Grille de lecture
DORA : gouvernance du risque TIC et risque tiers
Le règlement DORA (Digital Operational Resilience Act) repose sur cinq piliers. Cette page couvre volontairement les deux sur lesquels j'ai une pratique terrain vérifiable en modernisation Core Banking — pas les cinq. Les trois autres (gestion des incidents, tests de résilience, partage d'information) ne sont pas traités ici.
1. Gouvernance et gestion du risque TIC
- 1. Cartographie des fonctions critiques — identifier précisément quelles fonctions métier dépendent de quels systèmes, jusqu'au composant legacy — une cartographie incomplète est le premier signal de risque relevé en audit.
- 2. Responsabilité du Comex formalisée — le risque TIC doit être porté explicitement par l'organe de direction, pas délégué implicitement à la DSI seule.
- 3. Plan de continuité documenté et testé — au-delà du document : vérifier que le plan a été exercé, pas seulement rédigé.
2. Gestion du risque tiers TIC
- 1. Cartographie des prestataires critiques — lister les fournisseurs TIC dont une défaillance interromprait un service essentiel, y compris les sous-traitants de rang 2.
- 2. Clauses de sortie contractuelles — vérifier que chaque contrat critique prévoit une clause de sortie exploitable (réversibilité, portabilité des données), pas une clause de sortie de principe jamais testée.
- 3. Plan de sortie fournisseur cloud — un scénario concret de bascule ou de rapatriement, chiffré et daté — pas une intention.
Cette grille accompagne un mandat de Tech Due Diligence ou d'architecture stratégique ; elle ne remplace pas un audit de conformité réglementaire formel.