DORA Riscul TIC al terților: Ghid pentru supravegherea consiliului

1. Începe cu serviciul pe care compania trebuie să continue să îl livreze

Un raport de achiziții începe, de obicei, cu furnizorii, cheltuielile anuale și datele de reînnoire. O discuție DORA utilă în consiliu începe cu rezultatul pentru client: plata unei despăgubiri, efectuarea unei plăți, menținerea unui registru de investiții sau acordarea accesului unui client la un cont. Mergeți apoi înapoi, prin sisteme, servicii externe și oameni, până la livrarea acelui rezultat.

Aceasta schimbă întrebarea din „Ne-am evaluat furnizorul de cloud?” în „Ce se întâmplă cu acest serviciu dacă platforma de identitate, regiunea de hosting sau furnizorul de suport devin indisponibile?” A doua întrebare expune dependențe pe care un scorcard de furnizor le poate omite. Un serviciu de autentificare ieftin poate bloca mai multe activități decât un contract software mare.

Punctul legal de pornire este că utilizarea serviciilor TIC nu transferă obligațiile entității financiare către furnizor. DORA încadrează riscul terților TIC în cadrul de management al riscurilor entității. A se vedea Articolul 28 al Regulamentului (UE) 2022/2554. Interpretarea și metodele de lucru din acest ghid sunt recomandări practice; nu reprezintă o enumerare exhaustivă a tuturor cerințelor aplicabile fiecărui tip de entitate.

Pentru un referat de consiliu, solicitați sponsorului executiv să identifice serviciul de business afectat, proprietarul intern responsabil, durata acceptabilă a întreruperii, expunerea actuală și decizia necesară. Detaliile tehnice să fie prezentate în materialul suport. Directorii au nevoie de suficiente informații pentru a contesta o presupunere, fără să devină echipa de incident sau să negocieze individual fiecare clauză contractuală.

2. Nu confunda o funcție critică cu un furnizor critic desemnat

Două evaluări răspund la întrebări diferite. Entitatea ta stabilește care funcții sunt critice sau importante în cadrul DORA. Autoritățile europene de supraveghere desemnează furnizorii ICT terți critici pentru cadrul de supraveghere al Uniunii. ESMA explică faptul că această supraveghere completează responsabilitățile proprii ale entităților financiare; nu le înlocuiește. Vezi Explicația ESMA despre supravegherea DORA.

Aplică această distincție unui furnizor specializat mic. Acesta poate susține singura ta cale către un serviciu financiar important fără să apară pe lista furnizorilor desemnați. De asemenea, achiziționarea unui serviciu minor de la un furnizor desemnat foarte mare nu elimină necesitatea evaluării utilizării efective. Stochează aceste două clasificări separat pentru a preveni ca un câmp „critic: da/nu” să influențeze în mod eronat toate deciziile ulterioare.

3. Fă registrul complet, conectat și explicabil

Registrul nu se limitează la contractele care susțin funcții critice sau importante. Articolul 28(3) acoperă toate aranjamentele contractuale pentru servicii TIC furnizate de terțe părți TIC, distingând totodată aranjamentele ce sprijină aceste funcții. Regulamentul de punere în aplicare (UE) 2024/2956 oferă șabloanele standard, inclusiv informații suplimentare pentru evaluare și despre lanțul de aprovizionare relevante pentru funcțiile critice sau importante.

O verificare practică a completitudinii începe prin compararea registrului cu datele de achiziții, plățile recurente, inventarul de aplicații și cunoștințele deținătorilor de servicii. Diferențele constituie subiecte de investigație, nu dovezi automate ale unei breșe: o factură poate reprezenta un serviciu non-ICT, sau mai multe facturi pot aparține aceleiași aranjări. Documentează concluzia, nu elimina discrepanța fără a o menționa.

Solicită cuiva din afara echipei de mentenanță a registrului să urmărească o dependență cap-coadă. Pot identifica entitatea contractantă, utilizatorul real al serviciului, furnizorul, funcția susținută, responsabilul și contractul actual? Pot distinge o aranjare externă de aranjamentul grupului intern asociat? Dacă legăturile nu pot fi explicate, exportarea unui fișier tehnic valid nu a rezolvat problema de management.

• Alocați un responsabil desemnat pentru întrebările nerezolvate privind clasificarea și deținerea.
• Înregistrați data și motivul modificării, în special după achiziții sau migrații de servicii.
• Reconcilierea modificărilor trebuie făcută atunci când un nou serviciu este aprobat, nu doar înainte de termenul de depunere.
• Afișează golurile de acoperire și vechimea către executivi, nu doar un total al furnizorilor.

Consiliul nu trebuie să aprobe fiecare rând din tabel. Este nevoie de siguranța că există un responsabil pentru completitudine, incertitudinea este vizibilă și dependențele importante primesc atenția cuvenită.

