La réponse courte
L'article 5(4) de DORA exige que les membres de l'organe de direction maintiennent à jour leurs connaissances et compétences en matière de risques TIC via des formations spécifiques et régulières, proportionnées au risque à gérer. Il ne fixe pas une fréquence annuelle universelle. Choisissez un cycle d’apprentissage documenté, tenez compte des attentes des superviseurs concernés et réagissez aux évolutions matérielles avant le prochain recyclage de routine.
1. Ce que les dispositions de formation exigent réellement
DORA s’applique depuis le 17 janvier 2025. Commencez par le périmètre de l'entité financière et le cadre applicable. Selon le régime général, l'article 5(4) concerne la capacité de l'organe de gestion à comprendre et évaluer le risque TIC et son impact opérationnel. L'objectif est d'avoir des connaissances à jour et un jugement éclairé, plutôt que de compléter la même présentation chaque année. Le texte ne précise pas d'intervalle calendaire universel.
L’article 13(6) traite de la formation obligatoire à la sensibilisation à la sécurité des TIC et à la résilience opérationnelle numérique pour les employés et la haute direction. La complexité doit correspondre aux attributions de leurs fonctions, avec inclusion des fournisseurs TIC concernés, le cas échéant. Les entités éligibles au cadre simplifié de l’article 16 ont des dispositions différentes, notamment une formation axée sur les besoins pour le personnel et la direction dans l’article 16(1)(h). Ne considérez pas la disposition relative au conseil d’administration comme base légale applicable à chaque apprenant ou entité.
Ces distinctions sont importantes lors de l’élaboration d’un calendrier d’apprentissage. Un administrateur, un coordinateur d’incident et un collaborateur du service client peuvent tous nécessiter une formation après la même panne, mais avec des décisions et niveaux de détail différents. Un briefing commun peut répondre à plusieurs besoins ; des achats commerciaux séparés ne sont pas imposés par ce fait. Lisez le guide des exigences de formation pour le conseil avant de transformer une obligation légale en spécification d’achat.
2. Une remise à niveau annuelle est un choix du programme
Un rappel annuel peut offrir un repère prévisible pour la planification, le suivi d’intégration et le budget. Il peut aussi servir de point d’examen par le conseil sur ses priorités d’apprentissage. Toutefois, présenter ce repère comme l’unique intervalle autorisé par DORA confond le design produit d'un prestataire avec la formulation du règlement. Expliquez ce choix, ses raisons et les événements pouvant exiger un apprentissage anticipé.
D’autres attentes de supervision peuvent éclairer la décision. Par exemple, les attentes de bonnes pratiques publiées par la BCE concernant l’expertise ICT et sécurité des conseils d’administration de banques évoquent une formation annuelle. C’est un contexte pertinent pour les banques concernées, et non un motif pour affirmer que la même règle s’applique identiquement à chaque entité financière. L’équipe conformité doit identifier les sources de supervision applicables et les exigences nationales en plus du cadre DORA.
À BlueTeam Academy, la révision annuelle est une recommandation de planification. Les administrateurs peuvent définir un autre intervalle de révision en fonction des rôles et du profil de risque de l’entreprise. Ce paramètre établit une attente interne ; il ne garantit pas qu’une période donnée couvre toutes les obligations. Un conseil doit pouvoir expliquer pourquoi son choix de cycle est pertinent, quelles informations ont été considérées et qui reprendra la décision en cas d’évolution de l’exposition. Un calendrier sans cette réflexion n’est pas un véritable plan d’apprentissage.
3. Définissez les événements qui déclenchent un apprentissage anticipé
Un programme régulier doit prévoir une voie pour les changements survenant entre les sessions prévues. Exemples : lancement d’un service majeur, modification d’une dépendance cloud ou identité, acquisition d’une autre entreprise, incident important, constat d’audit récurrent ou changement de fonction d’un dirigeant. La question est de savoir si l’événement modifie les connaissances ou les décisions attendues auprès des personnes concernées. Tout changement technique ne justifie pas une formation du conseil, mais les changements significatifs nécessitent une évaluation argumentée.
Considérez une entité de paiements qui déplace son environnement de reprise sur la même plateforme cloud que son service principal. Le conseil d'administration a validé un module continuité il y a deux mois. Attendre encore dix mois pour discuter de la nouvelle concentration risquerait que les administrateurs se fient à une hypothèse de reprise devenue caduque. Un point d'information ciblé et un exercice de décision peuvent combler ce manque sans reprendre l'ensemble du programme.
Create a simple trigger record: the change, affected service, roles concerned, learning need, proposed activity, owner and completion evidence. Connect it to the normal risk or change-governance process so that it is not dependent on somebody remembering the training calendar. After an incident, use the lessons about decisions and escalation as well as the technical cause. A new procedure matters only if the people expected to use it understand what they must do differently.
