Objectifs
- Connaître le dispositif réglementaire DORA et intégrer les nouveaux enjeux de supervision.
- Identifier les principaux impacts pour les organismes d’assurance par rapport aux règlementations existantes.
- Se préparer à ces nouvelles exigences et aux attentes particulières de l’ACPR en la matière.
- S’appuyer sur les meilleures pratiques de place.
Animateur(s)
Gaël LEGER
leger@afges.com
- Comptabilité, contrôle de gestion et fiscalité.
- Risk Management et règlementation Solvency.
- Gouvernance et compétences du conseil.
- Actuariat.
Programme
1ENJEUX ET CONTEXTE REGLEMENTAIRE
Enjeux du risque cyber pour les organismes d’assurance.
Risque opérationnel et résilience opérationnelle numérique : quelles relations ?
Contexte réglementaire relatif au règlement DORA :
- Principales définitions.
- Périmètre des entités concernées.
- Présentation synthétique des obligations : gestion du risque informatique, des incidents informatiques, tests de résilience et gestion du risque de tiers (sous-traitance).
- Calendrier d’application.
Lien et interactions avec les réglementations existantes (notamment, Solvabilité 2).
Assurance du risque cyber : enjeux et marché.
2ORGANISATION DE LA GOUVERNANCE ET DE LA GESTION DU RISQUE INFORMATIQUE
Rappels sur la gouvernance et la gestion des risques en assurance (pilier 2 de Solvabilité 2).
Principes de gouvernance du risque informatique.
Rôles respectifs de l’organe d’administration, de gestion ou de contrôle (AMSB) et des dirigeants effectifs dans DORA.
Rôles respectifs des fonctions-clé gestion et risques et vérification de la conformité.
Stratégie de résilience opérationnelle numérique.
Cadre de gestion du risque informatique.
Fonction de sécurité de l’information.
Politique écrite encadrant la gestion du risque informatique.
Audit du risque cyber.
3GESTION DES INCIDENTS LIES AUX TIC
Processus de gestion des incidents informatiques.
Classification des incidents liés à l’informatique selon DORA :
- Taxonomie de référence de l’ENISA.
- Classification des incidents IT du Groupe d’Experts en Sécurité du G7.
Principes de notification des incidents informatiques majeurs aux autorités :
- Reporting et échange d’informations.
- Interactions entre DORA, Solvabilité 2 et SRI2.
Acquisition, développement et changement de TIC, gestion des projets informatiques.
4REVUES, EVALUATIONS ET TESTS DE LA SECURITE DE L’INFORMATION
Programme de tests de résilience opérationnelle numérique.
Approche par les risques et principe de proportionnalité.
Tests de pénétration fondés sur la menace (Threat-Led Penetration Tests) :
- Couverture des fonctions critiques ou importantes.
- Participation des prestataires de services tiers (politique écrite de sous-traitance).
- Principes de reconnaissance mutuelle au niveau européen.
- Conditions à respecter pour les testeurs internes et externes.
Intégration dans les dispositifs de tests existants en matière de sécurité des SI, plans de continuité d’activité et de gestion de crise.
Communication (interne et externe), sensibilisation et formation à la sécurité des systèmes d’information.
5GESTION DU RISQUE DE SOUS-TRAITANCE
Périmètre.
Gestion des risques liés aux prestataires.
Obligations contractuelles.
Registre d’informations.
Suivi de la performance et de la qualité.
Cadre de surveillance des prestataires critiques par les Autorités Européennes de Surveillance (EIOPA, ESMA …).
Analyse comparée des obligations DORA et des guidelines de l’EIOPA (notices ACPR) en matière de sous-traitance.
6SYNTHÈSE ET CONCLUSION
Synthèse de la journée.
Évaluation de la formation.
Public et pré-requis
Participants
- Responsables Résilience Opérationnelle.
- Responsables des Plans d’Urgence et de Poursuite de l’Activité.
- Responsables de la Sécurité des Systèmes d’Information.
- Responsables informatiques.
- Responsables des risques opérationnels.
- Responsables de fonction-clé gestion des risques.
- Responsables de fonction-clé vérification de la conformité.
- Auditeurs et membres de l’Inspection Générale.
Supports et moyens pédagogiques
- Documentation en power point.
- Alternance d’illustrations et d’exercices pratiques.
- QCU, Vrai/Faux, questions/réponses pour vérifier, réviser et confirmer les acquis.
- Synthèses.
Connaissances requises
- Aucune connaissance particulière n’est exigée.
Dates
| Dates | Localisation / Modalité | Animateur(s) | |
|---|---|---|---|
| 24/08/2025 | Gaël LEGER | S'inscrire | |
