La risposta breve
L’Articolo 5(4) di DORA richiede che i membri dell’organo di gestione mantengano aggiornata la propria conoscenza e competenza in materia di rischi ICT attraverso formazione specifica su base regolare, proporzionata al rischio gestito. Non stabilisce un intervallo annuale universale. Scegli un ciclo di apprendimento documentato, considera le aspettative di vigilanza applicabili e rispondi a cambiamenti rilevanti prima del prossimo aggiornamento periodico.
1. Cosa richiedono effettivamente le disposizioni formative
DORA si applica dal 17 gennaio 2025. Parti dal perimetro dell’ente finanziario e dal quadro applicabile. Nel regime generale, l’articolo 5(4) riguarda la capacità dell’organo di gestione di comprendere e valutare il rischio ICT e il suo impatto sulle operazioni. L’obiettivo è la conoscenza aggiornata e un giudizio informato, non il completamento dello stesso slide deck ogni dodici mesi. Il testo della disposizione non precisa un intervallo temporale universale.
L’articolo 13(6) prevede la formazione obbligatoria sulla consapevolezza della sicurezza ICT e la resilienza operativa digitale per dipendenti e alta dirigenza. La complessità della formazione deve essere commisurata alle funzioni, includendo i fornitori ICT rilevanti se appropriato. Le entità ammissibili che utilizzano il quadro semplificato dell’Articolo 16 sono soggette a disposizioni differenti, tra cui la formazione di personale e management basata sulle necessità nell’Articolo 16(1)(h). Non trattare la disposizione relativa al consiglio come base legale applicabile universalmente a ogni discente o entità.
Tali distinzioni sono importanti nella creazione di un calendario formativo. Un direttore, un coordinatore di incidenti e un collega dell’assistenza clienti possono tutti necessitare formazione dopo la stessa interruzione, ma hanno bisogno di decisioni e livelli di dettaglio diversi. Un briefing condiviso può soddisfare più esigenze; tale situazione non impone acquisti commerciali separati. Leggere la guida ai requisiti formativi del consiglio di amministrazione prima di tradurre un obbligo legale in una specifica di approvvigionamento.
2. Un aggiornamento annuale è una scelta di programma
Un aggiornamento annuale può fornire una base prevedibile per pianificazione, follow-up dell’induction e budget. Può anche offrire un’occasione utile per il consiglio di rivedere le proprie priorità formative. Tuttavia, descrivere quella base come l’unico intervallo consentito da DORA confonde la progettazione del prodotto di un fornitore con il testo della regolamentazione. Spiega la scelta fatta, la sua logica e gli eventi che possono anticipare la formazione.
Altre aspettative di vigilanza possono influenzare la decisione. Ad esempio, le buone pratiche pubblicate dalla BCE sull’expertise dei consigli di amministrazione delle banche in tema di ICT e sicurezza prevedono una formazione annuale. Questa è una cornice rilevante per le banche interessate, ma non dà titolo a sostenere che la stessa regola valga identicamente per tutte le entità finanziarie. Il team di compliance dovrebbe identificare il materiale di vigilanza applicabile e i requisiti nazionali insieme al quadro DORA.
In BlueTeam Academy, l’aggiornamento annuale è una raccomandazione di pianificazione. Gli amministratori possono definire un intervallo di revisione diverso in base a ruoli e profilo di rischio aziendale. Questa impostazione pianifica una revisione interna attesa; non stabilisce che un determinato periodo soddisfi ogni obbligo. Il consiglio deve poter spiegare perché il ciclo scelto è sensato, quali informazioni sono state considerate e chi rivaluterà la decisione se cambia l’esposizione. Un calendario senza queste motivazioni è un debole sostituto di un piano di apprendimento.
3. Definisci gli eventi che anticipano le attività di apprendimento
Un programma regolare dovrebbe prevedere una modalità per gestire cambiamenti che avvengono tra le sessioni pianificate. Esempi includono il lancio di un servizio importante, la modifica di una dipendenza cloud o di identità, l’acquisizione di un’altra azienda, un incidente rilevante, un rilievo ricorrente in audit o un direttore che assume un nuovo ruolo. La domanda da porsi è se l’evento cambia la conoscenza o le decisioni attese dalle persone coinvolte. Non ogni modifica tecnica richiede una formazione al consiglio, ma i cambiamenti significativi richiedono una valutazione motivata.
Considera un ente pagamenti che sposta il proprio ambiente di recovery sulla stessa piattaforma cloud del servizio primario. Il consiglio ha completato un modulo sulla continuità due mesi prima. Attendere altri dieci mesi per discutere la nuova concentrazione può portare i dirigenti ad affidarsi a un presupposto di recovery non più valido. Un briefing mirato ed esercitazione decisionale possono colmare il divario senza ripetere l’intero programma.
Create a simple trigger record: the change, affected service, roles concerned, learning need, proposed activity, owner and completion evidence. Connect it to the normal risk or change-governance process so that it is not dependent on somebody remembering the training calendar. After an incident, use the lessons about decisions and escalation as well as the technical cause. A new procedure matters only if the people expected to use it understand what they must do differently.
