DORA procjena ne počinje pitanjem imate li sigurnosne politike. Počinje pitanjem možete li dokazati da se te politike stvarno provode, mjere i redovito preispituju. Dobro pripremljen Primjer DORA procjene zato nije popis dokumenata, nego radni prikaz odnosa između regulatornog zahtjeva, stvarnog stanja, dokaza, rizika i mjere koja zatvara utvrđeni nedostatak.
Za financijske subjekte i njihove odgovorne osobe najveći je izazov u tome što DORA zahtjeve ne promatra izolirano. Upravljanje IKT rizikom, prijavljivanje incidenata, testiranje digitalne operativne otpornosti i upravljanje rizicima povezanima s vanjskim IKT pružateljima usluga moraju djelovati kao povezan sustav. Procjena koja je formalno potpuna, ali ne pokazuje tu povezanost, teško će pomoći upravi, internim revizorima ili tijekom nadzora.
Što DORA procjena mora pokazati
Uredba DORA primjenjuje se od 17. siječnja 2025. i propisuje obveze za širok krug financijskih subjekata. Konkretan opseg obveza ipak ovisi o vrsti i veličini subjekta, njegovu poslovnom modelu, kritičnosti usluga te načelu proporcionalnosti. Zato se procjena ne smije svesti na generički upitnik u kojem je svaki odgovor samo „da” ili „ne”.
Korisna procjena za svaku obvezu mora dati jasan odgovor na pet pitanja: što uredba zahtijeva, kakvo je stvarno stanje u organizaciji, koji dokaz podupire tu tvrdnju, koliki je preostali rizik i tko će do kada provesti korektivnu aktivnost. Tek tada uprava dobiva materijal na temelju kojeg može donijeti odluku, a ne samo izvješće o stanju dokumentacije.
Dokazi mogu uključivati odobrene politike, zapisnike odbora, registre rizika, izvještaje o incidentima, rezultate testiranja, ugovore s dobavljačima, zapise o edukacijama i tehničke zapise iz sigurnosnih sustava. Međutim, dokument sam po sebi nije dovoljan. Politika upravljanja pristupima iz 2022. godine nije čvrst dokaz ako nema pregleda korisničkih prava, potvrde provedbe i jasne odgovornosti za periodično preispitivanje.
Primjer DORA procjene: upravljanje IKT rizikom
Zamislimo srednje veliku instituciju za platne usluge koja koristi vlastitu aplikaciju za obradu transakcija, uslugu računalstva u oblaku za dio infrastrukture i vanjskog pružatelja usluge nadzora sigurnosnih događaja. Procjena se provodi prije godišnjeg izvješćivanja upravi, uz cilj utvrđivanja prioritetnih nedostataka.
Zahtjev i opseg kontrole
Jedna od temeljnih DORA obveza jest uspostaviti pouzdan okvir za upravljanje IKT rizikom. U praksi to znači da upravljačko tijelo mora odobriti i nadzirati okvir, da rizici moraju biti evidentirani i procijenjeni te da kontrole moraju biti povezane s poslovnim uslugama koje štite.
U procjeni se zahtjev može operacionalizirati ovako: „Organizacija ima odobren okvir upravljanja IKT rizikom koji uključuje identifikaciju kritičnih poslovnih usluga, procjenu prijetnji i ranjivosti, vlasnike rizika, prihvat rizika te redovito izvještavanje uprave.”
Takva formulacija je dovoljno konkretna da se može provjeriti, ali i dovoljno široka da obuhvati ljude, procese, tehnologiju i dobavljače. Ne treba kopirati tekst uredbe ako iz njega nije jasno što se u organizaciji mora pokazati ili učiniti.
Nalaz procjene
Procjenitelj utvrđuje da institucija vodi registar informacijskih rizika i kvartalno ga ažurira. Postoji pravilnik o upravljanju rizicima, a uprava prima sažeti izvještaj. Međutim, registar nije dosljedno povezan s katalogom kritičnih poslovnih usluga. Dio rizika vezanih uz aplikaciju za plaćanja evidentiran je prema tehničkim komponentama, dok se utjecaj na dostupnost usluge prema klijentima procjenjuje neujednačeno.
Procjena zrelosti stoga ne bi trebala biti „usklađeno”. Preciznija ocjena jest „djelomično usklađeno”. Osnovni elementi postoje, ali nedostaje veza koja upravi omogućuje da brzo razumije koji IKT rizik ugrožava koju važnu uslugu, kolika je prihvatljiva razina prekida i koje su mjere prioritetne.
Dokazi koji podupiru nalaz
Za taj nalaz mogu se priložiti odobreni pravilnik, aktualni registar IKT rizika, zapisnik sjednice uprave na kojoj je razmatran izvještaj, katalog poslovnih usluga i posljednja analiza utjecaja na poslovanje. Svaki dokaz treba imati vlasnika, datum, oznaku verzije i status valjanosti.
