Cerințe DORA de instruire pentru conducere: explicația articolului 5(4)

Începeți cu entitatea și persoanele vizate, nu cu un catalog de cursuri

DORA se aplică din 17 ianuarie 2025 anumitor categorii de entități financiare, cu excluderi specifice. Nu este o lege generală privind instruirea tuturor companiilor europene. Verificați autorizația de funcționare, entitatea juridică și normele de supraveghere aplicabile. Prezentarea DORA publicată de EIOPA explică contextul sectorial; articolul 2 definește domeniul de aplicare.

Înainte de a atribui instruirea, documentați domeniul ei pe o pagină. Precizați entitatea reglementată, cadrul aplicabil, organele sale de conducere, membrii acestora și persoana care a validat această corespondență. Un program la nivel de grup poate oferi conținut comun, dar conducerea unei filiale trebuie să înțeleagă propriile servicii, dependențe și decizii. Raportul de absolvire al societății-mamă din străinătate nu arată dacă administratorii locali cunosc procedurile locale de recuperare.

Identificați participanții pe baza responsabilităților reale de guvernanță. „Organ de conducere” este un termen juridic definit la articolul 3(30), nu o denumire pentru orice persoană cu titlul de manager. Cereți echipei juridice sau de guvernanță să confirme ce funcții intră în această categorie în organizația dumneavoastră. Înscrieți membrii nou-numiți în registrul de instruire imediat, fără să așteptați următoarea campanie la nivel de grup.

Există o excepție importantă: entitățile supuse cadrului simplificat din articolul 16 nu aplică direct articolele 5–15. Obligațiile lor de instruire și guvernanță decurg din cadrul simplificat și standardele tehnice aferente. Simplificat nu înseamnă fără instruire.

Separați obligația de formatul instruirii

Articolul 5(4) leagă învățarea regulată și specifică de capacitatea de a înțelege și evalua riscul TIC și impactul său asupra afacerii. Articolul 13(6) abordează separat instruirea privind conștientizarea și reziliența personalului și a conducerii superioare. Nicio prevedere nu stabilește un număr universal de ore de curs anuale.

Acea distincție contează la achiziția unui program. Un furnizor poate oferi un program coerent, o evidență a învățării și o evaluare. Compania trebuie totuși să decidă dacă materialul abordează responsabilitățile și expunerea la risc a participanților. Un certificat nu poate valida un plan de recuperare pe care cursantul nu l-a văzut sau o dependență de furnizor pe care cursul nu o cunoaște.

Stabiliți ce trebuie să poată face participanții înainte de a alege formatul. Un membru al organului de conducere ar trebui să explice întreruperea cărui serviciu ar produce cele mai mari pagube, să identifice punctele slabe ale dovezilor prezentate de management și să recunoască deciziile care rămân în competența conducerii în timpul unei perturbări. Un manager ar trebui să poată aplica procedura de escaladare fără să caute reguli în documente pe care nu le cunoaște.

Un program practic are trei componente: cunoștințe de bază comune, o prezentare a propriei organizații și un exercițiu de luare a deciziilor. Studiul online este potrivit pentru prima componentă; un responsabil de serviciu și unul de risc pot asigura a doua; o discuție moderată permite exersarea celei de-a treia. Aceasta este o propunere de organizare, nu o metodă obligatorie de instruire.

Organizați matricea de instruire în funcție de deciziile participanților

Folosiți matricea următoare ca punct de plecare. Adaptați exemplele la responsabilitățile reale din companie și păstrați detaliile operaționale sensibile în mediul de instruire cu acces controlat. Pentru fiecare rând, desemnați o persoană care să verifice atingerea obiectivului de învățare.

O matrice utilă nu se limitează la lista modulelor. Adăugați limba necesară, cerințele de accesibilitate, data următoarei revizuiri, versiunea materialelor, evaluatorul și măsurile de remediere. Cineva poate cunoaște termenii de bază, dar să aibă nevoie de ajutor pentru interpretarea unei analize de impact asupra activității. Altcineva poate avea cunoștințe tehnice solide, dar puțină experiență cu guvernanța sectorului financiar.

Nu atribuiți tuturor același program de remediere pentru că o persoană a avut dificultăți. Notați exact lipsa: „Nu a putut identifica cine autorizează comunicarea de urgență cu clientul” duce la o acțiune utilă; „Are nevoie de mai multă conștientizare cibernetică” nu ajută. Solicitați participantului să revadă procedura internă relevantă și să explice decizia în cuvintele proprii.

Stabiliți o frecvență justificată și evenimentele care cer actualizarea instruirii

Răspunsul final al EIOPA la întrebarea DORA 250-3380 leagă frecvența instruirii de roluri și de principiul proporționalității. La actualizarea programelor, indică și folosirea lecțiilor din incidente și a informațiilor relevante despre amenințări. Un calendar nu este suficient: documentați atât ciclul obișnuit, cât și evenimentele care pot impune instruirea mai devreme.

