La réponse courte
L’article 5(4) de DORA exige que les membres de l’organe de direction maintiennent à jour leurs connaissances et compétences en matière de risques liés aux TIC grâce à des formations spécifiques et régulières, proportionnées au risque à gérer. Il ne fixe pas une périodicité annuelle universelle. Choisissez un cycle de formation documenté, tenez compte des attentes des autorités de surveillance compétentes et réagissez aux changements importants avant la prochaine session de remise à niveau prévue.
1. Ce qu’exigent réellement les dispositions relatives à la formation
DORA s’applique depuis le 17 janvier 2025. Commencez par déterminer le champ d’application pour l’entité financière et le cadre applicable. Dans le cadre général, l’article 5(4) concerne la capacité de l’organe de direction à comprendre et à évaluer les risques liés aux TIC et leur incidence sur les opérations. L’objectif est de disposer de connaissances à jour et d’un jugement éclairé, plutôt que de suivre la même présentation tous les douze mois. Le libellé de cette disposition ne précise pas d’intervalle calendaire universel.
L’article 13(6) porte sur la sensibilisation obligatoire à la sécurité des TIC et la formation obligatoire à la résilience opérationnelle numérique des employés et de la haute direction. La complexité de cette formation doit correspondre aux attributions de leurs fonctions ; les prestataires de services TIC concernés y sont inclus le cas échéant. Les entités éligibles qui utilisent le cadre simplifié de l’article 16 sont soumises à des dispositions différentes, notamment la formation du personnel et de la direction en fonction des besoins prévue à l’article 16(1)(h). Ne considérez pas la disposition relative à l’organe de direction comme la base juridique applicable à chaque apprenant ou entité.
Ces distinctions comptent pour le calendrier de formation. Après une même panne, un administrateur, un coordinateur d’incident et un collaborateur du service client peuvent tous avoir besoin d’apprendre, mais les décisions attendues et le niveau de détail diffèrent. Une présentation commune peut répondre à plusieurs besoins ; cela n’impose pas d’acheter des formations séparées. Consultez le guide des exigences de formation pour le conseil avant de transformer une obligation légale en spécification d’achat.
2. Une remise à niveau annuelle relève d’un choix de programme
Une remise à niveau annuelle peut fournir un repère prévisible pour la planification, le suivi de l’intégration et le budget. Elle peut aussi offrir au conseil l’occasion de revoir ses priorités de formation. Toutefois, présenter cette périodicité comme la seule autorisée par DORA revient à confondre la conception de l’offre d’un prestataire avec le libellé du règlement. Expliquez le choix, sa justification et les événements susceptibles d’avancer la formation.
D’autres attentes des autorités de surveillance peuvent éclairer la décision. Par exemple, les bonnes pratiques publiées par la BCE sur l’expertise des conseils d’administration des banques en matière de TIC et de sécurité évoquent une formation annuelle. C’est un repère pertinent pour les banques concernées, pas la preuve qu’une règle identique s’applique à toutes les entités financières. L’équipe conformité doit identifier les documents de supervision et les exigences nationales applicables, en complément du cadre DORA.
Chez BlueTeam Academy, la remise à niveau annuelle est une recommandation de planification. Les administrateurs peuvent définir un autre intervalle de révision en fonction des rôles et du profil de risque de l’entreprise. Ce paramètre fixe le calendrier de révision attendu en interne ; il n’établit pas qu’une période donnée satisfait à toutes les obligations. Un conseil doit pouvoir expliquer pourquoi le cycle choisi est pertinent, quelles informations il a prises en compte et qui réexaminera la décision si l’exposition change. Sans ce raisonnement, un calendrier ne remplace que très imparfaitement un plan de formation.
3. Définissez les événements qui déclenchent une formation plus tôt que prévu
Un programme régulier doit prévoir un dispositif pour prendre en compte les changements survenant entre les sessions planifiées. Il peut s’agir du lancement d’un service important, d’une modification d’une dépendance au cloud ou à une plateforme d’identité, de l’acquisition d’une autre entreprise, d’un incident significatif, d’un constat d’audit récurrent ou de la prise de nouvelles fonctions par un administrateur. La question est de savoir si l’événement modifie les connaissances ou les décisions attendues des personnes concernées. Tout changement technique ne nécessite pas une formation du conseil, mais les changements significatifs doivent faire l’objet d’une évaluation argumentée.
Prenez l’exemple d’une entité de paiement qui déplace son environnement de reprise vers la même plateforme cloud que son service principal. Le conseil d’administration a terminé un module sur la continuité deux mois auparavant. Attendre encore dix mois pour discuter de cette nouvelle concentration peut laisser les administrateurs se fier à une hypothèse de reprise qui n’est plus valable. Une présentation ciblée et un exercice de décision peuvent combler cette lacune sans reprendre l’ensemble du programme.
Consignez simplement les événements qui nécessitent une formation : changement, service touché, fonctions concernées, besoin de formation, activité proposée, responsable et preuve de réalisation. Reliez ce suivi au processus habituel de gestion des risques ou des changements, plutôt que de compter sur le souvenir du calendrier de formation. Après un incident, tirez les enseignements des décisions et de l’escalade, pas seulement de la cause technique. Une nouvelle procédure n’est utile que si les personnes qui doivent l’appliquer comprennent ce qu’elles doivent faire différemment.