4. Pianifica in base ai ruoli e ai servizi finanziari
Un piano efficace parte dalle persone e dai servizi di cui l'entità è responsabile. Identifica i membri dell'organo di gestione e i loro compiti di supervisione. Mappa le responsabilità del senior management ed i ruoli operativi che richiedono consapevolezza o competenze specifiche di resilienza. Collega poi tali responsabilità ai servizi, ai dati importanti, alle dipendenze ICT e alle interruzioni prevedibili. Questo produce un piano più difendibile rispetto all’assegnazione del medesimo contenuto a ogni account nella directory.
Per il consiglio di amministrazione, il risultato può essere la capacità di mettere in discussione risk appetite, investimenti, prova di recupero e rischio da fornitori rilevanti. Per un coordinatore di incidenti, può essere una classificazione affidabile, escalation e coordinamento secondo le procedure approvate dell’entità. Per un collega che gestisce istruzioni dei clienti, può significare riconoscere e segnalare tempestivamente un sospetto problema di integrità. Questi risultati sono connessi, ma un test sulla sola gestione delle password non dimostra il giudizio di livello board su recupero o risorse.
Adotta profondità proporzionata. Un responsabile di un servizio con dipendenze condivise complesse può necessitare di esercitazioni più dettagliate di quelle offerte da una panoramica introduttiva. Documenta dove finisce il nucleo comune e dove inizia un briefing o workshop specifico per soggetto. Se il quadro normativo non è ancora stato definito, annota l’attività come irrisolta e assegna un responsabile. Non far apparire l’impostazione predefinita del sistema formativo come determinazione legale dell’ambito.
5. Un ciclo pratico dall’induzione al refresh
Un modello efficace inizia con l’induzione, seguito da un nucleo comune sulla leadership, una discussione sui servizi effettivi dell’ente e una revisione programmata delle modifiche. Il nucleo comune fornisce il vocabolario e i metodi decisionali. La discussione aziendale verifica se questi metodi si applicano al reale piano di ripristino, alla catena dei fornitori e agli accordi di governance. La revisione ricorrente valuta i cambiamenti e quali assunzioni precedenti richiedano nuove prove.
Ad esempio, un nuovo amministratore potrebbe completare un programma per il consiglio, partecipare a una presentazione sul servizio e annotare le domande da porre al management. Il segretario del consiglio o il responsabile formazione potrebbe verificare lo stato di avanzamento nelle date concordate. Alla successiva revisione programmata, il consigliere potrebbe esaminare i cambiamenti di responsabilità e le questioni di rischio irrisolte, quindi seguire un aggiornamento o un’esercitazione mirata. La tempistica esatta dovrebbe essere guidata dalle necessità dell’ente e dalle aspettative applicabili, più che da una sequenza esemplificativa da trattare come calendario obbligatorio.
Collega le attività tra loro. Un workshop che individua una dipendenza di ripristino non testata dovrebbe generare un’azione e una richiesta di prova futura. Il successivo aggiornamento dovrebbe verificare se quell’azione ha modificato la capacità del servizio. Questo trasforma l’apprendimento in un processo di supervisione continua. Aiuta anche il responsabile aziendale a valutare un corso in base alle decisioni che supporta, non solo al numero di video, alla durata di un certificato o all’uso della parola conformità da parte del fornitore.
6. Registra l’apprendimento e le lacune che restano
Per ogni dipendente, conserva l'identità, l'organizzazione, il ruolo professionale, i moduli assegnati, la versione del corso e le date di completamento. Registra i risultati delle valutazioni e l'identificativo di ogni attestato di completamento. Mantieni la cronologia degli aggiornamenti e i resoconti dei workshop aziendali separati dal corso principale. Un titolo di corso modificato non deve sovrascrivere silenziosamente il significato di un precedente completamento.
Il report aziendale deve mostrare sia le lacune che i successi: persone che non hanno iniziato, moduli incompleti, valutazioni fallite o in sospeso, compiti in ritardo e attività di follow-up. Una percentuale di completamento può mascherare il fatto che i direttori responsabili di un servizio critico non hanno completato l’apprendimento pertinente. Usa il report per decidere chi necessita supporto o un’attività diversa; evita di trattarlo come un punteggio di conformità normativa.
Le evidenze hanno dei limiti. Il tempo trascorso su una pagina non dimostra comprensione. Un test a scelta multipla valuta alcune decisioni; non prova la competenza in ogni incidente reale. Un ragionamento scritto o una discussione facilitata possono rivelare ipotesi di base, ma il verbale dovrebbe indicare se tali risposte sono state realmente esaminate. Se un amministratore aziendale registra la partecipazione a un workshop, indica che è una attestazione amministrativa. Vedi il nostro guida ai certificati di formazione DORA per un confine pratico tra le prove di completamento e le dichiarazioni di certificazione non supportate.
