Obowiązki zarządu w DORA: od polityk do decyzji

Ustal, kogo dotyczą obowiązki opisane w DORA

Punktem wyjścia jest regulowany podmiot prawny. Zakres i wyłączenia DORA znajdują się w art. 2, a art. 3 pkt 30 definiuje „organ zarządzający” w odniesieniu do właściwych przepisów sektorowych i krajowych dotyczących zarządzania. Sama nazwa stanowiska w firmie nie rozstrzyga tej kwestii. Udokumentuj, który organ lub które organy pełnią odpowiednie funkcje w Twojej organizacji.

W ramach ogólnego systemu art. 5 ust. 2 przypisuje organowi zarządzającemu odpowiedzialność za ramy zarządzania ryzykiem ICT, w tym ostateczną odpowiedzialność za ryzyko ICT podmiotu. Specjaliści mogą wykonywać pracę operacyjną. Zarząd musi jednak móc wykazać, że określił oczekiwania, otrzymywał wystarczające informacje, krytycznie oceniał luki i monitorował wykonanie ważnych decyzji.

Ten artykuł dotyczy ogólnego systemu. Podmioty objęte art. 16 stosują ramy uproszczone zamiast art. 5–15. Szczegółowe zasady zarządzania w tym systemie określa art. 28 rozporządzenia delegowanego 2024/1774. Zanim utworzysz na podstawie tego przewodnika wewnętrzny rejestr obowiązków, sprawdź, które przepisy mają zastosowanie.

Taka sama jasność jest potrzebna w grupie kapitałowej. Spółka dominująca może prowadzić operacje bezpieczeństwa, obsługiwać zakupy lub pomagać w opracowaniu polityk. Spółka zależna nadal musi znać usługi, od których zależy, ponoszone ryzyka i decyzje zastrzeżone dla jej organu zarządzającego. „Zajmuje się tym grupa” nie wyjaśnia w pełni, kto za co odpowiada.

Traktuj zatwierdzenie jako początek nadzoru

Art. 5 obejmuje m.in. odpowiedzialność za strategię odporności i tolerancję ryzyka ICT, ciągłość działania i odtwarzanie usług, planowanie audytów, zasoby, politykę wobec dostawców zewnętrznych oraz kanały raportowania. Dokładny podział obowiązków znajdziesz w art. 5 ust. 2 lit. c–i. Poniżej znajduje się nasz praktyczny sposób organizowania wynikających z tego działań, a nie substytut wymogu.

Dla każdej istotnej zgody zachowaj krótki zapis łączący trzy elementy: co zarząd zatwierdził, na jakich założeniach się oparł i jakich dowodów oczekuje w kolejnym kroku. Zatwierdzenie strategii powinno prowadzić do postępów w realizacji priorytetów. Zatwierdzenie planu odtwarzania powinno prowadzić do sprawdzonej zdolności przywrócenia usług. Zatwierdzenie budżetu powinno zapewnić ludzi, usługi lub zabezpieczenia, które rzeczywiście ograniczają wskazane ryzyko.

Przykład: zatwierdzenie sześciomiesięcznego planu naprawczego bez pytania, kto go zrealizuje, prowadzi do przewidywalnych problemów. Jeśli ci sami dwaj specjaliści są już zaangażowani w kluczową migrację, plan może być nierealny. Zażądaj założeń dotyczących dostępności zasobów przed akceptacją i zarejestruj konieczne kompromisy. Realistyczny, nowy termin z jasno określonym zabezpieczeniem tymczasowym jest bardziej wartościowy niż ambitna data, której nikt nie zrealizuje.

Oddziel sprawy do decyzji od spraw informacyjnych. Każdy materiał wymagający decyzji powinien zawierać proponowane działanie, wiarygodne alternatywy, skutki opóźnienia, nierozstrzygnięte wątpliwości i termin decyzji. Ułatwia to dyrektorom kwestionowanie rekomendacji bez angażowania się w szczegóły techniczne.

Wyjaśnij uprawnienia decyzyjne za pomocą macierzy

Ustal, kto przygotowuje propozycję, kto ocenia ją krytycznie, kto podejmuje decyzję i kto sprawdza jej wykonanie. Dostosuj przykład do struktury prawnej organizacji, spraw zastrzeżonych dla poszczególnych organów i regulaminów komitetów. „Zarząd” oznacza tu właściwy organ zarządzający; nie oznacza to, że każda decyzja operacyjna musi czekać na posiedzenie w pełnym składzie.