4. Planifiez selon les rôles et les services financiers
Un plan utile commence par les personnes et les services dont l’entité est responsable. Identifiez les membres de l’organe de direction et leurs responsabilités de supervision. Cartographiez les responsabilités de la haute direction et les rôles opérationnels qui nécessitent une sensibilisation spécifique ou des compétences en résilience. Reliez ensuite ces responsabilités aux services, aux données importantes, aux dépendances TIC et aux perturbations prévisibles. Vous obtiendrez ainsi un plan plus défendable qu’en attribuant un contenu identique à chaque compte de l’annuaire.
Pour le conseil d’administration, le résultat attendu peut être la capacité à examiner de manière critique l’appétence au risque, les investissements, les preuves de capacité de reprise et l’exposition importante liée aux fournisseurs. Pour un coordinateur d’incident, il peut s’agir d’une classification, d’une remontée et d’une coordination fiables selon les procédures approuvées de l’entité. Pour un collègue qui traite les instructions des clients, il peut s’agir de reconnaître et de signaler rapidement un problème d’intégrité suspecté. Ces résultats sont liés, mais un test portant uniquement sur l’hygiène des mots de passe ne démontre pas la capacité du conseil à exercer son jugement sur la reprise ou les ressources.
Adaptez le niveau de détail aux besoins. Un dirigeant responsable d’un service aux dépendances partagées complexes peut avoir besoin de scénarios plus approfondis qu’une simple introduction. Précisez où s’arrête le socle commun et où commence la présentation ou l’atelier propre à l’entité. Si le cadre juridique reste à confirmer, consignez ce point comme une action ouverte avec un responsable. Un réglage par défaut de la plateforme ne détermine pas le périmètre juridique applicable.
5. Un cycle pratique de l’intégration à la remise à niveau
Un cycle de formation peut commencer par l’accueil des nouveaux membres, puis associer un socle commun pour les dirigeants, une discussion sur les services réels de l’entité et un examen planifié des changements. Le socle commun apporte les notions et les méthodes de décision. La discussion en entreprise vérifie leur application au dispositif de reprise, à la chaîne de fournisseurs et à la gouvernance. Les examens périodiques identifient ce qui a changé et les hypothèses qui demandent de nouvelles preuves.
À titre d’exemple, un administrateur récemment nommé pourrait suivre un programme destiné au conseil, assister à une présentation d’un service et consigner les questions auxquelles il souhaite que la direction réponde. Le secrétaire du conseil ou le responsable de la formation pourrait vérifier l’avancement par rapport aux échéances convenues. Lors du prochain examen planifié, l’administrateur pourrait examiner les changements de responsabilités et les questions de risque non résolues, puis suivre une remise à niveau ou un exercice ciblé. Le calendrier précis doit répondre aux besoins de l’entité et aux attentes applicables, sans que cette séquence illustrative soit considérée comme un calendrier obligatoire.
Reliez les activités entre elles. Un atelier qui identifie une dépendance non testée pour la reprise doit déboucher sur une action et une demande ultérieure de preuves. La prochaine session de mise à jour doit vérifier si cette action a modifié les capacités du service. L’apprentissage devient ainsi un processus de supervision continu. Cela aide aussi un acheteur en entreprise à évaluer une formation selon les décisions qu’elle permet de prendre, et pas seulement selon le nombre de vidéos, la présentation du certificat ou l’emploi du mot « conformité » par le prestataire.
6. Consignez les apprentissages et les lacunes restantes
Pour chaque apprenant, conservez l’identité, l’organisation, la fonction professionnelle, les modules attribués, la version du cours et les dates d’achèvement. Enregistrez les résultats des évaluations et l’identifiant de tout certificat de fin de formation. Gardez l’historique des remises à niveau et les comptes rendus d’ateliers de l’entreprise distincts du cours principal. Un changement de titre du cours ne doit pas modifier silencieusement la signification d’un enregistrement d’achèvement antérieur.
Le rapport d’entreprise doit montrer les lacunes autant que les réussites : personnes n’ayant pas commencé, modules inachevés, évaluations échouées ou en attente, tâches en retard et mesures de suivi. Un pourcentage d’achèvement peut dissimuler que les directeurs responsables d’un service critique n’ont pas terminé l’apprentissage pertinent. Exploitez le rapport pour décider qui doit être accompagné ou orienté vers une autre activité ; évitez d’en faire un score de conformité réglementaire.
Les preuves ont leurs limites. Le temps passé sur une page ne prouve pas la compréhension. Un test à choix de réponses évalue certaines décisions, sans établir une compétence pour tous les incidents réels. Les raisonnements écrits et les discussions animées peuvent révéler des hypothèses, mais le dossier doit indiquer si les réponses ont réellement été examinées. Si un administrateur enregistre la présence à un atelier, précisez qu’il s’agit de son attestation. Consultez notre guide sur les attestations de formation DORA pour distinguer les justificatifs de fin de formation des promesses de certification sans fondement.
