DORA-efterlevnad för finansteam: vad europeiska företag behöver veta

DORA — Digital Operational Resilience Act — är en av de mest betydelsefulla delarna av europeisk finansreglering på senare år. Om ditt företag är beroende av leverantörer av finansiella tjänster är det värt att förstå vad den ändrar, även om skyldigheterna i första hand ligger hos dina leverantörer.

Vad är DORA?

DORA är en EU-förordning utformad för att göra finanssektorn motståndskraftig mot digitala störningar. Den fastställer gemensamma krav på hur finansiella enheter hanterar risk inom informations- och kommunikationsteknik (IKT) — och täcker styrning, incidentrapportering, motståndskraftstestning och tillsyn av tredjeparts teknikleverantörer.

Vem den gäller för

DORA gäller brett över reglerade finansiella enheter och de kritiska teknikleverantörer som betjänar dem. För de flesta företag som använder en fintech-plattform är den praktiska effekten att din leverantör och dess bankpartner måste uppfylla en högre, harmoniserad nivå för operativ motståndskraft.

Centrala krav

På en övergripande nivå kräver DORA att företag identifierar och hanterar IKT-risk, rapporterar större incidenter inom fastställda tidsramar, testar sin motståndskraft regelbundet och hanterar koncentrationsrisk i sin teknikförsörjningskedja. Avsikten är att ett teknikfel hos en leverantör inte ska kaskada ut i en bredare störning.

Vad det betyder för din finansstack

När du väljer finansiella leverantörer är det rimligt att fråga hur de hanterar operativ motståndskraft — säkerhetskopior, incidenthantering och kontinuitet. En leverantör som tar DORA på allvar är en vars tjänster är mindre benägna att lämna dig strandsatt under ett avbrott.

Eduvo är byggt för operativ motståndskraft i linje med DORA, med övervakning, säkerhetskopior och incidenthanteringsprocesser över plattformen och våra reglerade partner. Den här artikeln är allmän information, inte juridisk rådgivning — bekräfta dina egna skyldigheter med kvalificerad rådgivning.

Varför DORA når längre än folk förväntar sig

Digital Operational Resilience Act arkiveras ofta under "ett problem för IT-avdelningen," men den inramningen underskattar kraftigt dess räckvidd. DORA handlar i grunden om motståndskraften hos finanssystemets digitala ryggrad, och den ryggraden löper rakt genom finansfunktionen. De verktyg ett finansteam förlitar sig på för att flytta pengar, utfärda kort, hantera likviditet och stänga böckerna är precis den sortens kritiska tjänster DORA bryr sig om. Om de tjänsterna fallerar är konsekvenserna finansiella och operativa, inte bara tekniska.

För finansledare är den praktiska implikationen att DORA är en anledning att ställa hårdare frågor till de leverantörer de är beroende av — och att förvänta sig tydliga, belagda svar.

De fyra skyldigheter som spelar störst roll

DORA organiserar sina krav i några få breda områden. Det första är IKT-riskhantering: leverantörer måste identifiera, skydda mot, upptäcka och återhämta sig från teknikrisker på ett strukturerat, dokumenterat sätt. Det andra är incidentrapportering: betydande operativa incidenter måste upptäckas, klassificeras och rapporteras inom fastställda tidsramar, vilket innebär att dina leverantörer behöver mogen övervakning snarare än att hoppas att problem håller sig tysta. Det tredje är motståndskraftstestning: system måste testas regelbundet, inklusive mot realistiska hotscenarier, inte bara godkännas en gång och glömmas. Det fjärde är tredjeparts-riskhantering, som formaliserar förväntningen att finansiella enheter förstår och hanterar risken i sina egna försörjningskedjor — inklusive de leverantörer deras leverantörer är beroende av.

Vad du ska fråga dina finansteknikleverantörer

Eftersom DORA skjuter ansvar uppåt i kedjan är det mest användbara ett finansteam kan göra att utfråga sina leverantörer ordentligt. Fråga var dina data behandlas och lagras, och om de stannar inom EES eller Storbritannien. Fråga hur incidenter upptäcks och hur snabbt du skulle få veta om en påverkade dig. Fråga vad återhämtningsmålen är — hur snabbt kritiska tjänster kommer tillbaka efter en störning, och hur mycket data som skulle kunna gå förlorad i värsta fall. Fråga hur leverantören hanterar sina egna underleverantörer, eftersom deras svaga länk blir din. En leverantör som kan besvara dessa tydligt och backa svaren med certifieringar är en som har tagit motståndskraft på allvar.

Motståndskraft som en funktion, inte en kryssruta

Det är lätt att behandla efterlevnad som en kryssrutsövning, men DORA belönar en djupare hållning. Operativ motståndskraft — förmågan att fortsätta köra, eller återhämta sig snabbt, när något går fel — är genuint värdefull för ett företag oberoende av all reglering. En finansplattform som är byggd för att hålla sig uppe, som växlar över rent, och som återhämtar sig snabbt är helt enkelt bättre att förlita sig på. Regleringen kodifierar i praktiken vad en välskött leverantör ändå skulle göra.

Att bygga in DORA i upphandling

Det mest effektiva sättet att hantera DORA är att vika in den i hur du väljer och granskar leverantörer snarare än att behandla den som ett separat årligt projekt. Gör motståndskraftsbevis till en del av leverantörsvalet. Håll ett levande register över de kritiska leverantörer du är beroende av och vad var och en gör för dig. Återbesök det periodiskt, eftersom både dina beroenden och leverantörernas egna omständigheter ändras. Hanterat på detta sätt slutar DORA vara en efterlevnadsbörda påskruvad vid årets slut och blir en förnuftig disciplin som gör din finansverksamhet mer robust som en självklarhet.