4. Planifiez selon les rôles et les services financiers
Un plan utile commence par les personnes et services dont l’entité est responsable. Identifiez les membres de l’organe de direction et leurs devoirs de supervision. Cartographiez les responsabilités de la haute direction et les rôles opérationnels nécessitant des compétences spécifiques en sensibilisation ou en résilience. Puis reliez ces responsabilités aux services, aux données importantes, aux dépendances TIC et aux perturbations prévisibles. Cela produit un plan plus défendable que d’attribuer un contenu identique à chaque compte de l’annuaire.
Pour le conseil d’administration, le résultat peut consister à contester l’appétence au risque, les investissements, les preuves de rétablissement et l’exposition aux grands fournisseurs. Pour un coordinateur de crise, il peut s’agir d’une classification, d’une escalade et d’une coordination fiables selon les procédures approuvées. Pour un collègue traitant les consignes clients, il peut s’agir de détecter et signaler rapidement un problème d’intégrité suspecté. Ces résultats sont liés, mais un test sur l’hygiène des mots de passe isolé ne démontre pas la capacité à juger de la reprise ou des ressources à l’échelon du conseil.
Utilisez une profondeur proportionnée. Un responsable de service ayant des dépendances partagées complexes peut avoir besoin d’un scénario détaillé au-delà d’une introduction générale. Documentez la limite du socle commun et le point de départ d’une session ou d’un atelier spécifique à une entité. Si le cadre légal n’est pas confirmé, consignez-le comme action en suspens avec un responsable identifié. N’associez pas un réglage par défaut du système d’apprentissage à une délimitation légale du périmètre.
5. Un cycle pratique de l’intégration à la remise à niveau
Une conception efficace commence par l’intégration, suivie d’un socle commun pour la direction, d’une discussion sur les services réels de l’entité puis d’un atelier planifié sur les changements. Le socle commun apporte le vocabulaire et les méthodes de décision. La discussion métier vérifie si ces méthodes s’appliquent au modèle de reprise réel, à la chaîne fournisseur et à la gouvernance. L’examen récurrent interroge ce qui a changé et quelles hypothèses précédentes nécessitent de nouvelles preuves.
À titre d’exemple, un administrateur récemment nommé pourrait suivre un programme destiné au conseil, assister à une présentation de service et répertorier les questions qu’il souhaite poser à la direction. Le secrétaire du conseil ou le responsable de la formation pourrait vérifier la progression selon les échéances convenues. À la prochaine revue planifiée, l’administrateur pourrait examiner les changements de responsabilités et les risques non résolus, puis suivre un rappel ou un exercice ciblé. Le calendrier exact doit répondre aux besoins de l’entité et aux attentes applicables, et ne pas être perçu comme un échéancier obligatoire.
Gardez les activités connectées. Un atelier qui identifie une dépendance de restauration non testée doit déboucher sur une action et sur une demande de preuve future. Le prochain rappel devra vérifier si cette action a impacté la capacité du service. Ce processus permet de transformer l’apprentissage en suivi dans la durée. Il aide aussi un acheteur d'entreprise à juger une formation par les décisions qu’elle soutient, et non seulement par le nombre de vidéos, la durée d’un certificat ou l’utilisation du mot conformité par un prestataire.
6. Consignez les apprentissages et les lacunes restantes
Pour chaque apprenant, conservez l’identité, l’organisation, la fonction professionnelle, les modules attribués, la version du cours et les dates d’achèvement. Enregistrez les résultats des évaluations et l’identifiant de tout certificat de réussite. Gardez l’historique des remises à niveau et les comptes rendus d’ateliers de l'entreprise distincts du cursus principal. Un changement de titre de cours ne doit pas modifier silencieusement la signification d’un enregistrement d’achèvement antérieur.
Le rapport d’entreprise doit montrer les lacunes autant que les réussites : personnes n’ayant pas commencé, modules inachevés, évaluations échouées ou en attente, tâches en retard et mesures de suivi. Un pourcentage d’achèvement peut dissimuler que les directeurs responsables d’un service critique n’ont pas terminé l’apprentissage pertinent. Exploitez le rapport pour décider qui doit être accompagné ou orienté vers une autre activité ; évitez d’en faire un score de conformité réglementaire.
Les preuves ont des limites. Le temps passé sur une page ne prouve pas la compréhension. Une évaluation à choix ne couvre que certains choix ; elle ne garantit pas la compétence sur tous les incidents. Les réponses écrites et les discussions encadrées peuvent révéler des présupposés, mais le dossier doit indiquer si ces réponses ont été effectivement revues. Si un administrateur enregistre la présence à l’atelier, notez-le comme une attestation d’administrateur. Voir notre guide sur les attestations de formation DORA pour une limite pratique entre preuve de réussite et affirmation de certification sans fondement.
