Bygg et DORA-informasjonsregister som tåler en tilsynsmyndighet
Hva DORAs informasjonsregister er, hva som hører hjemme i det, og hvordan du holder det eksportklart for tilsynsmyndigheten din uten at det blir et regnearkmareritt.
Av alle DORAs krav er informasjonsregisteret ett av de mest håndfaste: en strukturert oversikt over dine avtaler med IKT-tredjeparter som tilsynsmyndigheter kan be om, og forvente at er nøyaktig.
Hva registeret er
Informasjonsregisteret er en vedlikeholdt oversikt over kontraktsavtalene dine for bruk av IKT-tjenester levert av tredjepartsleverandører. Det knytter sammen leverandørene dine, funksjonene de understøtter og arten av hver avtale, særlig hvilke som understøtter kritiske eller viktige funksjoner.
Det er ikke et engangsspørreskjema. Det er en levende oversikt som skal gjenspeile virkeligheten i det øyeblikket en tilsynsmyndighet ber om det.
Hva som pleier å gå galt
De fleste virksomheter starter i et regneark. Det fungerer helt til:
- En leverandør endres og arket gjør det ikke
- To team holder to versjoner
- En funksjon reklassifiseres og ingenting nedstrøms oppdateres
- Revisjonen ber om dokumentasjon som arket bare oppsummerer
Registeret svikter ikke fordi dataene er vanskelige, men fordi det er vanskelig å holde det synkronisert for hånd.
Hvordan det ser ut når det er gjort riktig
Et robust register behandler hver oppføring som sammenkoblede data, ikke som en rad:
- Leverandører koblet til funksjonene de understøtter
- Hver funksjon klassifisert (kritisk/viktig versus annet), med begrunnelsen registrert
- De relevante bestemmelsene i artikkel 30 sporet per avtale
- Endringer fanget opp med et revisjonsspor, slik at historikken er beviselig
- Ett-klikks eksport i den forventede strukturen til myndigheten
Gjør det til et biprodukt, ikke et prosjekt
De mest pålitelige registrene vedlikeholdes ikke som en egen oppgave; de er et biprodukt av måten du allerede forvalter leverandører og erklæringer om kritiske funksjoner på. Når oppdatering av en leverandør eller en klassifisering automatisk oppdaterer registeret, forsvinner avviket.
Det er tilnærmingen ResiliencePilot tar: informasjonsregisteret genereres fra leverandøravtalene dine og erklæringene om kritiske funksjoner, holdt revisjonsklart og eksporterbart. Se DORA-løsningen for hele bildet.