DORA : l’échéance du 17 janvier 2025 est passée, la conformité continue
Cet article a été initialement publié avant l’entrée en application de DORA, alors que les organisations concernées se préparaient à l’échéance du 17 janvier 2025. Depuis cette date, le règlement Digital Operational Resilience Act (DORA) est pleinement applicable dans l’Union européenne et impose aux entités financières concernées de renforcer leur résilience opérationnelle numérique face aux risques liés aux technologies de l’information et de la communication (TIC).
À l’approche de cette échéance, selon une étude menée par le cabinet d’audit et de conseil Grant Thornton, 75 % des entreprises soumises à DORA avaient engagé, fin 2023, de premiers travaux de mise en conformité, mais la majorité d’entre elles n’en étaient encore qu’aux étapes initiales du projet. Cette donnée illustrait alors l’ampleur du travail restant à accomplir avant l’entrée en application du règlement.
Aujourd’hui, l’enjeu n’est plus seulement de se préparer à DORA, mais d’inscrire ses exigences dans la durée et de pouvoir démontrer les mesures effectivement mises en œuvre.
Chez ROK Solution, nous intervenons sur la dimension organisationnelle de cette conformité : relier les personnes, les rôles, les responsabilités, les droits d’accès et les workflows à l’organisation réelle, puis conserver une traçabilité exploitable et des preuves auditables des décisions et actions réalisées.
Qu’est-ce que DORA et pourquoi est-elle essentielle ?
La Digital Operational Resilience Act (DORA) établit un cadre réglementaire commun pour garantir que les institutions financières peuvent résister, se rétablir et poursuivre leurs activités en cas de perturbations liées aux TIC. Cette réglementation harmonise les pratiques de résilience numérique dans tout l’écosystème financier européen.
DORA est essentielle car elle :
- Renforce la sécurité numérique : Réduit les vulnérabilités et les risques IT.
- Protège la continuité des services financiers : Garantit la résilience des services critiques en cas de crise.
- Harmonise les pratiques européennes : Établit des standards communs pour anticiper et répondre aux menaces.
Périmètre d’application :
DORA s’applique à un large éventail d’acteurs du secteur financier européen, notamment :
- Établissements financiers : établissements de crédit, entreprises d’investissement, assurances et réassurances, sociétés de gestion et autres entités financières couvertes par le règlement.
- Fintechs et établissements de paiement : acteurs financiers numériques entrant dans le périmètre défini par DORA.
- Prestataires tiers de services TIC : DORA encadre les risques liés à leur utilisation et prévoit un dispositif européen de supervision spécifique pour ceux désignés comme critiques.
Ce cadre vise à mieux maîtriser les dépendances numériques internes et externes du secteur financier.
Objectifs principaux :
Les principaux objectifs de DORA sont :
- Renforcer la gestion des risques TIC : mieux identifier, prévenir et maîtriser les risques susceptibles d’affecter les systèmes et services numériques.
- Renforcer la continuité et la résilience opérationnelle : améliorer la capacité des organisations à résister, répondre et se rétablir face aux perturbations liées aux TIC.
- Créer un cadre européen harmonisé : établir des exigences communes de résilience opérationnelle numérique dans le secteur financier.
- Renforcer la gouvernance : clarifier les responsabilités et le rôle des organes de direction dans la gestion des risques liés aux TIC.
Exigences clés :
Le règlement DORA est applicable depuis le 17 janvier 2025. Il impose aux entités financières concernées un cadre commun en matière de gestion des risques TIC, de gestion et de notification des incidents, de tests de résilience opérationnelle numérique et de maîtrise des risques liés aux prestataires tiers de services TIC. En cas de manquement, les autorités compétentes disposent de pouvoirs de surveillance, de mesures correctives et de sanction. Les règles relatives aux sanctions administratives sont définies par les États membres conformément au cadre prévu par le règlement.
- Gestion des risques TIC : Mettre en place un cadre documenté permettant d’identifier, de protéger et de maîtriser les actifs, systèmes et services TIC ainsi que les risques associés.
- Continuité et résilience opérationnelle : Prévoir des dispositifs de continuité, de réponse et de rétablissement ainsi qu’un programme de tests de résilience adapté aux risques de l’organisation.
- Gestion des incidents TIC : Disposer de processus permettant d’identifier, de gérer, de classifier et, lorsque cela est requis, de notifier les incidents majeurs liés aux TIC.
- Gestion des prestataires tiers : Encadrer les risques liés aux fournisseurs de services TIC, documenter les relations contractuelles et maintenir les informations nécessaires à leur gouvernance.
- Traçabilité et reporting : Conserver les informations, décisions, actions et éléments de preuve nécessaires au suivi des obligations et aux échanges avec les autorités compétentes.
- Gouvernance et responsabilités : Définir clairement les rôles, responsabilités et mécanismes de gouvernance permettant de piloter la résilience opérationnelle numérique.
Comment ROK Solution vous aide à couvrir les exigences de DORA
ROK n’a pas vocation à remplacer les outils de cybersécurité, de détection d’incidents ou de tests de résilience. La plateforme intervient sur la gouvernance organisationnelle : elle relie les personnes, les rôles, les droits d’accès, les processus et les preuves nécessaires au suivi de la conformité.
1. Ancrer les droits dans l’organisation réelle
Un droit d’accès ne devrait pas être attribué indépendamment du contexte organisationnel de son titulaire.