Pentru un consiliu cu puține cunoștințe inițiale, o propunere rezonabilă este instruirea la numire, recapitularea anuală planificată a noțiunilor de bază, informări punctuale înaintea deciziilor importante și exerciții când activitatea sau amenințările o justifică. Sunt sugestii de planificare. Recapitularea anuală nu este o frecvență impusă de lege. O companie cu schimbări frecvente sau riscuri ridicate poate avea nevoie de mult mai multe intervenții.

• Un nou model operațional, o achiziție sau un serviciu critic introduce dependențe necunoscute.
• Un incident semnificativ dezvăluie confuzie în privința escaladării, impactului asupra clientului sau autorității de recuperare.
• Un test arată că soluția presupusă nu poate funcționa la scara necesară.
• O schimbare de furnizor modifică nivelul de concentrare, accesul la date sau fezabilitatea ieșirii.
• Un director își schimbă rolul în comitet sau preia o nouă responsabilitate.
• O schimbare importantă a legislației sau a cerințelor de supraveghere modifică deciziile pe care consiliul trebuie să le înțeleagă.

Desemnați o persoană care să urmărească aceste evenimente. Un registru care trimite doar notificări de expirare poate rata cele mai utile ocazii de învățare. Adăugați un câmp scurt despre nevoile de instruire la propunerile de schimbare importante și la acțiunile de după incidente, pentru ca programul să răspundă situației reale.

Rezervați timp pentru discuții. O informare de cinci minute care duce la o decizie clară și documentată poate fi mai utilă decât încă o oră de vizionare pasivă a diapozitivelor. Nu înseamnă că cinci minute ajung pentru întregul program, ci că relevanța și înțelegerea trebuie evaluate alături de durată.

Păstrați dovada învățării și a schimbărilor survenite ulterior

Păstrați o documentație pe care un coleg să o poată urmări fără explicații suplimentare: de la nevoia identificată, prin conținut și participare, până la evaluare și măsurile luate. Aceasta este structura pe care o propunem pentru evidențe, nu un set de câmpuri prescris exact de DORA.

1. Înregistrați participanții, rolurile lor și motivul atribuirii instruirii.
2. Păstrați programa, versiunea materialelor, data instruirii și data verificării surselor.
3. Înregistrați prezența sau finalizarea într-un mod care identifică participantul real.
4. Păstrați rezultatele evaluării și o relatare concisă a întrebărilor folosite.
5. Înregistrați lacunele, persoana responsabilă pentru rezolvarea lor și o dată de finalizare.
6. Corelați discuția de fond cu decizia relevantă a consiliului sau cu registrul de acțiuni.

Evaluați atât raționamentul, cât și memoria. „Ce articol acoperă guvernanța?” verifică memoria. „Furnizorul raportează recuperarea, dar reconcilierea tranzacțiilor este incompletă: ce dovezi solicitați înainte de reluarea serviciului normal?” testează o distincție executivă utilă. Participanții nu trebuie să aleagă aceleași opțiuni operaționale, dar trebuie să recunoască incertitudinile și să-și explice raționamentul.

Orice procent de finalizare trebuie însoțit de numărul total de persoane luate în calcul și de o dată. „Opt dintre cei zece membri vizați au terminat cursul de bază actual; pentru cei doi nou-numiți s-a programat instruirea inițială” spune mai mult decât „80% conformitate”. Stadiul instruirii și respectarea reglementărilor sunt lucruri diferite.

Stabiliți regulile de păstrare și acces cu responsabilii de protecția datelor, arhivare și guvernanță. Limitați accesul la evaluările individuale la persoanele care au nevoie de ele. Consiliului îi pot fi suficiente situația generală și lacunele rămase. Păstrați versiunea cursului care a fost parcursă, pentru a permite verificarea ulterioară a conținutului predat.

Exemplu practic: identificați nevoile de instruire pornind de la o întrerupere

Luați acest scenariu fictiv. La 09:15, portalul de tranzacții al unei companii financiare nu este disponibil. Furnizorul spune că infrastructura funcționează corect, dar nu poate confirma încă consistența tranzacțiilor în așteptare. Echipa de relații cu clienții primește reclamații despre plăți duplicate. Următoarea informare a conducerii trebuie prezentată peste douăzeci de minute.

Prima decizie: definiți problema în termeni de business

Cereți participanților să descrie serviciul afectat, clienții expuși și consecințele așteptării. Un răspuns bun distinge accesibilitatea serviciului de corectitudinea tranzacțiilor și arată ce nu se știe încă. Dacă discuția devine imediat o dispută despre termenii tehnici ai furnizorului, programul trebuie să explice mai bine legătura dintre faptele tehnice și consecințele pentru activitate.

A doua decizie: identificarea autorității și a escaladării

Întrebați cine poate limita procesarea tranzacțiilor, cine coordonează incidentul, cine aplică procedura de notificare și când primește consiliul o informare. Participanții trebuie să folosească rolurile și procedurile aprobate în propria organizație. Nu inventați un termen de notificare pentru exercițiu și nu condiționați respectarea unei obligații existente de o ședință plenară a consiliului, dacă echipa competentă este deja autorizată să acționeze.

