Nadzorni odbor banke ne treba još jednu prezentaciju o DORA uredbi. Treba jasan odgovor na tri pitanja: gdje su najveći ICT rizici, koji su dokazi da se kontrole provode i tko je odgovoran kada se utvrdi nedostatak. Kvalitetna recenzija DORA softvera za banke zato ne počinje popisom funkcionalnosti, nego sposobnošću alata da te odgovore pretvori u provjerljiv i ponovljiv proces.
DORA, odnosno Uredba o digitalnoj operativnoj otpornosti, primjenjuje se od 17. siječnja 2025. i postavlja veća očekivanja pred banke, kreditne institucije i druge financijske subjekte. Obveze obuhvaćaju upravljanje ICT rizikom, prijavu i upravljanje incidentima, testiranje digitalne operativne otpornosti, upravljanje rizicima trećih ICT pružatelja te upravljačku odgovornost. Softver može znatno smanjiti administrativni teret, ali ne može zamijeniti vlasništvo uprave nad rizikom ni kvalitetu kontrolnog okruženja.
Što DORA softver za banke mora rješavati
DORA alat nije samo repozitorij politika niti obična aplikacija za upravljanje zadacima. Njegova je stvarna vrijednost u povezivanju regulatornog zahtjeva, interne kontrole, odgovorne osobe, dokaza o provedbi i otvorenih mjera. Ako ta poveznica ne postoji, banka i dalje može imati velik broj dokumenata, ali neće imati dokazivu usklađenost.
Prvi ključni kriterij jest struktura zahtjeva. Softver mora omogućiti da se DORA obveze razlože na razumljive kontrolne točke, bez prevođenja uredbe u neupotrebljivu tablicu s nekoliko stotina redaka. Voditelj usklađenosti mora vidjeti koje su kontrole potpune, koje djelomično provedene, a koje uopće nemaju vlasnika ili dokaz.
Drugi kriterij je upravljanje dokazima. Banke već raspolažu velikom količinom relevantne dokumentacije: politikama, zapisnicima odbora, procjenama rizika, izvješćima o incidentima, ugovorima s dobavljačima, rezultatima testiranja i evidencijama edukacija. Problem nastaje kada su ti dokazi raspršeni po mapama, e-pošti i različitim poslovnim sustavima. DORA softver mora omogućiti kontrolirani unos, klasifikaciju, verzioniranje, vezanje dokaza uz konkretan zahtjev i jasan revizijski trag.
Treći kriterij je rad s neusklađenostima. Nalaz bez roka, vlasnika i dokaza zatvaranja nije plan usklađivanja. Dobar alat omogućuje evidentiranje jaza, procjenu prioriteta, dodjelu aktivnosti, praćenje statusa te provjeru djelotvornosti provedene mjere. Time se regulatorna obveza pretvara u operativni radni tok koji mogu pratiti IT, sigurnost, pravna služba, nabava, rizici i interna revizija.
Recenzija DORA softvera za banke: kriteriji za procjenu
Pri procjeni rješenja banka treba razlikovati alate koji samo pohranjuju sadržaj od onih koji aktivno vode proces usklađivanja. Razlika postaje vidljiva već pri prvom nadzoru ili internoj reviziji, kada je potrebno brzo pokazati trenutačno stanje i podlogu za svaku ocjenu.
Pokrivenost ICT upravljanja rizikom
Softver treba podržati cjelovit pregled ICT rizika, povezanost rizika s imovinom, procesima i kontrolama te praćenje preostalog rizika. Korisno je kada se procjena rizika može povezati s konkretnim dokazima, primjerice rezultatima procjene ranjivosti, zapisnicima o oporavku ili izvješćima pružatelja usluga.
Međutim, banka ne bi trebala očekivati da jedan alat automatski preuzme funkciju postojećeg sustava za upravljanje rizicima. U praksi je važnija integracija procesa i jedinstven pogled na status DORA kontrola nego dupliciranje svake evidencije. Za veće banke presudni mogu biti API integracije i izvoz podataka, dok manjim institucijama više vrijedi brzo pokretanje bez dugotrajne konfiguracije.
Incidenti i regulatorna spremnost
DORA zahtijeva discipliniran pristup klasifikaciji, evidentiranju i prijavi ozbiljnih ICT incidenata. Softver za usklađenost nije nužno zamjena za operativni SOC, SIEM ili ticketing sustav, ali mora jasno povezati proces upravljanja incidentima s regulatornim obvezama, politikama, vježbama i dokazima.
Praktično pitanje glasi: može li banka iz alata pokazati tko odlučuje o klasifikaciji incidenta, kada se aktivira eskalacija, kako se čuvaju zapisi i jesu li nakon incidenta provedene korektivne mjere? Ako odgovor ovisi o ručnom pretraživanju više sustava, rizik od kašnjenja i nepotpunog izvješćivanja ostaje visok.
