Rapport sur les performances, y compris les critères de référence du secteur et les recommandations

Évalue la qualité de la gestion environnementale et la résilience de l'organisation en termes de risques climatiques.

Fournit des informations essentielles sur la performance environnementale de la cible et des recommandations pour améliorer votre prise de décision. 

Met en évidence la performance actuelle en matière d'environnement et de durabilité.

Fournit des conseils concrets sur les processus à mettre en place pour atteindre, et maintenir, un objectif net zéro.

 Prouve aux parties prenantes et aux investisseurs que vous respectez les normes du secteur.

Les audits ESG expliqués

Qui devrait utiliser les audits ESG de Vaultinum ?

100% online
1 seul compte pour toutes les solutions
Accès multi-utilisateur
Connexion multi-appareils

45 ans d'expérience
Collaboration avec des spécialistes de l'IT et de la cybersécurité


Certifié ISO27001 
Chiffrement automatique des données
Données stockées sur nos serveurs
Serveurs en Europe

Efficacité, expertise et sécurité : 3 promesses à tous nos clients.

Nos clients

Ils choisissent les audits ESG de Vaultinum

Simple, complet, concret

Comment fonctionne l'audit ESG de Vaultinum ?

Avez-vous besoin de plus d'informations sur nos audits ESG ?

Un audit ESG complet en ligne pour aider les organisations à évaluer leurs performances ESG et à créer un plan d'action pour améliorer leurs résultats.

Solution d'audit ESG en ligne | Vaultinum

Le DORA a pour ambition de créer un cadre harmonisé de gestion des risques technologiques à travers l’ensemble du secteur financier européen. Il s’applique à un large éventail d’acteurs, notamment les banques, les compagnies d’assurance, les institutions de paiement, les plateformes de financement participatif ainsi qu’à leurs fournisseurs de services TIC. 

Le règlement introduit une supervision directe des tiers critiques (prestataires de services cloud ou de technologies financières par exemple) qui jouent un rôle clé dans la continuité des opérations des institutions financières. En tant que texte spécialisé (lex specialis), il surpasse les dispositions générales de la directive NIS2 lorsqu’il s’agit de résilience numérique dans le secteur financier. Cette spécificité reflète l’importance stratégique de la stabilité financière dans un environnement où les cybermenaces évoluent rapidement. 

Points d’attention pour se conformer au cadre DORA 

Le DORA repose sur cinq axes fondamentaux qui structurent les efforts des entités concernées pour se mettre en conformité :

Les institutions financières doivent mettre en œuvre une gestion proactive des risques technologiques. Cela passe par l’identification des vulnérabilités, la mise en place de sauvegardes régulières, l’élaboration de plans de continuité des activités et la formation des équipes. Ces exigences visent à garantir une préparation optimale face à d’éventuelles perturbations. 

Le règlement impose l’établissement de protocoles spécifiques pour gérer les incidents TIC. Ces protocoles doivent comporter des mécanismes de détection précoce, des procédures de résolution et l’obligation de signaler tout incident majeur aux autorités compétentes. La documentation et la communication rapide des incidents permettent d’assurer une réponse efficace et coordonnée. 

Les tests de résilience consistent en des évaluations régulières des systèmes et infrastructures critiques. Ils intègrent des tests de pénétration, des simulations de réponse aux cyberattaques et des exercices de redémarrage après sinistre. Ces dispositifs permettent de mesurer la force opérationnelle des entités face à des scénarios extrêmes. 

DORA encourage une coopération accrue entre les institutions financières et leurs partenaires, notamment par le partage d’informations sur les menaces émergentes et les vulnérabilités identifiées. Cet échange vise à renforcer la sensibilisation collective et à réduire les risques systémiques.

Les relations avec les fournisseurs TIC sont strictement encadrées. Les institutions doivent : 

documenter tous les contrats pour identifier les fonctions critiques ; 

intégrer des clauses contractuelles sur les audits, la continuité des services, et les mécanismes de transition ; 

assurer un suivi rigoureux des performances des tiers, y compris leurs sous-traitants. 

