有效实施《数字运营弹性法案》（DORA）对于旨在满足即将到来的监管要求和增强数字弹性的金融机构来说至关重要。DORA 于 2023 年 1 月 16 日生效，将从 2025 年 1 月 17 日开始适用，影响到整个欧盟的 22,000 多家金融组织。.
主要收获
- DORA 强调高级管理层对数字业务复原力的责任，规定信息和通信技术安全的专项预算，并鼓励金融机构之间共享威胁情报。.
- DORA 规定，管理第三方信息和通信技术风险至关重要，要求金融实体进行尽职调查、持续监控并维护第三方关系登记册，以确保合规。.
- 实施强有力的网络安全措施，防范数字威胁。.
- InvestGlass 提供带有自动化和客户关系管理工具的综合平台，通过简化客户入职、加强数据管理和提高运营效率，支持金融机构实现 DORA 合规性。.
了解 DORA 的要求
数字运营复原力法案》（DORA）的颁布是为了应对金融行业中以往法规未涵盖的特定信息和通信技术风险。DORA 自 2025 年 1 月 17 日起直接适用于金融实体，因此各组织必须了解并遵守其要求。DORA 的主要目标是加强金融行业的数字运营复原力，确保网络和信息系统免受数字威胁。这一监管框架旨在预防、检测和应对网络威胁和运营中断，从而减少潜在的财务损失，保护安全和隐私。.
DORA 的主要要求包括
- 统一与信息和通信技术有关的事件报告
- 扩大受影响金融实体的范围，包括提供职业退休保障的机构
- 实现重大网络威胁的自愿通报
- 建立必要的事件管理流程
- 提高业务复原力的举措，如促进部门内的信息交流与合作
金融机构可以通过了解这些要求，为即将到来的合规截止日期做好准备，并保持安全、灵活的运营。.
DORA 的主要条款
数字运营复原力法案》的突出特点之一，是明确规定公司管理机构有责任确保数字运营复原力和信息与通信技术风险管理。这就意味着高层领导必须直接参与并承担责任，自上而下地促进复原力文化。此外，DORA 还规定了数字运营恢复能力的专项预算，其中包括 ICT 安全意识计划、恢复能力培训和数字运营恢复能力测试。这一财政承诺强调了对网络安全措施进行持续投资的重要性。.
网络威胁情报共享是 DORA 的另一项重要规定，要求金融实体共享有关网络威胁和漏洞的信息。这种合作方式旨在为整个行业创建一个更强大的防御机制。了解了这些关键条款后，金融机构就可以采取必要措施来遵守 DORA，并提升其整体安全态势。.
适用范围
DORA 的范围很广，涵盖了各种金融机构，包括
- 信贷机构
- 支付机构
- 账户信息服务提供商
- 电子货币机构
- 投资公司
- 加密资产服务提供商
- 中央证券存管机构
- 中央对手方
- 交易场所
- 职业退休制度
这种广泛的适用性确保了金融生态系统中的所有关键参与者都能遵守同样严格的数字运营弹性标准。.
除这些金融实体外，DORA 还适用于关键供应商，包括与这些金融机构合作或为其服务的信息和通信技术服务提供商。这种纳入确保了第三方供应商也对其在维护金融部门的安全性和复原力方面的作用负责。掌握 DORA 的全部内容可使金融机构准确定位其业务和合作关系中需要遵守监管要求的所有领域。.
制定全面的 ICT 风险管理框架
全面的 ICT 风险管理框架是遵守 DORA 的基石，旨在保护金融机构内的信息和 ICT 资产。该框架应包括
- 战略
- 政策
- 程序
- 信息和通信技术协议
- 保护房舍和数据中心等物理和数字组件所需的工具
定期审查（至少每年一次或在重大事件发生后）可确保该框架保持有效和最新。.
制定这样一个框架需要采用系统的方法进行风险评估，确定、评估和减轻信息和通信技术风险。这不仅包括内部流程，还扩展到第三方供应商和服务提供商。有了健全的信息和通信技术风险管理框架，金融机构就能更好地预测和应对潜在的网络威胁和业务中断，从而保持其数字业务的复原力。.