7. Exemple : un conseil d’administration répond à une modification de dépendance cloud
Un assureur fictif prévoit une session directionnelle de recyclage en novembre. En mars, un changement de fournisseur rend deux services vers les clients dépendants de la même plateforme d’identité. En avril, un exercice de reprise restaure les données avec succès sans tester la perte de cette plateforme. Le référent formation note que les administrateurs peuvent interpréter les deux contrats comme preuve d’une reprise indépendante. Le problème d’apprentissage réside dans une confusion sur les dépendances communes.
L’entité organise une brève présentation du service et un exercice de conseil avant de valider la décision de renouvellement. Les participants cartographient la dépendance commune, contestent l’estimation de reprise et identifient les preuves attendues. Le compte-rendu consigne la date, les rôles, le scénario, les décisions et les actions non clôturées. L’équipe technique détient un test de reprise représentatif ; le responsable métier détient la décision sur le risque résiduel. L’apprentissage ne remplace aucune de ces deux responsabilités.
En novembre, la remise à niveau revient sur le résultat de ce test et les questions précédentes du conseil. Si l’exposition persiste, le rapport le mentionne. Réaliser la remise à niveau ne transforme pas un contrôle en échec en succès. Cet exemple montre pourquoi apprentissage planifié et par événement sont complémentaires : le calendrier assure la continuité et le déclencheur garde la connaissance adaptée aux décisions ne pouvant attendre.
8. Intégrer le plan dans l’espace de travail de l’entreprise
Utiliser DORA Formation pour Dirigeants & Conseil d’Administration comme programme de leadership commun, et ajoutez ensuite le contexte de votre entreprise. Le programme central de l’Académie comporte huit modules avec des exercices de décision écrits et une évaluation par scénario. Un temps indicatif de trois heures est suggéré pour l’étude accompagnée, exercices compris ; il ne s’agit ni d’un minimum légal ni d’une garantie d’adéquation pour toute fonction.
La piqûre de rappel dédiée au conseil d’administration permet de revoir les changements de responsabilités, les hypothèses de reprise et les leçons tirées des fournisseurs ou des audits. Les administrateurs peuvent l’assigner aux personnes concernées et suivre sa réalisation séparément du programme initial. Les comptes rendus d’ateliers d’entreprise peuvent identifier l’animateur, les participants, les objectifs et les décisions une fois la session terminée. Conservez les actions opérationnelles non résolues dans votre processus de gouvernance habituel tout en enregistrant les enseignements dégagés.
Avant d’adopter le plan, obtenez l’accord des responsables de la formation, du risque et de la conformité sur sa portée. Décidez qui tient le calendrier, qui reçoit les rapports en retard, ce qui déclenche une mise à jour ciblée et comment la prochaine révision évaluera l'amélioration de la compréhension. Cette responsabilité a plus de valeur que simplement choisir une date récurrente.
Questions posées par les cadres
Régulier signifie-t-il une fois par an ?
Les dispositions de formation DORA ne définissent pas un intervalle annuel universel. Une remise à niveau annuelle est un choix pertinent pour beaucoup d’organisations et les attentes de supervision applicables peuvent ajouter du contexte pertinent. Documentez la base de votre calendrier, considérez les rôles et le risque TIC des personnes, et définissez comment les changements majeurs déclenchent une formation précoce. N’indiquez pas la date de renouvellement standard d’un fournisseur comme la formulation explicite de la règlementation.
Faut-il rejouer tout le cours à chaque modification ?
Aucune règle universelle dans ces dispositions n’exige la répétition d’un même module après chaque changement. Évaluez si ce changement impacte les connaissances, compétences ou décisions liées au rôle. Un briefing ciblé, un exercice scénarisé ou un module mis à jour peuvent combler l’écart de façon plus directe. Conservez la traçabilité du module initial et enregistrez séparément la nouvelle activité, en précisant son objectif et tout suivi associé.
Une formation de remise à niveau terminée démontre-t-elle que l’entreprise est conforme à DORA ?
Non. Il s’agit de la preuve d’une activité d’apprentissage et, si applicable, du résultat enregistré à l’évaluation. La conformité organisationnelle implique la gouvernance applicable, les contrôles et les obligations plus larges. Un historique d’apprentissage défendable précise ce qui a été enseigné et évalué, la version utilisée et ce qui demeure non résolu. Il doit permettre une supervision éclairée et ne doit pas être promu comme substitut à celle-ci.
Sources et approfondissements
Législation primaire et documents de supervision. Les exemples pratiques et modèles de ce guide sont des suggestions, non des formulaires réglementaires prescrits.
- DORA : Articles 5, 13 et 16
- EIOPA Q&R 250–3380 : formation et proportionnalité
- BCE : attentes en matière de compétences ICT et cybersécurité du conseil d’administration des banques
Ce guide est à visée pédagogique. Vérifiez le périmètre de votre entité, le cadre applicable et les attentes du superviseur auprès de votre équipe juridique et conformité.
