La réponse courte
Un certificat de fin de formation peut montrer qu’une personne identifiée a satisfait aux critères consignés par un prestataire pour une version précise d’un cours. À lui seul, il n’établit pas la conformité de l’entité financière à DORA et n’implique pas une qualification approuvée par l’UE. Examinez le programme, l’évaluation et le dossier d’apprentissage sur lesquels il repose, ainsi que l’intitulé du document.
1. Distinguez l’achèvement de la formation de la conformité de l’organisation
Un administrateur peut terminer un cours pertinent alors que l’organisation présente toujours une dépendance nécessaire à la reprise qui n’a pas été testée, un constat d’audit dont le traitement est en retard ou un dispositif de sortie d’un fournisseur inadéquat. La formation peut l’aider à reconnaître ces problèmes et à les remettre en question. Elle ne les fait pas disparaître. Le certificat doit décrire l’acquis pédagogique sans en tirer une conclusion sur l’ensemble des contrôles de l’entité.
Les dispositions de DORA relatives à la formation portent sur les connaissances, les compétences, des formations adaptées et les responsabilités associées aux fonctions concernées. Les articles 5(4) et 13(6) n’imposent aucun dispositif d’accréditation particulier, ni examen ou note de réussite universels. Un prestataire peut choisir une évaluation et délivrer une attestation d’achèvement, mais il doit présenter ces critères comme des choix de conception du programme. Ne déduisez pas une approbation réglementaire de la présence d’un drapeau de l’UE, d’un sceau d’apparence officielle ou du mot « certifié » sur une page commerciale.
Pour une entité financière relevant du cadre général, la formation du conseil doit renforcer la capacité à comprendre et à évaluer le risque TIC et ses conséquences opérationnelles. Les entités qui remplissent les conditions du cadre simplifié de l’article 16 relèvent de dispositions différentes, notamment d’une obligation spécifique de formation du personnel et de la direction. Un certificat ne doit pas affirmer que l’article 5(4) constitue la base applicable à chaque client. Déterminez séparément le champ d’application et le cadre applicable, avec les personnes responsables de l’évaluation juridique et de conformité de l’entité.
2. Identifiez précisément qui a réalisé quoi
Un document de fin de formation utile identifie l’apprenant, l’organisation, le titre du cours, sa version, la date d’achèvement, l’émetteur et un identifiant unique de certificat. Le rôle professionnel explique pourquoi cette formation a été attribuée. Lorsqu’une évaluation fait partie des critères, le dossier doit en indiquer le résultat et le seuil de réussite fixé par le prestataire. Évitez un document qui indique simplement que son titulaire a suivi une formation DORA sans préciser ce que cela signifie.
Veillez à ce que le certificat reste compréhensible après les changements du catalogue. Une personne qui l’examinera à l’avenir pourrait avoir besoin de savoir si l’apprenant a terminé un court extrait introductif ou un programme de huit modules destiné aux dirigeants. Les deux peuvent donner lieu à un justificatif, mais ils ne sont pas interchangeables. Le titre seul constitue une référence historique peu fiable, car les noms commerciaux peuvent changer. La version doit identifier un programme et des modalités d’évaluation stables que le prestataire peut expliquer.
Distinguez l’identité de la personne de ses pouvoirs. Avoir terminé un cours destiné aux organes de direction ne prouve ni que la personne en est membre, ni qu’elle est habilitée à accepter un risque, ni que son statut professionnel a été vérifié par un tiers. Sur BlueTeam Academy, l’apprenant renseigne lui-même sa fonction ; cette déclaration est conservée dans le dossier de fin de formation, sans vérification indépendante de ses qualifications. L’entreprise doit s’appuyer sur ses propres documents de gouvernance pour confirmer les responsabilités de chacun et le motif de l’attribution du programme.
