La réponse courte
Un certificat d’achèvement peut montrer qu’une personne nommée a satisfait aux critères du prestataire pour une version donnée d’un cours. Cela ne suffit pas à démontrer la conformité DORA de l’entité ni à suggérer une qualification approuvée au niveau UE. Évaluez le programme, l’évaluation et l’enregistrement de l’apprentissage sous-jacents ainsi que le titre du document.
1. Distinguez finalisation et conformité organisationnelle
Un directeur peut valider un module de formation pertinent, alors que l’entité présente toujours une dépendance de reprise non testée, une observation d’audit en retard ou une gestion de sortie fournisseur inadéquate. La formation aide le dirigeant à reconnaître et à remettre en cause ces problèmes. Elle ne les fait pas disparaître. Le certificat doit décrire la réussite éducative sans en déduire un jugement sur tous les contrôles de l’entité.
Les dispositions de formation de DORA portent sur les connaissances, les compétences, l’apprentissage approprié et les responsabilités des rôles concernés. Les articles 5(4) et 13(6) n’imposent pas de schéma d’accréditation nominatif ni d’examen ou seuil unique à atteindre. Un prestataire peut choisir une évaluation et délivrer une attestation de suivi, mais il doit présenter ces critères comme relevant de la conception du programme. Ne déduisez aucune validation réglementaire d’un drapeau de l’UE, d’un sceau officiel ou du terme certifié sur une page commerciale.
Pour une entité financière utilisant le cadre général, la formation au conseil doit soutenir la capacité à comprendre et évaluer le risque TIC et ses conséquences opérationnelles. Les entités éligibles au cadre simplifié de l’Article 16 ont des dispositions différentes, dont leur propre obligation de formation pour le personnel et la direction. Un certificat ne doit pas prétendre que l’Article 5(4) est applicable à chaque client. Définissez séparément le périmètre et le cadre, avec les responsables de l’évaluation juridique et conformité de l’entité.
2. Identifiez précisément qui a réalisé quoi
Un document de complétion utile identifie le participant, l’organisation, le titre du module, la version, la date de complétion, l’émetteur et un identifiant de certificat unique. La fonction professionnelle donne le contexte sur le motif de l’apprentissage assigné. Si une évaluation compte dans les critères, le relevé doit en indiquer le résultat et le seuil de réussite du prestataire. Évitez un document se contentant d’attester une simple présence à une formation DORA sans préciser ce qu’elle recouvre.
Gardez le certificat compréhensible même après modification du catalogue. Un futur réviseur devra pouvoir distinguer si un apprenant a suivi un court échantillon introductif ou un programme de leadership de huit modules. Les deux produisent un relevé, mais ils ne sont pas interchangeables. Un titre seul est une référence historique fragile car les noms marketing peuvent changer. La version devrait identifier un référentiel stable de programme et de modalités d’évaluation pouvant être expliqués par le prestataire.
Distinguer identité et autorité. Avoir suivi une formation pour le conseil ne prouve pas que la personne occupe une fonction dirigeante, a le pouvoir d’approuver un risque ou détient un statut professionnel vérifié à l’externe. Sur BlueTeam Academy, le rôle professionnel est renseigné par l’apprenant et figé dans l’attestation ; il ne constitue pas une vérification indépendante. L’entreprise doit utiliser ses propres registres de gouvernance pour savoir qui exerce quelles fonctions et pourquoi tel programme lui a été attribué.
3. Regardez derrière le certificat les preuves d’apprentissage
La bonne question n’est pas de savoir si le prestataire produit un PDF attrayant, mais si la preuve explique l’apprentissage. Demandez les modules attribués, objectifs d’apprentissage, version, dates de fin de modules, tentatives d’évaluation et résultat. Si des décisions écrites ou scénarios font partie du programme, comprenez comment ils sont conservés et si leur qualité a été examinée. L’enregistrement doit rendre cette distinction explicite.
Un événement d’achèvement de page peut attester de la lecture du contenu. Un contrôle de décision peut montrer si un participant a choisi une réponse compatible avec une situation définie. Une évaluation de scénario peut échantillonner l’aptitude à appliquer les concepts sur plusieurs décisions. Un atelier facilité peut révéler des désaccords et hypothèses. Ce sont des signaux différents. Aucun ne doit être décrit tacitement comme une évaluation complète et indépendante de la compétence professionnelle.
Considérez le scénario suivant : le service principal et l'environnement de reprise partagent le même fournisseur d'identité cloud. Un apprenant qui se contente de réciter un numéro d'article ne prouve pas sa capacité à remettre en question l’hypothèse de reprise. Un exercice plus utile consiste à demander quelles dépendances partagées, étapes de rapprochement et preuves doivent être considérées avant d'accepter la position de la direction. Conserver le raisonnement de l’apprenant permet d’en discuter. Si ce raisonnement est archivé mais non noté, le certificat et l’attestation devraient le mentionner.