7. Esempio: un consiglio risponde a una dipendenza cloud cambiata
Un assicuratore fittizio pianifica una sessione di aggiornamento leadership di routine a novembre. A marzo, un cambio fornitore rende due servizi rivolti al cliente dipendenti dalla stessa piattaforma di identità. In aprile, un’esercitazione di recovery ripristina i dati ma non verifica la perdita della piattaforma. Il responsabile della formazione segnala che i direttori potrebbero interpretare i due contratti di servizio come prova di recupero indipendente. Il gap formativo è l’ipotesi errata sulle dipendenze comuni.
L’ente organizza una breve presentazione sul servizio e un esercizio con il consiglio prima di approvare la decisione di rinnovo. I partecipanti mappano la dipendenza condivisa, mettono in discussione la stima di recupero e identificano le prove necessarie. Il registro annota data, ruoli, scenario, decisioni e azioni irrisolte. Il team tecnico possiede un test di recupero rappresentativo; il business owner è responsabile della decisione sul rischio residuo. La formazione non sostituisce nessuna delle due responsabilità.
A novembre, il corso di aggiornamento riprende il risultato di quel test e le precedenti domande del consiglio. Se l’esposizione resta irrisolta, il report lo evidenzia. Completare il corso di aggiornamento non trasforma un controllo non riuscito in uno efficace. Questo esempio dimostra perché calendario regolare e apprendimento guidato dagli eventi devono convivere: il calendario crea continuità, il trigger mantiene le conoscenze rilevanti per decisioni che non possono attendere.
8. Inserisci il piano nell’area di lavoro aziendale
Usa Formazione Consiglio & Dirigenza DORA come il programma comune di leadership, quindi integra con il contesto della tua azienda. Il programma centrale dell’Academy prevede otto moduli con esercizi scritti di decisione e una valutazione tramite scenario. Circa tre ore è una stima di studio guidato, incluse le esercitazioni; non è un minimo di legge né una garanzia di sufficienza per tutti i ruoli.
L’aggiornamento separato per il board supporta una revisione delle responsabilità cambiate, delle ipotesi di recovery e delle lezioni apprese da fornitori o audit. Gli amministratori possono assegnarlo alle persone pertinenti e monitorarne il completamento separatamente dal programma originale. I registri dei workshop aziendali possono indicare il facilitatore, i partecipanti, gli obiettivi e le decisioni prese dopo una sessione. Le azioni operative non risolte devono essere gestite tramite il normale processo di governance e va registrato l’apprendimento generato.
Prima di adottare il piano, assicurati che i responsabili di formazione, rischio e compliance concordino l’ambito. Decidi chi mantiene il calendario, chi riceve i report in ritardo, cosa innesca un aggiornamento mirato e come la prossima revisione valuterà se la comprensione è migliorata. Quella titolarità è più preziosa che fissare semplicemente una data ricorrente.
Domande che i leader pongono
Regolare significa una volta all’anno?
Le disposizioni sui corsi DORA non definiscono un intervallo annuale universale. Un aggiornamento annuale è una valida scelta progettuale per molti programmi e le aspettative di vigilanza applicabili possono fornire un contesto aggiuntivo. Documentare la motivazione della vostra pianificazione, considerare i ruoli delle persone e il rischio ICT e definire come cambiamenti rilevanti inneschino formazione anticipata. Non descrivere la data di rinnovo standard del provider come esplicita formulazione regolamentare.
L’intero corso deve essere ripetuto dopo ogni cambiamento?
Nessuna regola universale in queste disposizioni richiede di ripetere lo stesso corso dopo ogni modifica. Valuta se la modifica incide su conoscenze, abilità o scelte operative per il ruolo. Un briefing mirato, un esercizio di scenario o un modulo aggiornato possono colmare la lacuna più direttamente. Mantieni il record del corso precedente e registra separatamente la nuova attività, incluso il motivo e qualsiasi follow-up.
Un corso di aggiornamento completato dimostra che l’azienda rispetta DORA?
No. È evidenza di un’attività formativa e, se valutata, del risultato della valutazione registrata. La conformità organizzativa riguarda i processi di governance, i controlli e le obbligazioni più ampie. Un registro di formazione difendibile identifica quanto è stato insegnato e valutato, quale versione è stata usata e cosa rimane irrisolto. Dovrebbe supportare la supervisione consapevole, non essere promosso come suo sostituto.
Fonti e letture di approfondimento
Legislazione primaria e materiale di vigilanza. Gli esempi pratici e i modelli in questa guida sono suggerimenti, non moduli regolamentari prescritti.
- DORA: Articoli 5, 13 e 16
- EIOPA Q&A 250–3380: formazione e proporzionalità
- ECB: aspettative di competenze ICT e sicurezza nel consiglio delle banche
Questa guida è di tipo educativo. Confermare l’ambito, il quadro applicabile e i requisiti di vigilanza della propria entità con il proprio team legale e di compliance.
