DORA Lead Manager

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. Domaine 1 : Principes et concepts fondamentaux

   Lors d'une réunion de l'organe de direction d'une banque néerlandaise de taille moyenne, un administrateur demande au responsable de la conformité d'indiquer l'amende administrative la plus élevée que DORA fixe lui-même pour une entité financière qui enfreint les exigences du règlement en matière de gestion du risque lié aux TIC, afin que le montant puisse être cité dans le registre des risques de la banque. Que doit répondre le responsable de la conformité ?

   1. Jusqu'à 10 millions d'EUR ou, si plus élevé, 2 % du chiffre d'affaires annuel mondial total.
   2. Au moins 1 million d'EUR, le plancher que DORA fixe pour les sanctions adoptées par les États membres.
   3. Jusqu'à 1 % du chiffre d'affaires quotidien moyen réalisé au niveau mondial l'année précédente, pour chaque jour d'infraction.
   4. Aucune dans DORA lui-même : les montants sont laissés aux règles adoptées par chaque État membre.

2. Domaine 2 : Préparation et planification de la mise en œuvre

   Étude de cas 1 - Valdoria Banco Cooperativo (5 questions) Valdoria Banco Cooperativo est un établissement de crédit coopératif de taille moyenne dont le siège est à Porto, au Portugal, avec 640 salariés et un organe de direction de 9 membres. L'organe de direction a approuvé le programme de préparation à DORA de la banque le 12 février 2025. Le chef de projet a ensuite mené une analyse des écarts portant sur 41 exigences de DORA, fondée sur des entretiens avec 22 membres du personnel et l'examen de 64 documents : 9 exigences ont été jugées non satisfaites, 17 partiellement satisfaites et 15 satisfaites. Le commanditaire du projet a demandé que le rapport d'écarts classe chaque écart selon l'exposition réglementaire et fixe une date cible de clôture. La banque s'appuie sur 3 prestataires tiers de services TIC pour des fonctions critiques ou importantes, dont une société de Madrid, en Espagne, qui héberge la plateforme bancaire centrale. Pendant le diagnostic, le directeur des risques a proposé que la fonction de gestion des risques soit à la fois propriétaire et exploitante des contrôles d'accès de la plateforme bancaire centrale ; le responsable de l'audit interne s'y est opposé. Les registres de formation montrent que seuls 2 des 9 membres de l'organe de direction ont suivi une formation sur le risque lié aux TIC au cours des 24 derniers mois. Le comité des représentants du personnel n'a pas répondu à deux demandes d'observations sur le projet et a évité de prendre position à son sujet. Question 3 sur 5 : Quelle position le chef de projet doit-il prendre sur la proposition du directeur des risques concernant les contrôles d'accès de la plateforme bancaire centrale ?

   1. La rejeter en partie : la gestion des risques peut être propriétaire des contrôles d'accès, mais doit en laisser l'exploitation quotidienne à l'informatique.
   2. La rejeter et laisser les contrôles d'accès aux propriétaires métier et informatiques de la plateforme.
   3. L'accepter : la deuxième ligne gère les risques et les contrôles, elle peut donc les exploiter.
   4. La rejeter : les contrôles d'accès doivent être exploités par l'audit interne, qui donne une assurance indépendante à l'organe de direction.

3. Domaine 3 : Gestion du risque TIC et gestion des incidents

   Un établissement de crédit letton exploite son système d'octroi de prêts sur un produit de base de données tiers dont l'appui étendu prend fin dans six mois ; l'éditeur propose un appui sur mesure pour deux années supplémentaires moyennant un coût additionnel. Pour cet actif, le registre des actifs de TIC consigne l'identifiant unique, l'emplacement, la classification, le propriétaire, les fonctions soutenues, le RTO et le RPO, l'exposition aux réseaux externes et les liens avec d'autres actifs. Que doit ajouter le gestionnaire des actifs pour cet actif ?

