Réglementation financière · DORA
DORA pour les entités financières de petite taille
DORA s'applique depuis janvier 2025, y compris aux structures qui n'ont ni RSSI ni équipe conformité dédiée. Je mesure votre écart, je mets en place un cadre de gestion du risque TIC à votre échelle, je vous aide à produire le registre d'information et je construis votre plan de tests.
Pour qui
- Sociétés de gestion de portefeuille
- PSAN et prestataires de services sur crypto-actifs
- Fintechs : établissements de paiement et de monnaie électronique
- CIF et autres acteurs qui doivent d'abord vérifier s'ils entrent dans le champ de DORA
Contexte habituel
Une question du régulateur, une revue du dépositaire ou de l'actionnaire, ou simplement le constat que DORA s'applique et que rien n'est formalisé.
Les textes sont longs et pensés d'abord pour les grands établissements ; il faut en extraire ce qui s'applique à une structure de petite taille.
Déroulement
Une démarche proportionnée, qui s'appuie sur ce que vous faites déjà.
Champ d'application et analyse d'écart
Vérification de votre assujettissement et du régime applicable (dont le cadre simplifié de l'article 16 quand vous y êtes éligible), puis écart sur la gouvernance, la gestion du risque TIC, les incidents et les tests.
Cadre de gestion du risque TIC
Politiques, rôles, responsabilités de l'organe de direction, continuité d'activité et gestion des incidents, dimensionnés à votre taille.
Registre d'information
Constitution du registre d'information exigé par DORA, au format défini par les normes techniques, prêt à être transmis à l'autorité compétente.
Plan de tests
Programme de tests de résilience opérationnelle numérique adapté à votre profil : quels tests, à quelle fréquence, avec quelles preuves.
Livrables
- Une analyse d'écart DORA
- Un cadre de gestion du risque TIC documenté (politiques, rôles, procédures)
- Le registre d'information au format réglementaire
- Un plan de tests de résilience
- Un plan d'action priorisé et une présentation à l'organe de direction
Format et durée
- Format
- Forfait, entièrement à distance
- Durée indicative
- Selon votre point de départ, précisée au cadrage
- Tarif
- Forfait, sur devisEstimer le budget de cette offre
Questions fréquentes
Mon entité est-elle concernée par DORA ?
DORA vise une liste précise d'entités financières : sociétés de gestion, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs agréés, entreprises d'investissement, notamment. Certains statuts, comme celui de CIF, demandent une vérification au cas par cas : c'est le premier point que je traite.
Qu'est-ce que le cadre simplifié ?
DORA prévoit, pour certaines petites entités, un cadre de gestion du risque TIC allégé (article 16). L'éligibilité dépend de votre statut et de votre taille ; je la vérifie dès le départ.
Que couvre exactement le registre d'information ?
Le registre recense les accords contractuels portant sur des services TIC, dans le format imposé par les normes techniques. Ma mission se limite à produire ce registre réglementaire.
Premier entretien
Un entretien de 30 minutes permet de vérifier votre statut au regard de DORA et de faire le point sur ce qui est déjà en place.