Evropské nařízení DORA přináší nové nároky na digitální operační odolnost fintechových společností i dalších institucí. Jedním z klíčových prvků je propracovaná analýza obchodních funkcí, procesů a podpůrné infrastruktury. V tomto příspěvku nabízíme praktický postup, jak se s tímto požadavkem efektivně vypořádat.
S pokračující digitalizací finančních služeb a rostoucí závislostí na IKT („informační a komunikační technologie“) ekosystémech se digitální operační odolnost stala klíčovou oblastí systémového rizika. Evropská unie proto přijala nařízení o digitální operační odolnosti (DORA) — Nařízení (EU) 2022/2554, které nabylo plné účinnosti 17. ledna 2025.
Jedním z pilířů a v praxi administrativně nejnáročnější činností vyžadovanou nařízením DORA je zřízení komplexního rámce řízení IKT rizik. Základním předpokladem pro efektivní řízení rizik a zároveň požadavkem nařízení DORA je propracovaná analýza obchodních funkcí, souvisejících procesů a podpůrné infrastruktury.
Základem řízení rizik = vědět, co dělám, na čem to běží a co se stane, když to selže
Základem všeho je tedy praktická znalost vlastního prostředí: procesů, informačních aktiv, IKT aktiv a jejich vzájemných vazeb. Bez této znalosti není možné efektivně řídit rizika, plánovat kontinuitu, vyhodnocovat hrozby ani splnit požadavky DORA na incidentní hlášení a resilience testování. Z nařízení DORA pak rovněž vyplývá požadavek tuto praktickou znalost vlastního prostředí formálně zaevidovat, níže se proto pokusíme poskytnout praktický návod, jak se k této výzvě postavit.
Krok 1: Identifikace obchodních funkcí a souvisejících procesů
Cíl: Zjistit, jaké služby poskytujete, jakým způsobem jsou poskytovány a jaké další činnosti poskytování těchto služeb umožňují nebo jsou z jiného důvodu nezbytné (např. regulatorní požadavky), a jak jsou tyto činnosti technologicky zajištěné.
Jak na to:
- Zmapujte všechny činnosti, které probíhají uvnitř společnosti (např. investiční poradenství, platební operace, onboarding).
- Seznamte se s činnostmi zaměstnanců – co dělají, v jakých systémech.
- Vytvořte si katalog těchto činností a určete jejich vazbu na IKT.
- U každého procesu definujte: (i) Podprocesy, (ii) Konkrétní činnosti/kroky, (iii) zda je proces podporován IKT systémem (ano/ne)
Příklad:
| Proces | Podproces | Konkrétní kroky | IKT podpora |
|---|---|---|---|
| AML/KYC | Kontrola transakcí | Ověření prahů, kontrola jurisdikcí | ANO |
| Onboarding klienta | Založení klientského účtu | Založení klientského účtu, zadání údajů o klientovi, uložení smluvní dokumentace | ANO |
Krok 2: Identifikace informačních aktiv
Co je informační aktivum? Informační aktivum je soubor informací ve fyzické nebo digitální podobě, který je třeba chránit. Příklady: Osobní údaje klientů, Záznamy AML/KYC, Výpisy z účtů, interní reporty. |
Cíl: Identifikovat všechny datové sady, dokumenty a záznamy, které společnost používá v rámci činností identifikovaných v Kroku 1 a určit jejich rizikovost.
Hodnocení rizikovosti (D-I-A-H):
Informační aktiva se posuzují z pohledu požadavků na:
- Důvěrnost (D): požadavek na míru ochrany před zveřejněním nepovolaným osobám;
- Integritu (I): požadavek na potřebu, aby byla informace správná;
- Dostupnost (A): požadavek, aby byla informace dostupná v požadovaném čase; a
- Hodnověrnost (H): požadavek, aby informace pocházela z určeného zdroje.
Tyto faktory lze hodnotit například na stupnici 1–4. Dle jejich posouzení se pak určí celková rizikovost.