4. Conservez les versions, tentatives et historiques de remise à niveau
Les traces d’apprentissage doivent résister aux changements normaux du cours et du compte de l’apprenant. Une nouvelle édition ne doit pas écraser une ancienne évaluation ou transformer une entrée de niveau en validation avancée. Préservez la version du cours, les critères et l’identité correspondante tels qu’ils étaient lors de la délivrance du certificat. En cas de changement de poste ultérieur, le certificat original doit rester compréhensible a posteriori.
Conservez les tentatives infructueuses comme preuves d’apprentissage plutôt que de ne montrer que le meilleur score hors contexte. Une réussite ultérieure démontre que le participant a ensuite satisfait aux critères du programme. Cela ne rend pas la difficulté initiale sans importance pour le soutien à l’apprentissage. Les administrateurs de l’entreprise peuvent souhaiter discuter des thèmes ratés à plusieurs reprises ou organiser un exercice supplémentaire. Le rapport doit refléter le résultat fidèlement, sans utiliser un premier échec comme un jugement sur les compétences professionnelles générales de la personne.
Les sessions de révision doivent avoir leur propre version et historique d’achèvement. Une date de révision suggérée sert d’outil de planification, mais ne constitue pas une date d’expiration légale automatique pour un certificat. D’importants changements peuvent nécessiter un apprentissage plus tôt. Les comptes-rendus d’atelier doivent rester distincts des formations évaluées, et les corrections doivent conserver une traçabilité. Voir fréquence requise pour la formation DORA pour le lien entre le cycle régulier, les besoins des rôles et les mises à jour liées aux changements.
5. Remettez à l’acheteur corporate un rapport sur les écarts identifiés
Un acheteur doit savoir plus que le nombre de certificats téléchargés. Le rapport doit préciser qui a reçu quelle version, ce qu’il reste à terminer, la date limite et le résultat. Mentionnez les modules manquants pour distinguer un apprenant qui n’a pas encore vu la continuité ou la supervision des fournisseurs de celui qui a terminé ces modules mais doit encore passer l’évaluation. Gardez les affectations annulées et les adhésions inactives compréhensibles dans l’historique.
Reliez l’identifiant du certificat à une tentative réussie enregistrée plutôt que de laisser un navigateur générer une affirmation de réussite à partir de l’état local de la page. La preuve doit être circonscrite à l’organisation : l’administrateur d’une société ne doit pas pouvoir récupérer les certificats ou réponses écrites d’une autre société. Les apprenants doivent pouvoir obtenir leurs propres relevés sans accéder aux preuves d’apprentissage privées de leurs collègues.
Pour une remise à niveau assignée, distinguez bien la réalisation avant et après assignation. Sinon, un ancien succès pourrait faire croire à une obligation de formation nouvelle déjà remplie. Conservez également l’enregistrement antérieur sans le supprimer. Un rapport utile pour l’entreprise soutient les décisions sur le support, le suivi et les tâches en retard. Il ne doit pas transformer un pourcentage de réussite global en une affirmation que l’organisation est conforme à DORA.
6. Consignez honnêtement le contexte de l’entreprise et les ateliers
Un programme de leadership est plus pertinent lorsque l’apprenant le relie aux services financiers, dépendances et au profil de risque de l’entité. Une entreprise peut consigner un contexte de service général et l’utiliser pour des exercices décisionnels. N’introduisez pas de données client personnelles, d’identifiants ou de failles exploitables détaillées dans une note d’apprentissage. L’objectif est d’examiner décisions et postulats, non de créer un répertoire non contrôlé de données opérationnelles sensibles.
Dans le cadre d’un atelier optionnel, enregistrez la date, la durée, l’animateur, les participants, les objectifs, le contexte du service et les décisions importantes. Notez les questions non résolues, les responsables du suivi et les éléments de preuve attendus ultérieurement. Si l’enregistrement est saisi par un administrateur de l’entreprise, indiquez qu’il s’agit de l’attestation de cette personne. Cela ne doit pas automatiquement délivrer l’attestation de suivi du cours évalué par l’Academy ni impliquer que l’Academy a observé la session de manière indépendante.
Les corrections nécessitent un historique clair. Si la présence a été saisie pour la mauvaise personne, conservez une correction justifiée ou rendez l’enregistrement nul, puis créez l’enregistrement exact via le processus habituel. Ne supprimez pas silencieusement l'écart. Un examinateur doit pouvoir comprendre ce qui s’est passé sans supposer que chaque modification est un manquement. De même, la réalisation d’un atelier peut révéler une faille de contrôle plutôt que d’en combler une ; séparez bien la remédiation opérationnelle de la preuve que le sujet a été abordé.
7. Questions à poser à un organisme de formation DORA
Demandez au fournisseur de démontrer un cas réel, une évaluation de scénario et un export d’évidence avant achat. Vérifiez si la formation aborde les décisions de l’organe de gestion concernant le risque, la continuité, la reprise, les ressources, l’audit et la gestion des tiers. Une sensibilisation générique des employés peut contribuer à la connaissance, mais ce n’est pas le même objectif pédagogique que la gouvernance du risque SI. Comprenez à quel public le produit s’adresse et dans quels domaines un travail supplémentaire spécifique à l’entreprise est nécessaire.