Ces mesures permettent de limiter les risques associés à l’externalisation et de garantir la conformité tout au long de la chaîne de sous-traitance. 

Recommandations pratiques pour les entités concernées 

Pour répondre aux exigences du DORA, les institutions financières et leurs prestataires doivent entreprendre des ajustements profonds. Les étapes suivantes sont recommandées : 

Cartographie des contrats TIC : Identifier les accords existants et évaluer leur criticité. 

Mise à jour des contrats : Introduire des addenda spécifiques conformes au DORA avec des clauses sur les audits, la sécurité des données, et les plans de sortie. 

Collaboration avec les fournisseurs : Sensibiliser les partenaires aux nouvelles exigences et s’assurer de leur capacité à les respecter. 

Planification et tests : Organiser des simulations régulières pour évaluer l’efficacité des plans de continuité et des dispositifs de gestion des incidents. 

Ces démarches doivent être soutenues par une documentation rigoureuse et un suivi constant pour garantir une conformité durable. 

DORA redéfinit les standards de résilience opérationnelle et impacte directement la gouvernance des institutions financières. L’évaluation des mesures prises par les fournisseurs TIC pour s’aligner sur ces nouvelles obligations est nécessaire pour les investisseurs. 

Pour ces derniers, il convient d’examiner ces questions clés : 

Stratégie de gestion des risques : Les systèmes sont-ils suffisamment adaptés pour identifier et atténuer les vulnérabilités ? 

Qualité des relations avec les tiers : Les contrats incluent-ils des clauses conformes aux exigences du DORA ? Les fournisseurs sont-ils surveillés de manière adéquate ? 

Capacité de résilience : Les entités effectuent-elles des tests réguliers pour garantir leur préparation aux cybermenaces ? 

Protection des données : Les dispositifs en place assurent-ils la confidentialité, l’intégrité et la disponibilité des données sensibles ? 

Le livre blanc sur les clauses contractuelles DORA pour les entreprises TIC publié par Vaultinum expose de façon détaillée les exigences de ce règlement en ce qui concerne les accords conclus par les institutions financières avec leurs fournisseurs TIC. Ainsi, ces accords écrits, datés et signés doivent, entre autres, : 

entièrement décrire le service TIC ; 

encadrer la possibilité ou non de recourir à un sous-traitant ; 

localiser précisément les zones géographiques où seront fournies les services ; 

détailler les obligations de sécurité auxquelles doit répondre le fournisseur ainsi que les processus mis en place ; 

garantir la continuité de l’activité de l’institution : dans ce cadre, le recours à une clause d’entiercement peut permettre d’anticiper l’accès non seulement aux codes sources mais aussi à certaines données confidentielles ou sensibles ; 

prévoir une procédure de sortie et de transition en cas de résiliation du service. 

DORA marque un tournant dans la réglementation financière européenne et impose des normes strictes de résilience numérique. Les institutions financières et leurs fournisseurs TIC doivent adopter une approche méthodique pour intégrer ces exigences. Cela renforcera ainsi leur capacité à faire face à un environnement numérique de plus en plus complexe. Pour les investisseurs, le respect de ces obligations représente un gage de fiabilité et de pérennité et leur permet de conclure des accords plus sécurisés dans un secteur en mutation rapide. 

Les opinions, présentations, chiffres et estimations présentés sur le site Web, y compris dans le blog, sont uniquement destinés à des fins d'information et ne doivent pas être considérés comme des conseils juridiques. Pour obtenir un avis juridique, vous devez contacter un professionnel du droit dans votre juridiction.

L'utilisation du contenu de ce site Web, y compris du blog, à des fins commerciales, y compris la revente, est interdite, sauf autorisation préalable de Vaultinum. La demande d'autorisation doit préciser le but et l'étendue de la reproduction. À des fins non commerciales, tout le matériel de cette publication peut être cité ou réimprimé librement, mais une reconnaissance est requise, ainsi qu'un lien vers ce site Web.

Philippe est le CEO de Vaultinum. Après 20 ans passés dans le domaine de la Fintech, à l'international, et expert des nouvelles technologies et de la haute finance, Philippe dirige aujourd'hui Vaultinum.