3. Au-delà du certificat, examinez les éléments attestant les apprentissages
La question essentielle est de savoir ce que les justificatifs permettent de comprendre de la formation, au-delà de la présentation du PDF. Demandez la liste des modules attribués, les objectifs pédagogiques, la version du cours, les dates de fin des modules, les tentatives d’évaluation et les résultats. Si le programme comprend des décisions écrites ou des scénarios, vérifiez comment les réponses sont conservées et si quelqu’un en a examiné la qualité. Le dossier doit indiquer clairement si cet examen a eu lieu.
Un événement marquant la fin d’une page peut consigner une attestation de lecture du contenu. Une question de vérification sur une décision peut montrer si un participant a choisi une réponse étayée pour une situation définie. Une évaluation fondée sur un scénario peut donner un aperçu de sa capacité à appliquer des concepts à plusieurs décisions. Un atelier animé peut révéler des désaccords et des hypothèses. Ces éléments fournissent des indications différentes. Aucun ne doit être présenté, sans précision, comme une évaluation complète et indépendante de la compétence professionnelle.
Prenez un scénario de reprise : le service principal et l’environnement de reprise partagent le même fournisseur d’identité cloud. Un apprenant qui se contente de rappeler un numéro d’article n’a pas démontré sa capacité à remettre en question l’estimation de reprise. Un exercice plus utile demande quelles dépendances partagées, étapes de rapprochement et preuves doivent être prises en compte avant d’accepter l’affirmation de la direction. Conserver le raisonnement de l’apprenant permet de discuter de son jugement. Si le raisonnement est conservé mais non noté, le certificat et le dossier de preuves devraient le préciser.
4. Conservez les versions, tentatives et historiques de remise à niveau
Les justificatifs de formation doivent rester disponibles malgré les modifications habituelles du cours et du compte de l’apprenant. Une nouvelle édition du programme ne doit pas remplacer une évaluation antérieure ni transformer l’achèvement d’une formation introductive en qualification plus substantielle. Conservez la version du cours, les critères et les informations d’identité pertinentes tels qu’ils étaient lors de la délivrance du certificat. Si l’apprenant change ensuite de rôle, le certificat original doit rester un document historique compréhensible.
Conservez les tentatives infructueuses comme preuves d’apprentissage plutôt que de ne montrer que le meilleur score hors contexte. Une réussite ultérieure démontre que le participant a ensuite satisfait aux critères du programme. Cela ne rend pas la difficulté initiale sans importance pour le soutien à l’apprentissage. Les administrateurs de l’entreprise peuvent souhaiter discuter des thèmes ratés à plusieurs reprises ou organiser un exercice supplémentaire. Le rapport doit refléter le résultat fidèlement, sans utiliser un premier échec comme un jugement sur les compétences professionnelles générales de la personne.
Les formations de remise à niveau doivent avoir leur propre version et leur propre historique de réalisation. Une date de révision recommandée est un outil de planification, pas une date d’expiration légale automatique du certificat. Des changements importants peuvent justifier une formation plus précoce. Distinguez les comptes rendus d’atelier des formations validées par une évaluation et conservez la trace des corrections. Consultez notre guide sur la fréquence requise pour la formation DORA pour comprendre le lien entre un calendrier régulier, les besoins liés aux fonctions et les mises à jour déclenchées par un changement.
5. Montrez à l’entreprise les formations qui restent à terminer
Un acheteur pour le compte d’une entreprise doit connaître davantage que le nombre de certificats téléchargés. Le rapport doit préciser à qui chaque version a été attribuée, ce qu’il reste à terminer, la date limite et le résultat. Indiquez les modules non terminés pour distinguer un apprenant qui n’a pas encore abordé la continuité ou la supervision des fournisseurs de celui qui a terminé ces modules mais doit encore passer l’évaluation. L’historique doit permettre de comprendre les attributions annulées et les adhésions inactives.
Reliez l’identifiant du certificat à une tentative réussie enregistrée plutôt que de laisser un navigateur générer une affirmation de réussite à partir de l’état local de la page. La preuve doit être circonscrite à l’organisation : l’administrateur d’une société ne doit pas pouvoir récupérer les certificats ou réponses écrites d’une autre société. Les apprenants doivent pouvoir obtenir leurs propres relevés sans accéder aux preuves d’apprentissage privées de leurs collègues.