A treia decizie: agreați dovezile de recuperare

Furnizorul anunță că platforma este din nou disponibilă. Un director ar trebui să întrebe ce reconciliere, verificări de business și măsuri de protecție a clienților susțin reluarea activității. Exercițiul ar trebui să permită managementului să explice diverse opțiuni și consecințele lor, inclusiv un serviciu parțial controlat. „Tabloul de bord este verde” este o observație, nu un argument complet pentru recuperare.

Încheiați cu o scurtă analiză. Poate consiliul a înțeles escaladarea, dar nu a făcut diferența dintre obiectivul de restabilire și ultimul rezultat demonstrat. Stabiliți o activitate de învățare punctuală, cereți responsabilului de serviciu să îmbunătățească raportul și reveniți la decizie într-o ședință ulterioară. Astfel legați învățarea de dovezi și de o supraveghere mai bună, fără a pretinde că un exercițiu de discuție demonstrează capacitatea tehnică de restabilire.

Evaluați un curs DORA raportat la nevoile consiliului de administrație

Precizați în cerințele de achiziție ce vor trebui să poată face participanții după curs. Solicitați programa, un scenariu pentru conducere, sursele juridice și data verificării lor, metoda de evaluare și conținutul evidențelor de finalizare. Întrebați cum actualizează furnizorul materialele atunci când se schimbă legislația sau cerințele autorităților de supraveghere.

Căutați limite explicite. Un curs de bază trebuie să spună ce teme necesită o discuție specifică organizației. Dacă un furnizor afirmă că absolvirea unui singur modul face compania conformă cu DORA, întrebați cum i-a evaluat modelul operațional, controalele, contractele și dovezile. Simpla furnizare a instruirii nu poate susține această afirmație.

Preferați explicațiile clare privind disponibilitatea, integritatea datelor, dependențele serviciului, recuperarea și asumarea riscului, în locul unui glosar extins. Un consiliu de administrație nu trebuie să configureze un firewall pentru a contesta o presupunere de recuperare nevalidată. Trebuie totuși să poată întreba ce a testat managementul și ce rămâne nesigur.

Programul Curs DORA de securitate cibernetică pentru membrii organelor de conducere și directori oferit de BlueTeam Academy cuprinde opt module și aproximativ trei ore de studiu ghidat, axate pe luarea deciziilor. Folosiți-l pentru o bază comună și adăugați prezentarea propriilor servicii, discuții adaptate rolurilor și un plan de instruire continuă. Finalizarea documentează învățarea; nu reprezintă o acreditare și nu confirmă conformitatea organizației cu DORA.

Un plan practic de 90 de zile pentru un consiliu deja în funcție

Aceasta este o secvență de implementare pentru îmbunătățirea unui program, nu o perioadă de grație reglementară. Prioritizați imediat lacunele urgente de cunoștințe acolo unde acestea afectează deciziile aflate deja în curs.

Numiți un coordonator al programului, păstrând responsabilitatea pentru fiecare temă la funcția competentă. Coordonatorul urmărește finalizarea și păstrează evidențele; responsabilul de risc verifică relevanța, responsabilii de servicii explică realitatea operațională, iar președintele asigură timp pentru o discuție utilă. Documentați gestionarea absențelor, a noilor numiri și a lacunelor rămase după evaluări.

La verificarea finală, examinați ca eșantion întregul dosar de instruire al unui participant și o acțiune rezultată din exercițiu. Puteți arăta atât că persoana a învățat ceva relevant, cât și că organizația a acționat asupra problemei identificate? Dacă lipsește una dintre legături, îmbunătățiți-o înainte de a adăuga conținut.

Aduceți aceste întrebări la următoarea ședință a consiliului

• Am identificat fiecare persoană căreia rolul îi impune această instruire?
• Poate fiecare membru să explice cea mai importantă dependență TIC a organizației?
• Include programul informații despre propriile servicii și dovezi ale capacității de restabilire?
• Ce incident recent, test sau schimbare ar trebui să modifice planul de instruire?
• Ce lacune de învățare nerezolvate ar putea influența o decizie în acest trimestru?
• Putem lega o activitate de instruire de o analiză critică mai bună sau de o acțiune finalizată?

Folosiți răspunsurile pentru a stabili o agendă concentrată. O conducere cu cunoștințe solide poate avea nevoie de o discuție detaliată despre un anumit furnizor. Un consiliu nou numit poate avea nevoie de elemente de bază înainte să poată interpreta tabloul de risc. Ambele ar trebui să poată explica de ce programul lor corespunde responsabilităților.

Consultați și ghidul nostru despre responsabilitățile consiliului conform DORA și modelul practic de tablou de bord DORA pentru consiliu. Împreună, acestea leagă ceea ce învață directorii de deciziile pe care le iau și de informațiile pe care le solicită.