Philippe Thomas

Adopté en janvier 2023, le Digital Operational Resilience Act (DORA) constitue une étape majeure dans la réglementation financière au sein de l’Union européenne. Cette législation impose aux institutions financières et à leurs fournisseurs de services TIC des obligations précises afin de renforcer leur résilience face aux risques numériques. Avec une mise en conformité obligatoire à partir de janvier 2025, les entités concernées doivent adapter leurs structures et leurs pratiques pour répondre à des exigences accrues. Ces transformations ont un impact direct sur leur fonctionnement, leur gouvernance et leurs relations contractuelles. 

Découvrez comment le Règlement DORA transforme la réglementation financière de l'UE et apprenez les étapes clés pour garantir la conformité des institutions financières et des fournisseurs de services TIC.

Tout ce que vous devez savoir sur la règlementation DORA

Comprendre la règlementation DORA : quelles conséquences pour les investisseurs ? 

1. Comment arbitrez-vous les choix architecturaux entre scalabilité et maintenabilité ?

Cette question touche au cœur de la conception des systèmes. Elle reconnaît que chaque décision technique implique des arbitrages et invite le CTO à expliquer les choix ayant guidé leur architecture. Par exemple, les architectures en microservices sont idéales en termes de scalabilité, mais elles peuvent engendrer une complexité importante en matière d’orchestration et de débogage. À l’inverse, les architectures monolithiques sont plus simples à gérer au démarrage, mais peuvent rencontrer des limites quant aux besoins de mise à l’échelle. 

Des questions complémentaires telles que : « Quels systèmes de surveillance avez-vous mis en place pour identifier les goulets d’étranglement liés à la scalabilité ? » ou « Comment gérez-vous les dépendances entre services pour éviter les défaillances en cascade ? » reflètent une compréhension approfondie des défis inhérents à la conception des systèmes modernes.

2. Quel est le bug le plus difficile que votre équipe a corrigé au cours des six derniers mois, et qu’avez-vous appris de votre codebase ? 

Cette question répond à deux objectifs : tester la connaissance qu’a le CTO des défis récents de son équipe, et révéler d’éventuels points faibles dans la codebase. Les bugs complexes mettent souvent en lumière des problèmes sous-jacents tels que la dette technique, des limitations architecturales ou des lacunes dans la couverture des tests. 

En posant cette question, vous découvrez également si l’équipe dispose de processus de débogage efficaces et d’une culture d’apprentissage issue des incidents. Si le CTO évoque des améliorations telles que des analyses de causes profondes ou des tests automatisés renforcés, cela témoigne d’un environnement de développement mature.

3. Comment gérez-vous les dépendances open-source pour minimiser les risques ?

Cette question témoigne immédiatement d’une compréhension approfondie de l’un des principaux risques du développement logiciel : la gestion des logiciels open source (OSS). Les OSS constituent la base de la plupart des architectures logicielles modernes, mais une gestion inadéquate des dépendances peut introduire des vulnérabilités ou des risques liés aux licences. 

Des investisseurs avisés pourraient enchaîner avec des questions telles que : « Utilisez-vous des outils tels que Dependabot ou Snyk pour automatiser l'identification des vulnérabilités ? » ou « Quelle est votre politique concernant l’utilisation de bibliothèques avec des licences restrictives comme AGPL ou GPL ? » montrent une maîtrise des outils pratiques et des implications juridiques liés à l’OSS. 

4. Quels indicateurs utilisez-vous pour mesurer la productivité des développeurs et la qualité du code ? 

Cette question examine l’efficacité opérationnelle de l’équipe et leur capacité à mesurer des résultats pertinents. Les indicateurs traditionnels comme les lignes de code écrites sont dépassés et trompeurs. Un CTO avisé mentionnera probablement des indicateurs tels que le temps moyen pour effectuer des changements (lead time for changes), la fréquence des déploiements ou le temps moyen de récupération après un incident (MTTR). 