Pour une formation de remise à niveau attribuée, distinguez la formation terminée avant l’attribution de la nouvelle tentative attendue après celle-ci. Sinon, une réussite antérieure peut donner l’impression qu’une nouvelle obligation de formation est immédiatement remplie. Conservez toutefois le dossier antérieur plutôt que de le supprimer. Un rapport utile pour l’entreprise facilite les décisions concernant l’accompagnement, le suivi et les travaux en retard. Il ne doit pas transformer un pourcentage global de formations terminées en une affirmation de conformité de l’organisation à DORA.
6. Consignez honnêtement le contexte de l’entreprise et les ateliers
Un programme de formation pour les dirigeants devient plus pertinent lorsque l’apprenant le relie aux services financiers, aux dépendances et au profil de risque de l’entité. Une entreprise peut consigner le contexte général d’un service et l’utiliser dans des exercices de prise de décision. Évitez d’inclure des données personnelles de clients, des identifiants de connexion ou une description détaillée de faiblesses exploitables dans une note d’apprentissage. L’objectif est d’examiner les décisions et les hypothèses, et non de créer un autre dépôt non contrôlé d’informations opérationnelles sensibles.
Pour un atelier facultatif, consignez la date, la durée, l’animateur, les participants, les objectifs, le contexte du service et les décisions importantes. Notez les questions non résolues, les responsables du suivi et les éléments de preuve attendus ultérieurement. Si le compte rendu est saisi par un administrateur de l’entreprise, présentez-le comme une attestation de cette personne. Cette saisie ne doit pas déclencher automatiquement la délivrance du certificat de l’académie correspondant au cours avec évaluation, ni laisser entendre que l’académie a observé la séance de manière indépendante.
Les corrections doivent laisser un historique clair. Si la présence a été saisie pour la mauvaise personne, conservez une trace justifiée de la correction ou de l’annulation, puis créez l’enregistrement exact selon le processus habituel. N’effacez pas discrètement l’écart. Une personne chargée de l’examen doit pouvoir comprendre ce qui s’est passé sans supposer que chaque modification constitue un manquement. De même, un atelier terminé peut révéler une lacune dans les contrôles plutôt que la combler ; gardez les mesures correctives opérationnelles distinctes des preuves montrant que les participants en ont discuté.
7. Questions à poser à un organisme de formation DORA
Avant d’acheter, demandez au prestataire de vous présenter une véritable leçon, une évaluation fondée sur un scénario et un exemple d’export des éléments de preuve. Vérifiez si la formation aborde les décisions de l’organe de direction concernant les risques, la continuité, la reprise, les ressources, l’audit et les accords avec des tiers. Une sensibilisation générale des salariés peut apporter des connaissances utiles, mais elle ne poursuit pas le même objectif pédagogique que la gouvernance des risques liés aux TIC. Déterminez à quel public le produit s’adresse et quels domaines nécessitent un travail complémentaire propre à l’entreprise.
Demandez au prestataire comment il présente la durée et la fréquence. Trois heures peuvent correspondre à une estimation du temps d’étude incluant les exercices ; cette durée ne doit pas être présentée comme un minimum légal. Une remise à niveau annuelle peut être une recommandation pratique ; elle ne doit pas être vendue comme une fréquence légale universelle. Demandez comment les changements importants entraînent une mise à jour du contenu et comment la plateforme conserve les versions antérieures. Si un prestataire revendique une accréditation, demandez le dispositif exact et vérifiez vous-même ce qu’il couvre plutôt que de vous fier à un badge générique.
Enfin, testez le circuit opérationnel des justificatifs. Vos administrateurs peuvent-ils attribuer les formations aux bonnes personnes, voir les modules non terminés, exporter les résultats et identifier la version du certificat ? Les apprenants peuvent-ils récupérer leur propre dossier ? La participation à un atelier est-elle distinguée de l’évaluation ? Le prestataire explique-t-il les limites de la notation automatisée ? Ces questions permettent d’évaluer ce que le certificat signifie en pratique et si le produit soutient votre gouvernance, plutôt que d’ajouter simplement un document de plus dans un dossier.