确定信息和通信技术风险
确定信息和通信技术风险是建立有效风险管理框架的第一步。这一过程包括识别任何可能危及网络和信息系统安全的情况。金融实体必须识别被称为 ‘关键或重要功能’（CIF）的基本服务，这些服务一旦中断就会产生重大影响。定期风险评估，包括漏洞评估，对于发现组织运营和系统特有的潜在漏洞至关重要。.
漏洞评估可以使用自动工具或人工审查来进行，对于识别系统中的薄弱环节至关重要。此外，网络安全评估会对网络基础设施的安全措施和配置进行评估，以找出潜在的风险。社会工程测试，如网络钓鱼模拟，有助于识别组织内的人为漏洞。系统性地识别这些风险，能让金融机构更好地应对这些风险。.
实施风险缓解措施
一旦确定了信息和通信技术（ICT）风险，下一步就是实施适当的缓解措施。这涉及部署旨在最大限度降低这些风险的战略和信息与传播技术风险管理工具。该框架应概述检测和预防重大信息和通信技术相关事件的机制，确保及时处理潜在的威胁。.
DORA 下的一个重大挑战是确保第三方 ICT 提供商的数据安全，这需要严格的数据存储和传输技术标准。第三方合作伙伴的自动威胁检测措施对于及时应对潜在的数据泄露至关重要。通过实施这些风险缓解措施，金融机构能够增强其数字运营复原力，并满足 DORA 的要求。.
持续监测和改进
持续监测和改进是有效的信息和通信技术风险管理框架的关键组成部分。道德操守办公室强调，需要不断监测和更新框架，以符合监管要求。各组织应利用内部评估来测试其信息和通信技术风险管理框架和事件应对计划的有效性，并吸取经验教训，不断改进其复原力战略。.
定期更新可确保该框架在降低新出现的风险方面保持相关性和有效性。.
管理第三方信息和通信技术风险
管理第三方 ICT 风险是遵守 DORA 的一个重要方面。金融实体必须将供应商风险管理纳入其整体 ICT 风险管理框架。这需要采取全面的方法，包括尽职调查、供应商选择和持续监督。DORA 为向金融实体提供 ICT 服务的重要第三方所提供的网络和信息系统的安全制定了标准化要求。
尽职调查和供应商选择
合同前尽职调查评估对于确保第三方拥有适当的 IT 安全控制至关重要。DORA 第 25 条强调了在签订合同前评估第三方管理 ICT 风险能力的重要性。这涉及对潜在供应商进行全面风险评估，以确保他们达到所要求的安全标准。.
将部分尽职调查流程自动化可以节省时间，并确保对第三方供应商评估的一致性。考虑到 DORA 对合同签订和持续监控的要求，各组织应实施审查和入职第三方的流程。进行彻底的尽职调查可使金融机构降低与第三方 ICT 供应商相关的风险。.
持续监督和监测
DORA 要求对信息和通信技术第三方风险进行持续监控和定期报告。第 35 条概述了金融实体对第三方服务提供商进行持续监控的必要性，以识别金融风险、, ESG, 我们还与第三方信息和通信技术提供商合作，共同应对信息、网络和业务风险。定期更新并与第三方信息和通信技术提供商沟通，有助于保持合规性并应对新出现的风险。.
DORA 还要求对所有第三方关系进行登记。必须在整个供应商生命周期内跟踪和管理关键合同条款，以确保合规和降低风险。保持持续监督可确保金融机构的第三方关系保持安全并遵守合规要求。.
利用企业架构实现合规性
企业架构提供了一种评估和管理 IT 资产与流程的结构化方法，这对于 DORA 合规性至关重要。这种整体观包括
- 应用
- 数据
- 基础设施
- 业务流程
这种方法有助于各组织找出现行做法与 DORA 要求之间的差异。.
利用企业架构，金融机构可以使其 IT 环境与监管标准相协调，并提高运营弹性。.
调整业务和 IT 战略
调整业务和 IT 战略对于实现 DORA 合规性至关重要。这种协调可确保两个部门朝着共同的目标努力，从而提高整体效率。业务目标与技术风险之间的明确联系对于战略调整以满足 DORA 要求至关重要。.
企业架构可确保 IT 基础设施和流程与组织的整体业务战略保持一致，支持核心业务功能，并有助于迅速适应不可预见的干扰。.
促进跨部门合作
实施 DORA 和建设数字复原力需要各部门之间的有效合作。这对于确保成功实施这一举措至关重要。.
