Exigences DORA : Comment le logiciel de gestion des exigences soutient les institutions financières

Nous travaillons avec de nombreuses équipes dans les services financiers, et une chose est claire : la pression pour rester stable lors de problèmes technologiques ou d’événements cybernétiques est maintenant plus forte que jamais.

Les dirigeants travaillant dans les institutions financières nous disent qu’ils ne s’inquiètent pas seulement du temps d’arrêt du système. Ils s’inquiètent des preuves. Preuve que leurs processus, contrôles et dossiers peuvent tenir la route lors des audits.

C’est là que DORA change la donne. Elle établit un manuel de règles commun sur la façon dont les institutions financières devraient se préparer, répondre et se remettre des incidents liés aux TIC.

Ce blogue explique ce qu’est la DORA, son importance pour chaque institution financière, ce qu’elle attend du point de vue de la gestion des exigences, et comment un logiciel de gestion des exigences peut aider à cet égard.

Aperçu de la Loi sur la résilience opérationnelle numérique (DORA)

La Loi sur la résilience opérationnelle numérique (DORA) est un règlement de l’UE qui vise à protéger les réseaux et les systèmes d’information utilisés par les institutions financières.

La DORA est entrée en vigueur en janvier 2023 et a été pleinement appliquée à partir de 2025. Ainsi, toutes les entreprises qui opèrent dans le secteur financier en Europe, y compris les banques, assureurs, sociétés de paiement, entreprises fintech et fournisseurs tiers de services TIC (technologies de l’information et de la communication) destinés aux organisations financières, doivent respecter les exigences de conformité à la DORA. 

De plus, DORA n’est pas une note consultative souple, mais un manuel de règles juridiquement contraignant qui couvre comment les institutions financières de l’UE doivent gérer les risques et les rapports d’incidents TIC, effectuer des tests techniques et surveiller les fournisseurs de services TIC tiers afin de rendre les systèmes financiers plus stables et résilients.  

DORA oblige les équipes financières à s’appuyer sur des flux de travail structurés, des dossiers précis et des preuves qui peuvent tenir la route lors des audits. Donc, les équipes ne peuvent pas se contenter de méthodes informelles et de politiques dispersées.

Les cinq piliers de DORA

DORA repose sur cinq piliers fondamentaux, et chacun établit des responsabilités claires pour les institutions financières et leurs partenaires tiers en TIC. Ces piliers se soutiennent mutuellement et offrent une approche structurée de la gestion des TIC qui apporte clarté et plus de contrôle opérationnel.

Gestion des risques TIC

La gestion des risques TIC est une composante essentielle de la conformité au DORA, qui exige que les institutions financières identifient, évaluent et atténuent précisément les risques liés aux TIC. Elle encourage les institutions financières à établir un cadre pour surveiller continuellement les systèmes TIC et préparer des stratégies d’atténuation des risques. Son objectif principal est de maintenir la stabilité du système, d’identifier les petits problèmes aux premiers stades et de prévenir les catastrophes ou pannes.

Déclaration d’incidents

Le « rapport d’incidents » est un deuxième pilier de DORA, qui se concentre sur la normalisation du processus de signalement d’incidents dans les organisations financières européennes. Elle oblige les entités financières à préparer des rapports transparents qui expliquent clairement la cause et les étapes répétables de tout incident lié aux TIC. Cela est crucial pour instaurer la confiance et expliquer clairement l’incident aux parties prenantes et aux autorités réglementaires.

Essais numériques de résilience opérationnelle

La DORA encourage les institutions financières à vérifier leurs systèmes par des tests réguliers, des tests d’intrusion menacés par la menace (TLPT), des tests de résistance, etc. Ces tests aident à confirmer que leurs systèmes de récupération, plans de secours et contrôles techniques fonctionnent dans des conditions réelles.

Surveillance des fournisseurs tiers de TIC

En Europe, de nombreuses organisations financières dépendent de fournisseurs tiers de services ICP, et ce quatrième pilier de DORA met l’accent sur la gestion des risques associés à ces fournisseurs externes. La DORA exige que les entreprises surveillent ces partenaires avec le même soin qu’elles appliquent aux systèmes internes. Cela inclut les révisions de contrats, les vérifications de performance, les évaluations de risque et les stratégies de sortie appropriées. L’accent est mis sur l’évitement des lacunes de service causées par des problèmes avec les fournisseurs.

Partage d’information

Le cinquième pilier encourage les entreprises financières à partager des informations liées aux menaces et incidents cybernétiques au sein d’organisations de confiance. Ces échanges doivent respecter des règles convenues et utiliser des canaux sécurisés. L’objectif de ce partage d’informations est de sensibiliser aux incidents et d’améliorer la résilience collective.