   1. Son RTO, son RPO et ses autres exigences de continuité, telles qu'elles sont consignées pour chaque actif soutenant une fonction.
   2. Une date de fin d'appui fixée au terme de l'appui étendu, l'appui sur mesure ne comptant pas au titre de la politique.
   3. Son exposition aux réseaux externes, y compris l'internet, ainsi que l'exige la politique de gestion des actifs de TIC.
   4. Les dates d'expiration de l'appui régulier, étendu et sur mesure de l'éditeur, exigées par la politique des actifs.

4. Domaine 4 : Tests de résilience et risques liés aux tiers

   Une entreprise d'investissement lettone de 7 salariés et d'un chiffre d'affaires annuel de 1,6 million d'EUR demande à son consultant si elle doit établir l'intégralité du programme de tests de résilience opérationnelle numérique que DORA décrit, avec des tests par des parties indépendantes et des tests annuels des systèmes soutenant des fonctions critiques ou importantes. Que doit conseiller le consultant ?

   1. Se préparer à réaliser un test de pénétration fondé sur la menace tous les trois ans.
   2. Appliquer une approche fondée sur les risques combinée à une planification stratégique de ses tests de TIC.
   3. Mettre en place un programme de tests complet, testant les systèmes critiques au moins une fois par an.
   4. Exécuter le programme complet à une échelle proportionnée, DORA n'exemptant les microentreprises que des TLPT.

5. Domaine 5 : Formation, audit et amélioration continue

   Une banque belge conçoit un programme pour développer les compétences dont ses nouveaux analystes du centre des opérations de sécurité ont besoin pour trier les alertes, investiguer les incidents et les faire remonter correctement. Dans la stratégie de formation et de sensibilisation de la banque, comment ce programme doit-il être classé ?

   1. Comme formation.
   2. Comme sensibilisation.
   3. Comme évaluation des compétences.
   4. Comme formation croisée.

6. Domaine 1 : Principes et concepts fondamentaux

   Un système multilatéral de négociation à Malte, agréé en tant que plate-forme de négociation, emploie 6 personnes et affiche un chiffre d'affaires annuel et un total de bilan de 1,5 million d'EUR chacun. Son responsable de la conformité prévoit de recourir au traitement allégé que DORA accorde aux microentreprises, comme le réexamen périodique du cadre de gestion du risque lié aux TIC au lieu d'un réexamen au moins une fois par an. Comment évaluer ce projet ?

   1. L'approuver, si l'autorité accorde le régime des microentreprises, ce qu'elle peut faire pour les plates-formes en dessous des seuils de taille.
   2. L'approuver : avec 6 salariés et 1,5 million d'EUR, elle peut réexaminer son cadre périodiquement.
   3. Le rejeter : son type d'entité est exclu de la catégorie des microentreprises, quelle que soit sa taille.
   4. Le rejeter : une entité de plus de 5 salariés compte comme petite entreprise au sens de DORA.

7. Domaine 2 : Préparation et planification de la mise en œuvre

   Étude de cas 1 - Valdoria Banco Cooperativo (5 questions) Valdoria Banco Cooperativo est un établissement de crédit coopératif de taille moyenne dont le siège est à Porto, au Portugal, avec 640 salariés et un organe de direction de 9 membres. L'organe de direction a approuvé le programme de préparation à DORA de la banque le 12 février 2025. Le chef de projet a ensuite mené une analyse des écarts portant sur 41 exigences de DORA, fondée sur des entretiens avec 22 membres du personnel et l'examen de 64 documents : 9 exigences ont été jugées non satisfaites, 17 partiellement satisfaites et 15 satisfaites. Le commanditaire du projet a demandé que le rapport d'écarts classe chaque écart selon l'exposition réglementaire et fixe une date cible de clôture. La banque s'appuie sur 3 prestataires tiers de services TIC pour des fonctions critiques ou importantes, dont une société de Madrid, en Espagne, qui héberge la plateforme bancaire centrale. Pendant le diagnostic, le directeur des risques a proposé que la fonction de gestion des risques soit à la fois propriétaire et exploitante des contrôles d'accès de la plateforme bancaire centrale ; le responsable de l'audit interne s'y est opposé. Les registres de formation montrent que seuls 2 des 9 membres de l'organe de direction ont suivi une formation sur le risque lié aux TIC au cours des 24 derniers mois. Le comité des représentants du personnel n'a pas répondu à deux demandes d'observations sur le projet et a évité de prendre position à son sujet. Question 4 sur 5 : Comment le rapport d'écarts doit-il évaluer l'exigence relative aux connaissances et compétences de l'organe de direction en matière de TIC, au vu des registres de formation ?