7. Exemple : un conseil d’administration réagit à l’évolution d’une dépendance à un service cloud
Un assureur fictif prévoit une session régulière de remise à niveau pour ses dirigeants en novembre. En mars, un changement de prestataire rend deux services destinés aux clients dépendants de la même plateforme d’identité. En avril, un exercice de reprise restaure les données avec succès, mais ne teste pas la perte de cette plateforme. Le responsable de la formation constate que les administrateurs risquent d’interpréter les deux contrats de service comme la preuve d’une reprise indépendante. La lacune à combler est une hypothèse erronée sur les dépendances communes.
L’entité organise une courte présentation du service et un exercice pour le conseil avant d’approuver le renouvellement. Les participants cartographient la dépendance commune, examinent l’estimation de reprise et identifient les preuves nécessaires. Le compte rendu conserve la date, les rôles, le scénario, les décisions et les actions encore ouvertes. L’équipe technique est responsable d’un test de reprise représentatif ; le responsable métier décide du risque résiduel. La formation ne remplace aucune de ces responsabilités.
En novembre, la remise à niveau revient sur le résultat de ce test et sur les questions précédentes du conseil. Si l’exposition n’a toujours pas été résolue, le rapport le précise. Suivre la remise à niveau ne transforme pas un contrôle défaillant en contrôle efficace. Cet exemple montre pourquoi un calendrier régulier et un apprentissage déclenché par les événements doivent aller de pair : le calendrier assure la continuité, tandis que les changements déclencheurs permettent de garder les connaissances pertinentes pour les décisions qui ne peuvent pas attendre.
8. Intégrez le plan dans l’espace de travail de l’entreprise
Utilisez le cours Formation à la cybersécurité pour les conseils d’administration et les dirigeants dans le cadre de DORA comme socle commun pour les dirigeants, puis ajoutez le contexte de votre entreprise. Le programme principal de l’Academy comprend huit modules, des exercices de décision écrits et une évaluation par scénarios. Environ trois heures est une estimation du temps d’étude guidée, exercices compris ; ce n’est ni un minimum légal ni une garantie de durée suffisante pour chaque fonction.
Le cours distinct de remise à niveau pour les dirigeants permet de revoir les responsabilités modifiées, les hypothèses de reprise et les enseignements tirés des fournisseurs ou des audits. Les administrateurs peuvent l’attribuer aux personnes concernées et suivre sa réalisation séparément du programme initial. Après un atelier, ils peuvent consigner l’animateur, les participants, les objectifs et les décisions. Conservez aussi les actions opérationnelles non résolues dans votre processus de gouvernance habituel, tout en documentant l’apprentissage qu’elles ont suscité.
Avant d’adopter le plan, faites valider son périmètre par les responsables de la formation, des risques et de la conformité. Décidez qui tient le calendrier à jour, qui reçoit les rapports sur les retards, ce qui déclenche une mise à jour ciblée et comment la prochaine revue évaluera les progrès dans la compréhension. Cette attribution des responsabilités a plus de valeur que le simple choix d’une date récurrente.
Questions posées par les cadres
« Régulier » signifie-t-il une fois par an ?
Les dispositions de DORA sur la formation ne fixent pas de périodicité annuelle universelle. Une remise à niveau annuelle constitue un choix utile pour de nombreuses organisations ; les attentes applicables des autorités de surveillance peuvent aussi guider ce choix. Justifiez votre calendrier, tenez compte des rôles et du risque TIC et précisez quels changements importants déclenchent une formation plus tôt. La date de renouvellement standard d’un prestataire n’est pas le libellé du règlement.
Faut-il reprendre tout le cours après chaque changement ?
Ces dispositions n’imposent pas de refaire un cours identique après chaque changement. Évaluez si le changement touche les connaissances, les compétences ou les décisions attendues dans le rôle. Une présentation ciblée, un exercice par scénario ou un module actualisé peuvent répondre plus directement au besoin. Conservez le justificatif du cours initial et enregistrez la nouvelle activité séparément, avec son objectif et les suites prévues.
Une formation de remise à niveau terminée démontre-t-elle que l’entreprise est conforme à DORA ?
Non. Il s’agit de la preuve d’une activité d’apprentissage et, si applicable, du résultat enregistré à l’évaluation. La conformité organisationnelle implique la gouvernance applicable, les contrôles et les obligations plus larges. Un historique d’apprentissage défendable précise ce qui a été enseigné et évalué, la version utilisée et ce qui demeure non résolu. Il doit permettre une supervision éclairée et ne doit pas être promu comme substitut à celle-ci.
Sources et approfondissements
Législation primaire et documents de supervision. Les exemples pratiques et modèles de ce guide sont des suggestions, non des formulaires réglementaires prescrits.
- DORA : articles 5, 13 et 16
- EIOPA Q&R 250–3380 : formation et proportionnalité
- BCE : attentes concernant les compétences des conseils d’administration des banques en matière de TIC et de sécurité
Ce guide est à visée pédagogique. Vérifiez le périmètre de votre entité, le cadre applicable et les attentes du superviseur auprès de votre équipe juridique et conformité.