ROK relie les identités et les droits aux postes, rôles, responsabilités, entités et rattachements réels de l’organisation.
Lorsqu’un collaborateur arrive, change de fonction ou quitte l’entreprise, les processus de modification ou de retrait des droits peuvent être déclenchés à partir de ce changement organisationnel.
2. Orchestrer les workflows et les validations
Les obligations de conformité impliquent de nombreuses actions réparties entre les équipes IT, sécurité, conformité, métiers et management.
ROK permet de modéliser et d’automatiser ces workflows : demandes, validations, tâches, notifications, collecte d’informations et escalades.
Chaque étape reste associée aux personnes et responsabilités définies dans l’organisation.
3. Structurer la gouvernance des tiers
ROK permet de rattacher les prestataires et populations externes à un sponsor, une entité, une mission, un périmètre et une durée.
Les workflows associés peuvent organiser les validations, les échéances, les revues et les actions liées aux droits d’accès.
ROK ne réalise pas l’audit cyber du fournisseur : il permet d’orchestrer le processus et d’en conserver la trace.
4. Produire une preuve auditable
Chaque changement peut être historisé : demande, responsable, validation, modification d’un droit, changement de rôle ou action réalisée.
Cette traçabilité permet de reconstituer le contexte d’une décision et de répondre à des questions simples mais essentielles :
– Qui disposait de ce droit ?
– À quel titre ?
– Qui l’a validé ?
– Quel changement organisationnel l’a déclenché ?
– Quand a-t-il été modifié ou retiré ?
La conformité ne repose alors plus uniquement sur des contrôles ponctuels : les éléments de preuve sont produits au fil des processus opérationnels.
Pourquoi choisir ROK Solution pour votre conformité DORA ?
- Un socle fondé sur l’organisation réelle : Reliez les collaborateurs, prestataires, postes, rôles, responsabilités et entités aux processus et aux droits d’accès qui leur correspondent.
- Gouvernance des identités et des accès : Contextualisez l’attribution, la modification et le retrait des droits en fonction du rôle et de la situation réelle de chaque utilisateur.
- Automatisation des workflows : Configurez en no-code vos processus de demande, validation, contrôle, notification et suivi, avec l’appui de l’IA générative.
- Traçabilité et preuve auditable : Historisez les demandes, validations, changements de droits et actions réalisées afin de conserver les éléments nécessaires aux contrôles et aux audits.
- Intégration au système d’information existant : Connectez ROK aux outils déjà en place afin d’orchestrer les processus sans remplacer votre SIRH, vos annuaires, vos applications métier ou vos solutions IAM.
- Collaboration stratégique : En partenariat avec SmartBot Consulting, associez expertise réglementaire et orchestration des processus pour structurer votre démarche DORA.
ROK Solution combine organisation dynamique, gouvernance des accès, automatisation no-code et IA générative pour transformer des exigences organisationnelles et réglementaires en workflows opérationnels. La plateforme permet notamment de relier les processus de conformité aux rôles et responsabilités réels de l’organisation et de conserver une trace des actions réalisées.
Grâce au no-code, les équipes peuvent concevoir et faire évoluer plus rapidement leurs workflows de conformité : demandes, validations, contrôles, collecte d’informations, notifications ou production d’éléments de preuve. ROK vient compléter les outils spécialisés déjà présents dans le système d’information plutôt que les remplacer.
ROK n’a pas vocation à détecter les cybermenaces, à réaliser des tests de résilience ou à évaluer les vulnérabilités techniques. La plateforme intervient sur la couche organisationnelle : relier les personnes, les rôles, les processus et les droits d’accès, puis conserver une preuve auditable des décisions et des actions réalisées.
En cas de manquement à DORA, les autorités compétentes disposent de pouvoirs de surveillance, de mesures correctives et de sanction. Les sanctions administratives applicables sont définies par les États membres dans le cadre prévu par le règlement européen.
Le règlement DORA étant applicable depuis le 17 janvier 2025, l’enjeu n’est désormais plus de se préparer à une échéance future, mais de pouvoir démontrer dans la durée la gouvernance, les contrôles et les actions mis en œuvre.
Collaboration avec SmartBot Consulting
Grâce à notre partenariat stratégique avec SmartBot Consulting, ROK Solution associe automatisation, orchestration des processus et traitement intelligent de l’information :
- RPA (Robotic Process Automation) : Automatisation de tâches répétitives et des échanges d’informations entre les outils lorsque cela est pertinent.
- BPM (Business Process Management) : Modélisation et orchestration de workflows impliquant plusieurs équipes, responsabilités et étapes de validation.
- OCR et IDP (Intelligent Document Processing) : Extraction et traitement automatisés d’informations issues de documents afin de les intégrer aux workflows.
Réservez une démonstration gratuite dès aujourd’hui !
Découvrez comment ROK Solution peut vous aider à orchestrer les processus, les responsabilités, les droits d’accès et les preuves associés à votre démarche DORA.
En moins de 30 minutes, nous vous montrerons comment notre plateforme peut :
- Structurer et automatiser vos workflows de conformité.
- Relier les rôles, responsabilités et droits d’accès à l’organisation réelle.
- Orchestrer les demandes, validations et actions entre vos équipes et vos outils.
- Conserver une traçabilité exploitable et des preuves auditables.
📩 Contactez-nous dès maintenant pour en savoir plus !