Zespoły zarządzania ryzykiem i zgodności powinny móc krytycznie oceniać propozycję, nie odpowiadając za każdy mechanizm kontroli operacyjnej. Audyt wewnętrzny powinien zachować niezależność właściwą dla swojej roli. Nie powierzaj temu samemu komitetowi zarówno wdrożenia poprawki, jak i wyłącznego potwierdzenia jej skuteczności.

Sprawdź macierz na przykładzie rzeczywistej decyzji, którą trzeba niedługo podjąć. Jeśli umowę z dostawcą należy przedłużyć w przyszłym tygodniu, czy wszyscy wiedzą, kto może to zatwierdzić, kto może postawić warunki i kto akceptuje ryzyko rezydualne? Wyjaśnij rozbieżności, zanim ujawni je incydent lub termin biznesowy.

Przełóż tolerancję ryzyka na wybory dotyczące usług

Deklaracja „niskiego apetytu na ryzyko cybernetyczne” nie mówi menedżerowi, jak wybierać między konkurującymi projektami. Poproś kierownictwo, by powiązało ją z usługami, skutkami dla klientów, wymaganymi zabezpieczeniami i zasadami eskalacji. Wyraźnie odróżniaj pożądany wynik od zdolności potwierdzonej w praktyce.

Rozważ fikcyjną firmę inwestycyjną, która planuje nową platformę raportowania dla klientów. Kierownictwo proponuje cel odtwarzania oparty na materiałach marketingowych dostawcy. Zarząd powinien zapytać, czy cel obejmuje całą usługę: dane źródłowe, uwierzytelnianie, uzgadnianie danych, dostęp pracowników i przekazywanie raportów klientom. Jeśli sprawdzono tylko platformę, zapisz nieprzetestowane zależności oraz decyzję, na którą one wpływają.

Przydatne pytania kontrolne to:

• Jakie szkody mogą powstać, jeśli usługa jest niedostępna lub dane nie są godne zaufania?
• Które założenia zostały potwierdzone, a które pozostają oszacowaniami?
• Co możemy bezpiecznie kontynuować, gdy główna usługa jest ograniczona?
• Jakie zdarzenie wymagałoby eskalacji lub podjęcia innej decyzji operacyjnej?
• Kto może zaakceptować ryzyko resztkowe, na jak długo i na jakich warunkach?

Wyznacz konkretne granice wyjątków. Wyjątek czasowy może wskazywać usługę, uzasadnienie, zabezpieczenia tymczasowe, osobę odpowiedzialną, datę wygaśnięcia i okoliczności wymagające wcześniejszego przeglądu. Powtarzające się przedłużenia powinny skłaniać do oceny, czy pierwotny plan pozostaje wykonalny. Rejestr wyjątków pomaga podejmować decyzje tylko wtedy, gdy ktoś działa na podstawie jego treści.

Sprawdź, czy budżet pozwala osiągnąć deklarowany wynik

Art. 5 ust. 2 lit. g dotyczy odpowiednich zasobów i okresowego przeglądu budżetu. Budżet jest bardziej użyteczny, gdy łączy wydatki z wynikiem, niż gdy tylko oznacza je etykietą „DORA” lub „cyberbezpieczeństwo”. Poproś kierownictwo o wyjaśnienie, jakie ryzyko ma zostać ograniczone, od czego zależy wykonanie prac i jakie dowody potwierdzą poprawę.

Porównaj propozycje: „Kupić nowe rozwiązanie do tworzenia kopii zapasowych” oraz „Wykazać, że usługę świadczoną klientom da się przywrócić z uzgodnionymi danymi w odizolowanym środowisku”. Druga pozwala zapytać o personel, czas testów, integrację i weryfikację wyniku przez zespoły biznesowe. Produkt może być potrzebny, ale zakup nie oznacza jeszcze osiągnięcia celu.

Przydatny dokument inwestycyjny powinien zawierać:

1. Usługę i narażenie na ryzyko uzasadniające podjęcie prac.
2. Oczekiwany wynik i sposób jego weryfikacji.
3. Koszty jednorazowe i bieżące, w tym czas pracowników i wsparcie dostawcy.
4. Zależności od innych projektów oraz deficytowych umiejętności.
5. Pozostała ekspozycja na ryzyko w razie opóźnienia lub ograniczenia propozycji.
6. Osobę, która potwierdzi osiągnięcie oczekiwanej korzyści.