4. Transformă politica pentru terți în puncte de decizie

O politică devine utilă atunci când schimbă o decizie înainte ca organizația să devină dependentă. Pentru entitățile supuse cerințelor politice relevante, Regulament delegat (UE) 2024/1773 abordează ciclul de viață al aranjamentelor care susțin funcții critice sau importante. Solicită revizuirea politicii de către organul de conducere cel puțin anual și actualizarea acesteia atunci când este necesar. Aplicabilitatea și proporționalitatea trebuie verificate raportat la categoria de reglementare a entității.

Următoarele etape reprezintă un model operațional sugerat. Înainte de selecție, proprietarul de business descrie serviciul și consecințele eșecului. Înainte de semnare, riscul, securitatea, juridicul și achizițiile identifică împreună problemele nerezolvate. Înainte de lansare, operațiunile demonstrează că există aranjamente de monitorizare, suport și recuperare. La reînnoire sau schimbare substanțială, proprietarul reevaluează dacă presupunerile originale mai sunt valide.

La fiecare etapă, separați trei afirmații: dovezile obținute, judecata formulată și excepția acceptată. Raportul de asigurare al unui furnizor reprezintă o dovadă. O concluzie că acoperă în mod adecvat utilizarea serviciului este o judecată. Continuarea în ciuda unei lacune nerezolvate reprezintă o excepție ce necesită o decizie autorizată, condiții și o dată de expirare.

Nu lăsați ca orice problemă să devină „acceptată de către organizație”. Identificați cine are autoritatea de a accepta ce expunere în conformitate cu aranjamentele de guvernanță ale organizației. Escalați dependențele ale căror consecințe depășesc această autoritate. Cea mai valoroasă contribuție a consiliului poate fi finanțarea unei capacități de recuperare lipsă sau respingerea unei lansări grăbite ale cărei ipoteze de reziliență rămân netestate.

5. Contestă concentrarea dincolo de graficul cheltuielilor cu furnizorii

Concentrarea se referă la eșecul corelat, precum și la dependența comercială. Două contracte cu denumiri diferite pot depinde de aceeași platformă de găzduire, furnizor de conectivitate, serviciu de identitate sau subcontractant specializat. Două regiuni cloud pot împărți același plan de administrare. Acestea sunt aspecte arhitecturale pe care un grafic de achiziții nu le poate lămuri.

DORA Articolul 29 abordează evaluarea riscului de concentrare ICT. Pentru o discuție practică la nivelul board-ului, cereți managementului să prezinte câteva eșecuri de dependență plauzibile și să arate ce servicii de business eșuează împreună. Faceți vizibile presupunerile: disponibilitatea personalului, accesul la chei, conectivitatea, coerența datelor și capacitatea alternativei propuse.

Mai mulți furnizori pot crește, de asemenea, complexitatea, costul operațional și riscul de coordonare. Obiectivul practic nu este interzicerea universală a concentrării sau cerința duplicării infrastructurilor oriunde. Este o alegere informată privind o expunere specifică, susținută de opțiuni credibile și de un responsabil clar. Înregistrează de ce măsura de atenuare selectată este proporțională și ce eveniment ar genera reconsiderarea acesteia.

6. Revizuiește dovezile contractuale în raport cu serviciul efectiv folosit

O etichetă care spune „Anexă DORA semnată” este prea generală pentru o supraveghere eficientă. Articolul 30 stabilește cerințe contractuale, cu prevederi suplimentare pentru serviciile TIC care susțin funcții critice sau importante. Consilierii juridici ar trebui să coreleze cerințele aplicabile cu aranjamentul efectiv. Comparația de mai jos este un instrument practic pentru identificarea diferențelor, nu un substitut pentru formularea contractuală.

Analizează rapoartele de asigurare ținând cont de limitele lor. Ce perioadă acoperă? Ce configurație a serviciului a fost evaluată? Sunt asumate responsabilități din partea clientului? Raportul exclude o componentă pe care se bazează planul tău de recuperare? Un certificat actual poate fi util, dar poate lăsa un răspuns operațional specific fără răspuns.

Ține un jurnal concis de diferențe care leagă fiecare problemă de o consecință pentru afacere, măsură compensatorie, responsabil și termen limită. Prezintă materialul pentru consiliu cu expunerile nerezolvate și deciziile care depășesc autoritatea delegată. Evită ascunderea unei lacune semnificative sub un procent ridicat de clauze marcate ca finalizate: o singură capacitate lipsă poate conta mai mult decât multe aspecte cu impact redus închise.

7. Testați dacă planul de ieșire poate fi executat

Un drept contractual de a părăsi serviciul și o capacitate operațională de a părăsi serviciul sunt active diferite. Prevederile DORA privind ieșirea din servicii care sprijină funcții critice sau importante apar în Articolul 28(8). În practică, consiliul ar trebui să conteste ipotezele pe care se bazează planul: destinație, date, persoane, timp, bani și continuitatea serviciului.