Une question complémentaire telle que « Comment ces indicateurs influencent-ils votre planification des sprints ou votre gestion de la dette technique ? » peut ouvrir une discussion sur l’équilibre entre développement de nouvelles fonctionnalités et amélioration continue du code.

5. Comment gérez-vous les rollbacks en production, et quand en avez-vous effectué pour la dernière fois ? 

Les pannes en production sont inévitables, même pour les équipes les plus compétentes. Ce qui compte, c’est leur capacité à réagir efficacement. Cette question permet d’évaluer dans quelle mesure l’équipe est préparée à gérer l’imprévu, un élément crucial pour apprécier la résilience opérationnelle. La réponse du CTO pourrait inclure des stratégies telles que les déploiements blue-green, canary releases, ou les feature toggles, qui figurent parmi les meilleures pratiques pour limiter les risques en production. 

Une question complémentaire pertinente pourrait être : « Quel est votre processus décisionnel en cas de rollback, et comment trouvez-vous l'équilibre entre les risques et le temps nécessaire pour corriger le problème ? » Cette approche montre une compréhension fine des défis opérationnels en production et souligne l’importance de réduire les interruptions tout en maintenant la confiance des utilisateurs. 

6. Comment assurez-vous la résilience et la tolérance aux pannes dans les systèmes critiques ? 

Cette question porte directement sur la manière dont un système est conçu pour gérer les pannes et maintenir sa disponibilité, un enjeu majeur pour les applications orientées utilisateur. Un CTO pourrait évoquer des stratégies telles que la redondance, les mécanismes de basculement (failover) ou encore l’utilisation de disjoncteurs (circuit breakers) dans les architectures en microservices pour prévenir les défaillances en cascade. 

Une question de suivi pertinente pourrait être : « Comment simulez-vous des pannes pour valider ces mécanismes ? Utilisez-vous des outils comme Chaos Monkey ou d’autres pratiques d’ingénierie du chaos (chaos engineering) ? » Cette approche met en avant une maîtrise des méthodes de pointe pour tester la résilience des systèmes. 

7. Quels sont vos principaux goulots d’étranglement dans le cycle de développement ? 

Chaque équipe de développement rencontre des défis, et cette question invite le CTO à réfléchir aux contraintes opérationnelles, qu’elles soient liées au recrutement, aux outils, à la communication ou à la dette technique. La réponse pourra non seulement révéler les points faibles existants, mais aussi leur capacité à identifier et à résoudre les lacunes.

Une question complémentaire judicieuse pourrait être : « Comment priorisez-vous les améliorations pour résoudre ces goulets d’étranglement, et quels résultats visez-vous ? » Cela permet de maintenir l’attention sur les solutions, plutôt que sur les problèmes, tout en montrant que vous comprenez les liens entre l’optimisation des processus et les objectifs stratégiques de l’entreprise. 

8. Comment votre équipe aborde-t-elle la dette technique lors de la planification ? 

Cette question examine si l’équipe adopte une approche disciplinée pour équilibrer le développement de nouvelles fonctionnalités et le maintien de la qualité du code à long terme. Cela met également en évidence leur capacité à quantifier et à prioriser la dette, un aspect qui peut avoir un impact direct sur la scalabilité et l’adaptabilité futures.

Une question de suivi pertinente pourrait être : « Comment quantifiez-vous la dette technique ? Utilisez-vous des indicateurs tels que le taux de modification du code (code churn) ou les coûts de refactoring pour guider vos priorités ? » Cela montre que vous ne considérez pas la dette technique comme un concept, mais comme une réalité mesurable et exploitable. 

9. Quelle est votre stratégie pour gérer la croissance des données et leur scalabilité au niveau de l’infrastructure de stockage ? 

Cette question explore la stratégie de gestion l’augmentation des volumes de données à mesure que le produit évolue. Le CTO pourrait mentionner des approches comme le sharding, l’indexation, le database clustering ou l’utilisation de solutions de stockage évolutives comme Amazon RDS, DynamoDB ou Snowflake. 

Pour approfondir, vous pourriez demander : « Comment gérez-vous l’évolution ou le versioning de bases de données, notamment lorsque le produit et les exigences évoluent ? ». Cette question montre une compréhension des défis pratiques en matière d’architecture de données. 

