacun et un plan de formation continue. La réussite du cours constitue un justificatif de formation, pas une accréditation ni la preuve que votre organisation respecte DORA.

Un plan pratique sur 90 jours pour un conseil déjà en fonction

Il s’agit d’une séquence de mise en œuvre pour améliorer un programme, non d’un délai de grâce réglementaire. Comblez immédiatement les lacunes critiques de connaissance lorsqu’elles influent sur les décisions en cours.

Désignez un coordinateur de programme, tout en laissant la responsabilité de chaque thème aux fonctions compétentes. Le coordinateur peut relancer les participants pour qu’ils terminent la formation et conserver les documents ; le responsable des risques valide la pertinence, les responsables des services expliquent la réalité opérationnelle et le président réserve du temps pour une discussion de fond. Documentez la manière dont sont gérées les absences, les nouvelles nominations et les lacunes d’évaluation non résolues.

Lors de la revue finale, examinez le dossier de formation complet d’un participant et une action issue de l’exercice. Pouvez-vous montrer à la fois que cette personne a appris quelque chose de pertinent et que l’organisation a agi pour résoudre le problème mis en évidence ? Si l’un de ces deux maillons manque, renforcez-le avant d’ajouter du contenu.

Présentez ces questions à la prochaine réunion du conseil

• Avons-nous identifié chaque personne dont le rôle requiert cette formation ?
• Chaque membre peut-il expliquer notre dépendance aux TIC la plus déterminante ?
• Notre programme inclut-il nos propres éléments probants sur les services et la reprise ?
• Quel incident, test ou changement récent devrait modifier le plan de formation ?
• Quelles lacunes de connaissances pourraient influencer une décision ce trimestre ?
• Pouvons-nous relier une activité d’apprentissage à un questionnement plus pertinent ou à une action menée à terme ?

Utilisez les réponses pour définir un ordre du jour ciblé. Un conseil ayant une base solide peut exiger une analyse détaillée d’un fournisseur. Un conseil nouvellement nommé nécessite peut-être les fondamentaux pour interpréter le tableau de bord des risques. Les deux doivent être capables d’expliquer en quoi leur programme répond à leurs responsabilités.

Consultez aussi notre guide sur les responsabilités du conseil au titre de DORA ainsi que notre modèle pratique de tableau de bord DORA pour le conseil. Ensemble, ils relient ce que les administrateurs apprennent aux décisions qu’ils prennent et aux informations qu’ils demandent à recevoir.