Ovdje se često pojavljuje administrativni problem: dokumenti postoje na više lokacija, a procjenitelj mora ručno dokazivati povezanost između zahtjeva i sadržaja. Strukturirano upravljanje dokazima smanjuje taj posao i sprječava da se za svaki novi nadzor kreće od početka. AI analiza dokumentacije može dodatno ubrzati provjeru sadrže li priloženi dokumenti relevantne odredbe, no stručna potvrda vlasnika kontrole i dalje je nužna.
Rizik, prioritet i korektivna mjera
Nedostatak povezanosti između IKT rizika i kritičnih usluga može se ocijeniti kao srednje visok rizik. Vjerojatnost nije nužno visoka, ali posljedica može biti značajna: uprava može pogrešno odrediti prioritete ulaganja, plan kontinuiteta možda neće pokriti stvarni poslovni učinak, a izvještavanje neće pružiti dovoljno jasnu sliku regulatoru.
Korektivna mjera mora biti provjerljiva. Umjesto općenite aktivnosti „unaprijediti upravljanje rizicima”, prikladnije je odrediti da voditelj upravljanja rizicima, zajedno s vlasnicima poslovnih usluga i CISO-om, do određenog roka mapira sve relevantne IKT rizike na kritične ili važne funkcije. Nakon toga treba ažurirati metodologiju procjene, definirati pragove prihvata rizika i predstaviti rezultat upravi na odobrenje.
Mjera je potpuna tek kada ima vlasnika, rok, potrebne resurse, kriterij završetka i dokaz zatvaranja. Primjer dokaza zatvaranja može biti ažurirani registar, zapisnik o odobrenju metodologije i izvještaj koji pokazuje pokrivenost kritičnih usluga.
Ne procjenjujte dokumente odvojeno od operativne stvarnosti
Najčešća pogreška u DORA procjenama jest pretpostavka da dobro napisana politika dokazuje usklađenost. Politika opisuje namjeru i pravila, ali DORA traži operativnu otpornost. To se vidi u incidentima, testiranjima, praćenju dobavljača, upravljanju promjenama i sposobnosti organizacije da donese odluku pod pritiskom.
Primjerice, organizacija može imati proceduru za klasifikaciju IKT incidenata, ali procjena mora provjeriti jesu li se stvarni incidenti klasificirali prema utvrđenim kriterijima, jesu li rokovi eskalacije ispunjeni i jesu li iz provedene analize proizašle mjere za sprječavanje ponavljanja. Ako nije bilo značajnijih incidenata, mogu se provjeriti simulacije, vježbe i zapisnici o edukaciji odgovornih osoba.
Slično vrijedi za upravljanje rizikom trećih strana. Ugovor s pružateljem usluge u oblaku nije dokaz da je rizik pod kontrolom ako organizacija nije procijenila kritičnost usluge, ugovorila relevantne sigurnosne i revizijske odredbe, utvrdila izlaznu strategiju te redovito pratila ispunjenje ugovornih obveza. Za manje subjekte dubina provjere može biti proporcionalna, ali odgovornost za razumijevanje rizika ne nestaje.
Kako organizirati procjenu da ostane korisna
DORA procjena ima najveću vrijednost kada postane kontinuirani upravljački proces, a ne projekt neposredno prije nadzora. Počnite definiranjem opsega: obuhvaćeni subjekti, poslovne usluge, sustavi, lokacije, dobavljači i razdoblje za koje se dokazi pregledavaju. Zatim zahtjeve uredbe pretvorite u kontrole koje se mogu procijeniti i dodijelite im jasne vlasnike.
Za svaku kontrolu evidentirajte status, obrazloženje, dokaz, razinu rizika i akcijski plan. Važno je razlikovati nepostojanje kontrole od kontrole koja postoji, ali nije dosljedno provedena. Prvi slučaj često zahtijeva oblikovanje procesa i odgovornosti, dok drugi može zahtijevati bolji nadzor, automatizaciju ili ciljanu edukaciju.
Uprava ne treba dobiti stotine pojedinačnih nalaza bez konteksta. Treba dobiti pregled najvažnijih izloženosti, status ključnih korektivnih mjera, prepreke u provedbi i odluke koje zahtijevaju njezino odobrenje. Operativni tim, s druge strane, treba detaljnu radnu evidenciju koja omogućuje zatvaranje svake aktivnosti bez gubitka traga revizije.
Platforme poput ITrevizija.hr mogu objediniti samoprocjenu, upravljanje dokazima, analizu dokumentacije, praćenje neusklađenosti i izradu plana aktivnosti u jednom kontroliranom okruženju. Time se smanjuje ručno usklađivanje tablica, mapa i verzija dokumenata, uz zadržavanje pregleda nad osjetljivim podacima i dokazima.
Dobar nalaz ne služi tome da pokaže gdje je organizacija pogriješila. Služi tome da odgovorna osoba može jasno odrediti što treba promijeniti, tko to preuzima i kojim će dokazom potvrditi da je digitalna operativna otpornost stvarno unaprijeđena.