Interrogez le prestataire sur la définition de la durée et de la fréquence. Trois heures peuvent correspondre à une estimation de formation comprenant les exercices ; cela ne doit pas être présenté comme un minimum légal. Un rappel annuel peut être une recommandation pratique ; il n’a pas vocation à tenir lieu d’intervalle légal universel. Demandez comment les changements matériels se traduisent par une mise à jour des contenus et comment la plateforme conserve les anciennes versions. Si un prestataire revendique une accréditation, sollicitez le nom exact du dispositif et vérifiez indépendamment sa portée plutôt que de vous fier à un badge générique.
Enfin, testez le flux de preuves opérationnelles. Vos administrateurs peuvent-ils affecter les bonnes personnes, identifier les modules non terminés, exporter les résultats et repérer la version du certificat ? Les apprenants peuvent-ils récupérer leur propre dossier ? L’assiduité en atelier et l’évaluation sont-elles distinguées ? Le prestataire explique-t-il les limites de la correction automatisée ? Ces questions permettent d’évaluer la portée réelle du certificat et la capacité du produit à soutenir votre gouvernance, et non à simplement ajouter un document de plus dans un dossier.
8. Ce que BlueTeam Academy enregistre
DORA Formation pour Dirigeants & Conseil d’Administration comprend huit modules, un exercice écrit de décision et un contrôle de décision dans chaque module, ainsi qu’une évaluation de scénario à 16 questions. L’achèvement requiert les contrôles de module et les exercices écrits soumis, suivis d’au moins 80 % à l’évaluation. Ce sont les critères de l’Academy. Environ trois heures sont estimées pour l’étude guidée, exercices et évaluation inclus, avec des variations individuelles de rythme.
Le certificat d’achèvement conserve le nom de l’apprenant, l’organisation, la fonction professionnelle déclarée, la version, les objectifs, les dates des modules et le résultat de l’évaluation à l’émission. Les réponses écrites sont conservées comme preuve mais ne sont pas automatiquement évaluées pour la qualité professionnelle. Le serveur crée le certificat après une tentative réussie. Le document imprimable peut être enregistré au format PDF depuis le navigateur, tandis que l’export de la preuve fournit l’enregistrement structuré sous-jacent pour les utilisateurs autorisés.
Le rapport de l’entreprise inclut aussi les modules attribués, les lacunes, les identifiants de certificat, l’historique des recyclages et les traces d’ateliers. Le module de recyclage séparé renforce la connaissance actuelle ; les discussions personnalisées pour l’organisation relient à la réalité de ses propres services. C’est la limite de l’affirmation : l’enregistrement documente l’apprentissage et les critères de validation de l’Academy. Il ne constitue ni une accréditation européenne, ni une licence praticien, ni une décision sur la conformité DORA d’une entité financière.
Questions posées par les cadres
Existe-t-il un certificat de formation DORA approuvé par l’UE, exigé par les articles 5(4) ou 13(6) ?
Ces dispositions ne désignent ni un système d’accréditation obligatoire, ni un certificat prescrit. Un prestataire peut délivrer une attestation de réussite selon ses propres critères communiqués. L’acheteur doit examiner référentiel, évaluation, pertinence pour le rôle et éléments probants, et ne doit pas inférer une approbation européenne à partir du format ou du vocabulaire utilisés.
Un certificat expire-t-il au bout de douze mois ?
Un programme peut recommander un rappel ou une révision à intervalles, mais cela ne signifie pas que DORA impose une date d’expiration légale universelle de douze mois pour chaque certificat de formation. Prenez en compte le référentiel applicable, les attentes du superviseur, le rôle, le risque et les évolutions majeures. Conservez la date et la version d’origine, et inscrivez les apprentissages ultérieurs comme une activité séparée.
La participation à un atelier peut-elle remplacer l’évaluation par scénario ?
Dans le programme Academy, la participation à l’atelier est dissociée de la validation du cours et n’entraîne pas automatiquement un certificat. L’entreprise peut utiliser les ateliers pour approfondir l'apprentissage et examiner la logique, mais le relevé doit préciser ce qui a été observé, par qui et selon quels critères. Ne rebaptisez pas la simple présence en validation indépendante.
Sources et approfondissements
Législation primaire et documents de supervision. Les exemples pratiques et modèles de ce guide sont des suggestions, non des formulaires réglementaires prescrits.
- DORA : dispositions relatives à la gouvernance et à la formation
- EIOPA : Digital Operational Resilience Act
- EIOPA Q&R 250–3380 : proportionnalité de la formation
Ce guide est à visée pédagogique. Vérifiez le périmètre de votre entité, le cadre applicable et les attentes du superviseur auprès de votre équipe juridique et conformité.