8. Ce que BlueTeam Academy enregistre
Formation à la cybersécurité pour les conseils d’administration et les dirigeants dans le cadre de DORA comprend huit modules, chacun avec un exercice écrit de prise de décision et une question de vérification, puis une évaluation de 16 questions fondées sur des scénarios. Pour terminer le programme, il faut réussir les vérifications des modules, remettre les exercices écrits et obtenir au moins 80 % à l’évaluation finale. Ces critères sont ceux de l’académie. Le temps d’étude guidée est estimé à environ trois heures, exercices et évaluation compris ; chacun avance à son rythme.
L’attestation de fin de formation conserve les informations connues lors de sa délivrance : apprenant, organisation, fonction déclarée, version du cours, objectifs, dates de fin des modules et résultat de l’évaluation. Les réponses écrites sont conservées comme justificatifs, sans évaluation automatique de leur qualité professionnelle. Le serveur crée l’attestation après une tentative réussie. Le document imprimable peut être enregistré en PDF depuis le navigateur ; l’export des justificatifs fournit le dossier structuré correspondant aux utilisateurs autorisés.
Le rapport de l’entreprise comprend aussi les modules attribués, les éléments non terminés, les identifiants des attestations, l’historique des remises à niveau et les comptes rendus d’atelier. La formation de remise à niveau aide à maintenir les connaissances ; les discussions propres à l’entreprise les relient à ses services réels. La portée du dossier reste précise : il documente la formation et les critères de réussite de l’académie. Il ne constitue ni une accréditation de l’UE, ni une autorisation d’exercer, ni une conclusion sur la conformité de l’entité financière à DORA.
Questions posées par les cadres
Existe-t-il un certificat de formation DORA approuvé par l’UE, exigé par les articles 5(4) ou 13(6) ?
Ces dispositions ne désignent ni dispositif d’accréditation obligatoire ni certificat imposé. Un prestataire peut délivrer une attestation de fin de formation selon ses propres critères, à condition de les communiquer. L’acheteur doit examiner le programme, l’évaluation, la pertinence pour les fonctions concernées et les justificatifs. La présentation ou le vocabulaire du document ne suffisent pas à établir une approbation de l’UE.
Un certificat expire-t-il au bout de douze mois ?
Un programme peut recommander une remise à niveau ou un intervalle de révision, mais cela ne revient pas à affirmer que DORA impose à tous les certificats de formation une expiration légale universelle au bout de douze mois. Tenez compte du cadre applicable, des attentes des autorités de supervision, du rôle, du risque et des changements importants. Conservez la date d’achèvement et la version d’origine, et consignez les apprentissages ultérieurs comme une activité distincte.
La participation à un atelier peut-elle remplacer l’évaluation par scénario ?
Dans le programme Academy, la participation à un atelier est distincte de l’achèvement du cours validé par une évaluation et ne donne pas automatiquement lieu à la délivrance d’un certificat de cours. Une entreprise peut utiliser les ateliers pour approfondir l’apprentissage et examiner le raisonnement, mais le relevé doit préciser ce qui a été observé, par qui et selon quels critères. Ne présentez pas une simple participation comme un résultat évalué de manière indépendante.
Sources et approfondissements
Législation primaire et documents de supervision. Les exemples pratiques et modèles de ce guide sont des suggestions, non des formulaires réglementaires prescrits.
- DORA : dispositions relatives à la gouvernance et à la formation
- EIOPA : règlement sur la résilience opérationnelle numérique
- EIOPA Q&R 250–3380 : proportionnalité de la formation
Ce guide est à visée pédagogique. Vérifiez le périmètre de votre entité, le cadre applicable et les attentes du superviseur auprès de votre équipe juridique et conformité.