Příklad:
| Konkrétní krok | Informační aktiva | D | I | A | H | Kritičnost |
|---|---|---|---|---|---|---|
| Založení klientského účtu | Osobní údaje klienta | 3 | 4 | 3 | 2 | Vysoká |
| SMS kód pro aktivaci účtu klientem | 4 | 3 | 3 | 4 | Kritická |
Krok 3: Identifikace IKT aktiv
| Co je IKT aktivum?IKT aktivum je softwarové nebo hardwarové řešení, které podporuje informační aktiva.Příklady: Servery, databáze, aplikace, cloudová úložiště, Firewall, VPN, PC, AML nástroje. |
Cíl: Sepsat všechny systémy, zařízení, aplikace a infrastrukturu, ve kterých jsou uložena nebo zpracovávána informační aktiva identifikovaná v rámci Kroku 2 a opět určit jejich rizikovost dle D-I-A-H faktorů.
Příklad:
| Konkrétní krok | Informační aktivum | IKT aktivum | D | I | A | H | Kritičnost IKT aktiva |
|---|---|---|---|---|---|---|---|
| Založení klientského účtu | Osobní údaje klienta | Klientská Aplikace | 4 | 4 | 4 | 4 | Kritická |
| Databázový server | 4 | 4 | 3 | 3 | Kritická |
Krok 4: Vazby a rizika
V návaznosti na předchozí kroky, byste již měli mít představu o funkcích, procesech, aktivách a jejich vzájemných vazbách, můžete proto začít analyzovat možné zranitelnosti jednotlivých procesů, resp. souvisejících aktiv a identifikovat rizika jejich narušení.
Po identifikaci rizika jej ohodnotíte, a to na základě vazeb rizika na procesy a aktiva
Příklad:
| Riziko | Zranitelnosti | Postižené procesy / aktiva | MaxKritičnost | Dopadrizika | Mitigační opatření |
|---|---|---|---|---|---|
| Výpadek databázového serveru | Nedostatečná údržba, zastaralost IKT aktivapřílišné zatížení | Založení klientského účtu | Kritická | 7 | Řízení životního cyklu IKT aktiv a pravidelná výměna; monitoring výkonosti a zatížení |
| Osobní údaje Klienta | |||||
| Databázový server |
Shrnutí
Pokud se má IKT řízení stát více než jen „papírovým cvičením“, potřebujete:
- Jasnou metodiku mapování funkcí, procesů, aktiv
- Nástroj nebo šablonu pro evidenci a hodnocení (Excel / CMDB / GRC)
- Odbornou spolupráci napříč útvary (IT, právní, risk, business)
- A především: konzistentní, iterativní přístup, který se dá udržet i v menší organizaci
Zkušenost ukazuje, že klíčem k úspěchu je metodické vedení a praktické know-how napříč regulací, IT i právními riziky. Většina organizací nakonec zjistí, že bez správného právního partnera, který už tímto procesem úspěšně provedl jiné, se to zvládá jen obtížně – nebo vůbec.
Autorem právního okénka je AK FINREG PARTNERS
Ondřej Mikula, AK FINREG PARTNERS
Ondřej Mikula je advokátem a expertem v oblasti fintechu a práva finančního a kapitálového trhu. Prostřednictvím kanceláře FINREG PARTNERS, kterou spoluzakládal, pomáhá klientům s komplexními právními otázkami ohledně práva finančního sektoru.
FINREG PARTNERS je advokátní kancelář. Její právní a regulatorní poradenství přesahuje hranice tradičního výkonu advokacie. Klientům poskytuje široké spektrum právních služeb v oblasti finančního trhu, včetně externího výkonu compliance a interního auditu. Soustředí se rovněž na problematiku občanského a obchodního práva zejména v souvislosti s přípravou smluv, obchodních podmínek a jiných dokumentů, které klienti potřebují při své činnosti.
Autor