Upravljanje trećim ICT pružateljima
Rizik dobavljača posebno je zahtjevan jer banke ovise o cloud uslugama, vanjskom održavanju, procesorima plaćanja, komunikacijskim kanalima i specijaliziranim aplikacijama. DORA softver treba pružiti mogućnost vođenja registra ICT ugovora, evidentiranja kritičnosti usluge, vlasnika odnosa, ugovornih kontrola i procjene rizika.
Najveća korist nastaje kada se dobavljač ne promatra izolirano. Njegova usluga mora biti povezana s poslovnim procesom koji podržava, relevantnim rizicima, planom kontinuiteta i dokazima o nadzoru. Alat koji nudi samo popis ugovora neće dati dovoljnu upravljačku vrijednost.
Testiranja i planovi kontinuiteta
Testiranje otpornosti nije administrativna vježba koja se provodi jednom godišnje. Banka mora moći planirati testove, dokumentirati scenarije, evidentirati rezultate i zatvoriti utvrđene nedostatke. To uključuje testove oporavka, sigurnosne provjere, vježbe odgovora na incidente i, gdje je primjenjivo, naprednija testiranja poput TLPT-a.
Dobro rješenje razlikuje planirani test od dokaza da je test stvarno proveden. Također omogućuje upravi da vidi jesu li ponavljajući nalazi riješeni ili se samo prenose iz jednog izvještajnog razdoblja u drugo. Upravo je ta sljedivost često važnija od vizualno atraktivne nadzorne ploče.
Uloga umjetne inteligencije: ubrzanje uz kontrolu
AI može biti vrlo koristan u analizi velikog broja politika, ugovora, zapisnika i drugih dokaza. Može predložiti povezanost dokumenta s kontrolom, izdvojiti dijelove koji nedostaju, pomoći pri procjeni statusa i pripremiti nacrte izvješća. To smanjuje vrijeme koje stručni timovi troše na ručnu klasifikaciju i usporedbu dokumentacije.
Ipak, u bankarskom okruženju AI odgovor ne smije postati automatska regulatorna istina. Svaka procjena mora biti objašnjiva, provjerljiva i potvrđena od odgovorne osobe. Posebnu pozornost treba dati lokaciji obrade podataka, pristupnim pravima, enkripciji, zadržavanju podataka i mogućnosti da banka zadrži kontrolu nad osjetljivom dokumentacijom.
Rješenja s EU hostingom, enkripcijom na razini polja i internim AI modelima mogu biti opravdan izbor za organizacije koje ne žele izlagati povjerljive dokaze nepotrebnim prijenosima podataka. Za najzahtjevnije slučajeve prednost može biti i mogućnost on-premise implementacije. Odabir ovisi o arhitekturi banke, klasifikaciji podataka i internim pravilima, a ne samo o tržišnom obećanju proizvođača.
Kako izbjeći skupu, a neupotrebljivu implementaciju
Klasični GRC projekti često počinju velikim dizajnom modela, mnoštvom radionica i dugim konfiguriranjem. Takav pristup može imati smisla za međunarodne grupacije sa složenim procesima, ali za DORA program koji mora brzo pokazati napredak često stvara dodatni rizik: sustav još nije spreman, a obveze već postoje.
Banka bi trebala tražiti rješenje koje omogućuje početnu samoprocjenu, brzo učitavanje dokaza i vidljiv plan daljnjeg postupanja. Prije nabave korisno je zatražiti demonstraciju na stvarnom scenariju: jedna kontrola, jedan dokaz, jedna utvrđena neusklađenost i jedno izvješće za upravu. Ako dobavljač ne može jasno pokazati taj put, implementacija će vjerojatno zahtijevati više ručnog rada nego što se očekivalo.
Vrijedi provjeriti i podjelu odgovornosti. Poslovni korisnici trebaju jednostavno dostavljati dokaze i ažurirati aktivnosti, dok sigurnosni, risk i compliance timovi moraju zadržati kontrolu nad metodologijom i konačnim ocjenama. Interna revizija treba imati neovisan, čitljiv uvid u povijest promjena. Bez ovih uloga, alat lako postaje još jedno centralizirano spremište kojim upravlja premali broj ljudi.
ITrevizija.hr pristupa ovom problemu kroz AI vođenu samoprocjenu, upravljanje dokazima, neusklađenostima i planovima aktivnosti, s naglaskom na dokazivu usklađenost i kontinuiranu spremnost za nadzor. Takav pristup posebno je relevantan kada banka želi mjerljiv početni rezultat bez višemjesečnog projekta konfiguracije.
Najbolji DORA softver nije onaj s najdužim popisom modula, nego onaj koji banci omogućuje da svaki regulatorni zahtjev pretvori u dokaz, odluku i odgovornu aktivnost. Kada se približi sljedeće izvješćivanje, nadzor ili ozbiljan incident, upravo će ta veza između obveze i stvarnog stanja napraviti razliku.