   1. Partiellement satisfaite : l'obligation pèse collectivement sur l'organe, qui compte deux membres formés et reçoit chaque année un exposé du DSI.
   2. Non satisfaite : DORA impose une session annuelle par membre, et sept membres sur neuf l'ont manquée.
   3. Non satisfaite : sept des neuf membres n'ont suivi aucune formation sur le risque lié aux TIC depuis deux ans.
   4. Non satisfaite : au moins la moitié des membres doivent posséder une expertise en matière de TIC, et seuls deux des neuf membres ont une formation.

8. Domaine 3 : Gestion du risque TIC et gestion des incidents

   Après qu'un rançongiciel a chiffré la base de données des sinistres d'un assureur allemand, l'équipe infrastructure propose d'effacer le serveur touché et d'y restaurer la sauvegarde de la nuit précédente, au motif que c'est le moyen le plus rapide de reprendre le traitement des sinistres. L'assureur restaure ses sauvegardes au moyen de ses propres systèmes. Que doit exiger le gestionnaire du risque lié aux TIC ?

   1. Reconstruire le serveur source à partir d'une image saine et à jour, vérifier la sauvegarde, puis la restaurer dessus.
   2. Restaurer sur des systèmes distincts, tenus à l'écart du serveur compromis.
   3. Activer un site de traitement secondaire, comme en maintiennent les dépositaires centraux de titres.
   4. Restaurer plutôt via l'environnement de rétablissement propre au prestataire de sauvegarde.

9. Domaine 4 : Tests de résilience et risques liés aux tiers

   Lors de sa sortie d'un contrat d'hébergement, un assureur belge apprend que le prestataire facturera des frais équivalant à six mois de service pour restituer les serveurs de l'assureur et lui rendre ses données dans un format utilisable ; le contrat est muet sur ce point. L'assureur réexamine à présent les procédures de sortie de ses autres accords critiques. Quelle disposition traite ce problème ?

   1. Des estimations réalistes des coûts de sortie dans chaque plan de sortie, les plans de sortie devant être réalistes et réalisables.
   2. Des procédures garantissant que ses actifs numériques et physiques sont restitués rapidement et à un coût abordable, dans un format utilisable.
   3. Des clauses sur la propriété, la sauvegarde et l'accessibilité à long terme des enregistrements tels que les pistes d'audit.
   4. Une période de transition pendant laquelle le prestataire continue d'exploiter le service tandis que l'assureur migre.

10. Domaine 5 : Formation, audit et amélioration continue

    Un audit interne des TIC chez un assureur finlandais a formulé il y a six mois une constatation critique sur les accès privilégiés. Aucun responsable ni aucune échéance n'a été attribué, et le responsable des TIC prévoit de laisser le prochain audit annuel vérifier si le problème a été corrigé. Que doit exiger le responsable de l'audit interne ?

    1. Suivre le responsable des TIC : le prochain audit annuel vérifiera si le problème est corrigé.
    2. Exiger la correction dans les 90 jours que DORA accorde pour les constatations critiques.
    3. Un rapport à l'organe de direction, qui approuve les plans d'audit des TIC.
    4. Attribuer un responsable et une échéance, puis vérifier la correction.

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.