Organiser la mise en œuvre
Vérifier d’abord l’applicabilité au cas concret et la version des textes, distinguer obligation, recommandation et choix de gestion.
Ne pas présenter DORA comme applicable indistinctement à toute entreprise ou tout fournisseur. Vérifier le rôle et le régime exacts auprès des autorités compétentes.
Couvrir qualification, fonctions critiques ou importantes, risques TIC, contrats, incidents, tests et gouvernance.
La direction gouverne, les fonctions risques et conformité qualifient, et la DSI, sécurité et achats mettent en œuvre leurs contrôles.
Un dossier de périmètre DORA et un dispositif de suivi des obligations applicables.
Application à votre contexte
Les trois actions proposées ci-dessous constituent un point de départ. Validez les résultats avec leurs utilisateurs et ajustez le niveau de détail avant d'étendre la démarche.
Commencez par qualifier l'activité, les données, les acteurs et le rôle de l'organisation. Les obligations ne s'appliquent pas toutes de la même façon à tous les services. Reliez les exigences retenues à des mesures et à des preuves plutôt que de collectionner des textes.
Trois actions de départ
- Vérifier les obligations applicables à l’entité
- Relier services et dépendances aux contrôles
- Constituer les preuves et plans d’amélioration