Politique de continuité des activités TIC (DORA)

Définition

La politique de continuité des activités TIC est le document cadre que le règlement DORA impose aux entités financières pour organiser leur capacité à maintenir ou à rétablir rapidement leurs fonctions critiques ou importantes en cas de perturbation grave de leurs systèmes d'information. Elle doit s'appuyer sur une analyse d'impact préalable identifiant les fonctions les plus sensibles et les objectifs de temps et de point de reprise associés, puis décrire les dispositifs concrets permettant de les atteindre : sites de secours, procédures de basculement, plans de communication de crise et modalités de coordination avec les prestataires tiers dont dépendent ces fonctions. Cette politique doit être régulièrement testée par des exercices de simulation, distincts des tests de résilience opérationnelle numérique proprement dits, et actualisée en fonction des enseignements tirés de ces exercices comme des incidents réels survenus. Le règlement exige que la politique soit approuvée par l'organe de direction et articulée avec le cadre de gestion interne du risque TIC, afin d'éviter que la continuité d'activité ne soit traitée comme un sujet isolé de la gestion des risques numériques dans son ensemble. Pour les responsables conformité, cette politique doit être distinguée du plan de continuité d'activité au sens plus large de l'entreprise, dont elle constitue une composante centrée spécifiquement sur les systèmes d'information.