Distanțați o migrare planificată de o întrerupere de urgență. Un program de migrare de șase luni poate fi realist comercial, dar inutil ca răspuns imediat la o indisponibilitate de serviciu. Planul de recuperare poate menține serviciul funcțional, în timp ce planul de ieșire abordează dependența pe termen lung. Cereți managementului să explice relația dintre acestea, nu prezentați oricare dintre documente ca soluție universală.

1. Alege un serviciu reprezentativ și definește declanșatorul de ieșire.
2. Exportă un eșantion controlat de date solicitate cu protecție adecvată.
3. Verificați că destinația poate citi și reconcilia datele, nu doar să stocheze un fișier.
4. Verifică drepturile de acces, licențele, competențele de specialitate și suportul contractual pentru tranziție.
5. Măsoară timpul și identifică munca manuală, dependențele lipsă și presupunerile netestate.
6. Update the cost, sequence, accountable owner and next test date.

Aceasta este o secvență de test sugerată, nu o cerință de a efectua o migrare necontrolată în producție. Selectați teste sigure, relevante pentru serviciu, și documentați limitele lor. Dacă a fost testată doar o mostră mică, menționați asta. Dacă o alternativă nu este pregătită, raportați deschis această limitare și arătați decizia de risc intermediară. Un status verde nu ar trebui să însemne niciodată doar existența unui document.

8. Folosiți un material scurt pentru consiliu cu decizii atașate

Un pachet de supraveghere util se poate construi în jurul a cinci întrebări: ce s-a schimbat, ce ar putea eșua concomitent, ce garanție s-a slăbit, ce opțiuni rămân și ce decizie trebuie luată? Aceasta este o structură de raportare sugerată. Frecvența ar trebui să reflecte riscurile și structura de guvernanță ale organizației, nu un calendar DORA universal inventat trimestrial.

Includeți cele mai puține dependențe cu cele mai mari consecințe de business, schimbări recente care le afectează, acțiuni materiale restante și următoarea decizie relevantă de contract sau migrare. Explicați tendințele. Un număr în creștere de furnizori poate însemna o inventariere mai bună, nu neapărat mai multă expunere. Fewer open actions poate însemna remediere reală sau o schimbare în modul de numărare a acțiunilor.

• Legăturați fiecare risc material de un serviciu de afaceri susținut și un executiv responsabil.
• Distingeti capacitatea de recuperare testată de o țintă sau de promisiunea unui furnizor.
• Afișează excepțiile contractuale, golurile nerezolvate de asigurare și vechimea lor.
• Identifică modificările de concentrare și ipotezele care necesită dovezi noi.
• Precizează decizia solicitată, alternativele analizate și consecința amânării.

Utilizați Ghid pentru tabloul de bord de raportare către consiliu DORA pentru a corela aceste măsuri cu supravegherea mai largă a riscului TIC. Pentru un exercițiu practic, analizează o dependență de consecință majoră în cadrul exercițiu de simulare a reacției la incidente cu tablă pentru consiliu. Consiliul ar trebui să recunoască aceleași denumiri de servicii, responsabili de risc și presupuneri de recuperare în toate cele trei discuții.

9. Pregătiți următoarea discuție în jurul unei dependențe reale

Nu începeți prin a cere fiecărei echipe să reproiecteze fiecare raport. Selectați un serviciu important și solicitați un lanț coerent de dovezi: evaluare a funcției, înscriere în registru, contract, revizuire de asigurare, test de recuperare și plan de ieșire. Rugați diferiți responsabili să parcurgă împreună acest traseu. Identificatorii conflictați, presupunerile învechite și acțiunile fără proprietar vor deveni rapid vizibile.

Transformă constatările într-un plan scurt de îmbunătățire. Rezolvă mai întâi lipsa de responsabilitate și inventariere. Apoi abordează deciziile sensibile la timp din cauza reînnoirii, migrației sau expunerii. În final, îmbunătățește procesul recurent de supraveghere pentru ca aceleași lacune să nu reapară. Atribuie fiecărei acțiuni un rezultat verificabil, nu doar o instrucțiune de tipul „îmbunătățește guvernanța”.

Directorii trebuie, de asemenea, să aibă o înțelegere comună a rolului lor. ghid privind cerințele de instruire a consiliului de administrație DORA explică modul de conectare a învățării cu responsabilitățile de guvernanță. Academia BlueTeam DORA Instruire pentru Consiliu & Executiv oferă un program orientat pe decizii pentru echipele de conducere ale entităților financiare aflate în sfera de aplicare DORA. Programul nu reprezintă o evaluare a conformității organizației. Conectați învățarea cu dovezi, decizii și acțiuni ulterioare proprii serviciului dumneavoastră.