Ce que DORA attend du point de vue de la documentation et des exigences

DORA met fortement l’accent sur la façon dont les institutions financières définissent, suivent, documentent et gèrent les besoins en TIC. Voici ce qu’elle attend de toute organisation financière du point de vue de la gestion des besoins :

• Exigences structurées : DORA attend des exigences bien définies et structurées. Chaque exigence devrait avoir des critères d’acceptation clairement définis.
• Contrôles liés : Chaque exigence devrait être liée à des exigences de niveau supérieur, des tâches, des cas de test ou des étapes techniques qui les amènent en production.
• Cadre documenté des risques TIC : Chaque institution financière doit documenter son cadre de gestion des risques TIC et doit avoir des dossiers pour ses mises à jour de version, qui a approuvé les changements, et tout le reste.
• Dossiers traçables : Les auditeurs devraient pouvoir suivre un parcours direct du risque à l’exigence, puis au contrôle puis au résultat des tests. Cela signifie que toute la chaîne doit rester liée, et non stockée dans des fichiers séparés.
• Modèles cohérents : Pour les documents, rapports d’audit, cas de test, exigences, etc., les organisations doivent utiliser des modèles prédéfinis afin de maintenir la cohérence dans la gestion des exigences pour les institutions financières.
• Mises à jour en direct : Lorsque des exigences changent, les exigences et documents connexes doivent être mis à jour pour que tout soit synchronisé.
• Cartographie des fournisseurs : Chaque fournisseur externe doit avoir des exigences liées à ses fonctions, risques et portée de service. Cela prouve une négligence.
• Trace des preuves : Les institutions financières sont tenues de fournir une chaîne de preuves propre pour chaque incident. Ils devraient aussi documenter ce qu’ils ont prévu, comment ils l’ont exécuté et testé, et comment ils ont préparé la documentation pour une future révision.

Pour répondre aux exigences DORA ci-dessus, les équipes n’ont tout simplement pas besoin d’une stratégie bien structurée, mais aussi d’une plateforme de gestion des exigences. C’est ce dont nous allons parler dans la prochaine section.

Comment un logiciel de gestion des exigences comme Modern Requirements4DevOps aide à la conformité DORA

Modern Requirements4DevOps est un outil de gestion des exigences conçu pour des industries fortement réglementées, comme l’assurance, la finance, la banque, le gouvernement, etc., qui fonctionne directement dans Azure DevOps. Voici comment il aide de se conformer aux exigences de la DORA :

• Offre une seule source de vérité : Comme Modern Requirements4DevOps fonctionne directement dans votre espace de travail Azure, vous avez toutes les fonctionnalités de gestion des exigences au même endroit, et vous n’avez pas besoin de changer d’outil.
• Traçabilité entre systèmes et contrôles des risques : DORA s’attend à ce que les organisations relient chaque exigence aux cas de test, aux tâches pertinentes, et tout le reste. MR4DevOps permet la création de matrices horizontales et d’intersection d’un simple clic et visualise la relation entre les éléments de travail existants.
• Gérer les changements réglementaires au fil du temps : DORA s’attend à enregistrer chaque changement d’exigences. La fonction de contrôle de version de MR4DevOps aide les équipes à vérifier l’historique des exigences ou des mises à jour de documents. De plus, les bases aident les équipes à comparer les anciennes et nouvelles versions. De plus, la fonction d’évaluation d’impact aide à suivre comment un changement dans un élément de travail particulier peut affecter d’autres éléments existants.
• IA pour la gestion des exigences : Copilot4DevOps travaille avec Modern Requirements4DevOps, qui est un assistant IA pour la gestion des exigences. Il aide à rédiger des exigences et des cas de test afin qu’aucune exigence ne soit manquée. Il permet également une analyse des exigences basée sur l’IA, aidant les équipes à s’assurer que toutes les exigences TIC sont conformes à DORA.
• Parcours d’approbation pour chaque changement : MR4DevOps offre une fonction de gestion de la révision, qui enregistre la signature électronique des approbateurs de modifications et les échéanciers des modifications. Cela correspond aux attentes de DORA concernant des rôles clairs, des mises à jour responsables et des décisions vérifiables.
• Modèles cohérents pour les flux de travail de risques, de tests et d’incidents : La fonctionnalité SMartDocs permet aux équipes de créer des documents intégrés, dans lesquels elles peuvent glisser-déposer les exigences existantes. Donc, chaque fois qu’une exigence change, le document se met automatiquement à jour. Il offre aussi des modèles préétablis pour gérer la conformité DORA, ce qui aide à générer des documents cohérents.
• Automatisation de la préparation à l’audit et de la collecte de preuves : Lors des tests ou de l’examen d’incident, les dossiers de preuves peuvent être joints directement à l’exigence ou au contrôle lié. Au moment de l’audit, les organismes de réglementation voient la preuve sous un seul angle plutôt que dans plusieurs dossiers.

De cette façon, Modern Requirements4DevOps peut aider toute institution financière à rendre son système TIC conforme à la DORA.

Si votre établissement se prépare à DORA ou cherche à renforcer le contrôle opérationnel, c’est le bon moment pour mettre à jour votre processus d’exigence en lançant un essai gratuit de 30 jours de Modern Requirements4DevOps.