10. Comment équilibrez-vous les priorités entre sécurité et vitesse de développement ? 

La sécurité peut parfois ralentir les cycles de développement, mais la négliger expose à des risques de failles et de non-conformité. Cette question invite le CTO à expliquer comment la sécurité est intégrée au processus de développement sans compromettre la vitesse. Il pourrait aborder des pratiques telles que le DevSecOps ou l’utilisation d’outils automatisés de sécurité dans les pipelines CI/CD. 

Un approfondissement pertinent pourrait être : « Quelle est votre stratégie pour détecter et corriger les vulnérabilités zero-day dans vos dépendances logicielles, et avec quelle rapidité pouvez-vous y répondre ? ». Cette question témoigne d’une expertise technique tout en mettant en lumière un enjeu critique auquel de nombreuses organisations sont confrontées. 

Pourquoi ces questions tech sont efficaces 

Ces questions dépassent le simple niveau de curiosité et explorent les subtilités de l’ingénierie logicielle, de la gestion opérationnelle et de la réduction des risques. Elles montrent que l’interlocuteur comprend les arbitrages, les défis et les outils qui façonnent une entreprise technologique moderne. 

Comme l’explique Jonathan Berdah, expert en Tech Due Diligence chez Vaultinum : « L’objectif n’est pas de pointer du doigt les domaines qui ne sont pas encore irréprochables. Bien que toutes les questions ne s’appliquent pas à chaque situation, engager ce type de discussions permet d'avoir une vision globale de la maturité de l’entreprise et aide le CTO à identifier les piliers à renforcer. » Ces questions vous positionnent également comme un interlocuteur averti et crédible, capable de comprendre réellement les subtilités de la construction et de la scalabilité d’une technologie performante.

Kristin est une avocate américaine spécialisée dans les domaines de la propriété intellectuelle et du droit des technologies. Elle est membre des commissions de stratégie et juridique de Vaultinum chargées de superviser et de mettre en œuvre les politiques et processus liés à la protection des actifs numériques.

Kristin A.

La Tech Due Diligence implique une analyse en profondeur des logiciels, des infrastructures et des méthodologies de travail pour comprendre ce qui se cache derrière les apparences. Poser des questions pertinentes présente 2 objectifs : obtenir des insights, et démontrer au CTO votre maîtrise des enjeux.

Ces dix questions sont conçues pour fournir des informations précieuses tout en démontrant une solide compréhension de l’écosystème technique. 

Découvrez les 10 questions tech essentielles à poser lors d’une Tech Due Diligence pour évaluer l’architecture, les pratiques des équipes et les risques technologiques. Un guide complet pour obtenir des insights stratégiques et démontrer votre expertise.

Les 10 questions à poser au CTO lors d'une Tech Due Diligence

10 questions à poser au CTO lors d’une Tech Due Diligence

Vaultinum

Due Diligence Technologique

Vendor Due Diligence Tech

Audit de Propriété Intellectuelle

Audit de Cybersécurité

Audit de Scalabilité

Audit ESG

Dépôt Logiciel

Software Escrow

Solutions

Nos Solutions

Blog

Ressources

S'informer

A propos de nous

Contact

Changer la langue

Ce site utilise des cookies pour améliorer votre expérience utilisateur. d'achat. Vous pouvez en savoir plus sur la manière dont nous utilisons vos données, en consultant notre politique de confidentialité. 

Utilisez le plan du site pour trouver ce que vous cherchez sur le site Vaultinum et accédez directement aux rubriques souhaitées

Audit de la performance ESG

Qui devrait utiliser les audits ESG de Vaultinum ?

Pour les investisseurs

Pour toutes les organisations

Efficacité, expertise et sécurité : 3 promesses à tous nos clients.

Efficacité

Expertise

Sécurité

Ils choisissent les audits ESG de Vaultinum

Comment fonctionne l'audit ESG de Vaultinum ?

Avez-vous besoin de plus d'informations sur nos audits ESG ?

Derniers articles du blog