企业架构发挥着中心枢纽的作用，使各部门之间能够无缝沟通和共享信息：
- 信息技术
- 安全
- 风险管理
- 业务部门
这种合作方式加强了组织不同部门之间的整合和凝聚力。.
确保所有利益相关者（包括董事会成员和行政领导层）尽早参与，可简化监管审计期间的合规流程。促进合作使金融机构能够打破各自为政的局面，协调努力，实现 DORA 合规性。.
利用技术解决方案
InvestGlass 提供高度可定制的功能，包括 数字入职, 这些技术解决方案可帮助金融机构遵守 DORA 标准。这些技术解决方案有助于管理 ICT 服务、数据分析和通信技术，确保无缝符合 DORA 标准。.
利用这些工具，欧盟金融部门内的金融机构能够提高其运营效率和应变能力。.
准备监管审计
准备监管审计包括
- 建立明确的合规框架
- 建立治理结构
- 拥有适应欧洲监管机构审计的流程和技术
金融机构需要预测这些审计并做好准备。.
关于如何准备接受包括欧洲银行管理局在内的欧洲三大监管机构审计的指导，对于确保合规和避免处罚至关重要。.
文件和记录保存
全面记录与数字运营和网络安全相关的政策、程序和协议对于证明合规工作至关重要。各组织应优先记录为提高运营复原力而采取的所有行动，包括详细记录风险评估、事故报告和补救措施。.
确保所有与合规相关的文件都易于查阅，并能在审计期间及时提供，这对保持透明度和问责制至关重要。.
内部审计和评估
定期内部审计是确保符合 DORA 要求的一个基本方面。这些审计有助于发现合规方面的差距，并提供机会积极主动地加以解决。通过自动化合规流程和整合现代风险管理技术，金融机构可以简化内部审计流程，并确保在正式审计前进行彻底审查。建立正式的后续流程，以核实和纠正关键的信息与通信技术审计结果，对于持续改进至关重要。.
定期内部评估可为组织带来多种益处，包括
- 准备外部审计
- 保持高标准的业务复原力
- 在内部找出并解决潜在的薄弱环节
- 加强整体合规态势
- 降低严重运行中断的风险。.
回应审计结果
针对审计发现制定有条理的应对计划，对于保持合规性和业务完整性至关重要。组织内部的有效沟通可确保所有相关团队了解审计发现和必要的纠正措施。这种合作方式有利于迅速、协调地采取应对措施，确保任何发现的问题都能得到及时处理和解决。.
强有力的应对计划使金融机构能够展示其在不断改进和遵守 DORA 方面的决心。.
培训和宣传计划
培训和提高认识计划对于在金融机构内灌输合规文化和防止人为错误至关重要。这些计划可确保从一线员工到高级管理层的所有员工都了解自己在遵守 DORA 法规方面的角色和责任。有效的培训计划可以使员工掌握管理 ICT 风险所需的知识和技能，从而大大降低违规风险。.
还要求管理成员定期更新其有关 DORA 规定的信息和通信技术风险的知识和技能。.
设计有效的培训计划
设计有效的培训计划包括
- 根据员工的具体职能和职责调整内容
- 与员工角色的复杂性相匹配，并延伸至高级管理层
- 确保开展针对特定角色的培训，以了解与其职位相关的独特风险以及如何应对这些风险
- 让主题专家参与培训内容的设计，以确保相关性和准确性。.
机构应与首席信息安全官、人力资源部和部门经理合作，选择合适的培训课程或提供商。这种合作方式可确保培训计划的全面性，并与机构的合规目标保持一致。对精心设计的培训计划进行投资，可使金融机构培养出一支知识渊博、强有力的员工队伍。.
定期更新和复习
定期更新培训内容对于让员工了解最新的监管变化和最佳实践至关重要。企业应制定定期培训计划，确保持续教育。这些更新应反映最新的网络威胁和立法变化，帮助员工了解不断变化的合规要求。.
复习课程可以强化关键的合规概念，并解决随着时间推移可能形成的任何知识差距。.
衡量培训效果
评估培训计划的有效性可以通过以下方式实现：
- 测试员工将所学知识应用于实际场景的能力
- 使用调查和反馈表来评估员工对培训计划的理解和满意度
- 利用培训前后的合规率和事故报告等指标来评估计划的影响。.