Uwzględnij ćwiczenia edukacyjne i decyzyjne w planowaniu zasobów. Plan może zawieść, jeśli personel nie wie, jak go uruchomić, nawet gdy technologia działa poprawnie. Tak samo szkolenie nie zastąpi brakujących zabezpieczeń technicznych. Zachowaj powiązania między tymi potrzebami, mierząc je oddzielnie.

Zachowaj odpowiedzialność, gdy usługę świadczy dostawca

Outsourcing zmienia sposób świadczenia usługi, ale nie znosi odpowiedzialności podmiotu. W odniesieniu do podmiotów objętych tymi wymogami dotyczącymi polityki art. 3 rozporządzenia delegowanego 2024/1773 wymaga jasnych zasad zarządzania właściwymi umowami oraz dokonywanego przez organ zarządzający co najmniej raz w roku przeglądu polityki dotyczącej usług ICT wspierających funkcje krytyczne lub istotne. Sprawdź wyłączenia w art. 28 ust. 2 DORA, w tym dotyczące mikroprzedsiębiorstw. Ta częstotliwość przeglądu konkretnej polityki nie jest ogólną zasadą określającą częstotliwość wszystkich szkoleń zarządu.

Przy istotnej zależności poproś o krótkie wyjaśnienie skupione na usłudze. Co stracą klienci, jeśli dostawca przestanie działać? Jakie inne usługi zależą od tej samej infrastruktury lub podwykonawcy? Jak organizacja uzyska informacje, zachowa kontrolę i odzyska dane? Czego w praktyce wymaga zakończenie współpracy?

Rozważ fikcyjną ofertę przedłużenia umowy ze znacznym rabatem za dłuższe zobowiązanie. Kierownictwo ma umowne prawo do eksportu danych, ale nigdy nie sprawdziło ich importu do innego działającego środowiska. Zarząd nie musi projektować migracji. Powinien jednak zapytać, czy możliwość zakończenia współpracy jest realna i czy zgodę na przedłużenie należy uzależnić od sprawdzenia danych, oszacowania zasobów potrzebnych do migracji lub ograniczenia innego ryzyka koncentracji.

Oddziel dokumenty dostawcy od własnych wniosków. Certyfikat lub raport z niezależnej weryfikacji może pomóc w ocenie dostawcy, ale trzeba sprawdzić jego zakres, okres objęty badaniem, wyłączenia i znaczenie dla danej usługi. Zapisz, kto ocenił dokument i co nadal wymaga wyjaśnienia.

Opublikowane przez EBC priorytety nadzorcze na lata 2026–2028 wskazują odporność operacyjną i zdolności ICT jako priorytety bankowe oraz podkreślają, że nadzór nad kluczowymi dostawcami uzupełnia własne zarządzanie ryzykiem stron trzecich przez banki. Są to priorytety nadzoru bankowego, a nie twierdzenie, że każda instytucja finansowa podlega identycznemu traktowaniu nadzorczemu.

Ustal uprawnienia do działania przed nadejściem kryzysu

Zdecyduj z wyprzedzeniem, w jaki sposób zarząd otrzymuje istotne informacje i co menedżerowie mogą zrobić natychmiast. Incydent nie powinien ujawniać rozbieżności co do kompetencji w zakresie ograniczania usługi, autoryzowania wydatków awaryjnych czy przekazywania informacji klientom. Zespół operacyjny potrzebuje również jasnych procedur raportowania regulacyjnego zgodnie z obowiązującymi procedurami.

Oczekuj zwięzłych informacji o czterech rzeczach: co wiadomo, co pozostaje niepewne, jakie działania trwają i jakiej decyzji potrzeba. Nie żądaj pewnego terminu przywrócenia usługi, jeśli dowody na to nie pozwalają. Zapytaj, co zostanie sprawdzone w następnym kroku i kiedy kierownictwo przedstawi bardziej wiarygodne informacje.

Decyzja o przywróceniu usługi powinna uwzględniać jej integralność, a nie tylko dostępność. Działająca aplikacja może nadal zawierać brakujące, zdublowane lub niespójne rekordy. Zapytaj, kto sprawdza wynik biznesowy, jakie uzgodnienia danych pozostają do wykonania i jakie ograniczenia chronią klientów podczas częściowego wznowienia usługi.