培训的衡量 效率，使财务 机构不断完善其培训计划，确保员工队伍随时准备应对合规挑战。.
案例研究：InvestGlass 和 DORA 合规性
InvestGlass 提供一个综合平台，帮助财务人员 各机构符合 DORA 的严格要求 该平台通过整合各种功能，为数字化运营复原力量身定制。这个位于瑞士的平台提供强大的销售自动化和 客户关系管理 (CRM) 工具，使其成为金融机构旨在提高运营复原力的宝贵资产。.
将 DORA 法规与 InvestGlass 的服务相结合，使金融机构能够利用技术简化合规流程，提高整体效率。.
InvestGlass 概览
InvestGlass 是瑞士的云平台，提供
- 销售自动化工具
- 客户关系管理系统
- 数字化入职工具
- 为金融服务量身定制的自动化功能
- 人工智能集成
- 利用 AI 快速设置，允许用户使用 CSV 导入工具快速导入线索和联系人
InvestGlass 成立于 2014 年，专门从事金融科技、机器人顾问、客户关系管理、投资组合管理以及 人工智能. .该平台通过将推广、参与和自动化统一到一个简单灵活的客户关系管理系统中，帮助用户提高销售效率。.
适合关注地缘政治独立性并希望从数字入职等现代工具中获益的公司、, 人工智能, InvestGlass具有强大的投资组合管理功能，被认为是瑞士未来的解决方案。.
InvestGlass 如何支持 DORA 合规性
InvestGlass 通过数字入职、客户关系管理集成和实时数据分析等功能支持金融机构满足 DORA 的要求。该平台简化并精简了客户入职流程，确保了流畅高效的体验，同时满足了 DORA 对安全入职客户的要求。通过实现审批流程和重复性任务的自动化，InvestGlass 可释放出 将时间用于战略举措，提高整体生产率. .此外，其人工智能驱动的洞察力还能帮助金融机构做出符合监管要求的数据驱动型决策。.
InvestGlass 还与托管人信息反馈、电子邮件和日历系统集成，确保无缝通信和数据管理，进一步支持 DORA 合规性。使用 InvestGlass 的金融机构受益于更高的运营效率和安全的数据管理解决方案，使其成为实现合规性和复原力不可或缺的工具。.
成功案例
InvestGlass 的创新解决方案使金融机构更具弹性，更符合 DORA 等法规的要求。最新消息强调 InvestGlass 是瑞士未来的解决方案，凸显其在帮助金融实体应对复杂监管环境方面的有效性。.
通过利用 InvestGlass，金融机构成功地增强了其运营弹性并保持了合规性，确保了其在快速发展的数字环境中的稳定性。.
摘要
总之，DORA 代表着在提高金融业数字运营复原力方面向前迈出的重要一步。通过了解和执行其要求，金融机构可以保护自己免受网络威胁和运营中断的影响。从制定全面的 ICT 风险管理框架到利用企业架构和准备监管审计，本指南为实现 DORA 合规性提供了路线图。通过整合 InvestGlass 等技术解决方案，金融机构可简化合规工作，提高运营效率。迎接恢复之旅，确保您的机构为未来做好准备。.
常见问题
DORA 的主要目标是什么？
DORA 的主要目标是提高金融部门的数字业务复原力，保护网络和信息系统免受数字威胁。.
InvestGlass 如何支持 DORA 合规性？
InvestGlass 通过数字入职工具、客户关系管理集成、实时数据分析和人工智能驱动的洞察力支持 DORA 合规性，协助金融机构有效管理风险并遵守 DORA 标准。.
DORA 有哪些主要规定？
DORA 的主要条款包括：数字业务复原力的管理责任、信息和通信技术安全意识计划的专项预算，以及金融实体之间共享威胁情报的强制性规定。这些规定旨在加强金融部门的网络安全和业务恢复能力。.
为什么 DORA 规定持续监测很重要？
DORA 规定的持续监测非常重要，因为它能确保信息和通信技术风险管理框架保持 有效并符合监管要求，有助于及时发现和应对新出现的风险。.
DORA 涵盖哪些类型的金融实体？
DORA 涵盖广泛的金融实体，包括信贷机构、支付机构、投资公司、保险/再保险公司、账户信息服务提供商和职业退休准备金机构。它全面覆盖了各种金融机构和服务。.