Przetestuj nadzór poprzez ćwiczenie. Zasymuluj utratę zwykłego kanału spotkań, niedostępność członka zarządu oraz sprzeczne komunikaty dostawców. Obserwuj, czy upoważnieni zastępcy mogą działać oraz czy powstaje rejestr decyzji. To tylko propozycja projektu ćwiczenia; nie zastępuje testów technicznych ani innych wymagań obowiązujących w danym reżimie.

Następnie przypisz każde istotne ustalenie jednej osobie odpowiedzialnej i określ dowody potrzebne do zamknięcia sprawy. „Zaktualizowano procedurę” może wystarczyć do usunięcia braku w dokumentacji. Nie rozwiązuje jednak problemu z przywracaniem usługi, dopóki nie zostanie wykazana odpowiednia zdolność.

Poprowadź spotkanie, które przynosi decyzje i użyteczną dokumentację

Zwięzły porządek posiedzenia może być bardziej użyteczny niż długa prezentacja techniczna. Poniższy przykład dotyczy cyklicznego spotkania poświęconego zarządzaniu i nadzorowi. Dostosuj jego częstotliwość do ryzyk, właściwych obowiązków i struktury komitetów.

1. Przeanalizuj zmiany od ostatniego spotkania: ekspozycję usług, istotne incydenty oraz zależności.
2. Zbadaj najważniejszą lukę między oczekiwaną a wykazaną zdolnością.
3. Podejmij decyzję o wyjątkach, zasobach lub priorytetach wykraczających poza zakres udzielonego upoważnienia.
4. Kwestionuj zaległe działania i powtarzające się przedłużenia.
5. Potwierdź, jakie dowody zostaną przedstawione następnym razem i jakie szkolenie jest potrzebne.

Protokół powinien odzwierciedlać istotne pytania krytyczne i zastrzeżenia, ale nie musi być stenogramem. Zapisz rozpatrzone informacje, rozpoznane niepewności, omówione alternatywy, decyzję i jej warunki. Wskaż osobę odpowiedzialną i termin ponownego przeglądu. Nie poprzestawaj na stwierdzeniu, że zarząd „zapoznał się z raportem o cyberbezpieczeństwie”, jeśli faktycznie zaakceptował ryzyko o poważnych skutkach.

Przykładowy zapis decyzji: zarząd przeanalizował wyniki testu odtwarzania usługi raportowania dla klientów. Aplikację przywrócono, ale uzgadnianie danych nie zakończyło się w planowanym czasie. Kierownictwo utrzyma tymczasową kontrolę ręczną, zweryfikuje jej wydajność i przedstawi wyniki ponownego testu całego procesu. Za działanie odpowiada dyrektor operacyjny; termin następnego przeglądu zapisano w rejestrze działań.

Ten przykład celowo opiera się na faktach. Nie stwierdza zgodności organizacji ze wszystkimi wymogami ani nie sugeruje, że problem zniknął. Pokazuje otwartą kwestię i kolejny krok. Aby wybrać informacje przydatne na takim posiedzeniu, skorzystaj z naszego przewodnika po panelu raportowania DORA dla zarządu.

Ulepsz obieg decyzyjny w ciągu najbliższych 90 dni

Realizuj ten plan usprawnień obok bieżących obowiązków; nie daje on podstaw do odraczania już obowiązujących wymagań. Zacznij od luki, która stwarza najbardziej bezpośrednie ryzyko dla podejmowanych decyzji.

Oceń jakość zamknięcia. Wybierz trzy zrealizowane działania i sprawdź, czy dowody je wspierające rozwiązują pierwotne uchybienie. Jeśli działanie tylko wygenerowało dokument, a ryzyko nadal istnieje, ponownie otwórz dyskusję. Wybierz jeden zaakceptowany wyjątek i zweryfikuj, czy jego czas obowiązywania, warunki i właściciel pozostają aktualne.

Na koniec upewnij się, że członkowie zarządu rozumieją materiał, który powinni poddawać krytycznej ocenie. Nasz przewodnik po wymaganiach szkoleniowych DORA dla zarządów wyjaśnia, jak dopasować naukę do odpowiedzialności poszczególnych osób. Kurs « Szkolenie DORA z cyberbezpieczeństwa dla zarządów i kadry kierowniczej » oferuje program oparty na podejmowaniu decyzji, obejmujący około trzy godziny nauki prowadzonej w ośmiu modułach. Dodaj własne zasady ładu i ćwiczenia decyzyjne; ukończenie kursu nie jest akredytacją ani rozstrzygnięciem o zgodności.