DORA et l’administrateur indépendant : la résilience numérique est devenue un critère de sélection

Depuis le 17 janvier 2025, le règlement européen sur la résilience opérationnelle numérique (DORA) s’applique. Et contrairement à une idée répandue, il ne s’adresse pas d’abord aux directions des systèmes d’information : il s’adresse à l’organe de direction. Autrement dit, au conseil d’administration. Pour l’administrateur indépendant, c’est à la fois une nouvelle exigence de compétence et une opportunité de mandat — à condition de savoir de quoi l’on parle.

Ce que DORA change vraiment dans la salle du conseil

DORA poursuit un objectif simple : faire en sorte qu’une banque, un assureur, un gestionnaire d’actifs ou une fintech puisse continuer à fonctionner après une panne majeure, une cyberattaque ou la défaillance d’un prestataire cloud. Le règlement impose pour cela une gouvernance explicite du risque numérique, et il la place au niveau le plus élevé de l’entreprise.

Concrètement, trois obligations remontent directement au conseil :

• La responsabilité finale : l’organe de direction définit, approuve et supervise la stratégie de résilience opérationnelle numérique. Il ne peut pas la déléguer à un comité technique.
• La stratégie et l’appétence au risque : le conseil doit fixer le niveau de risque numérique qu’il accepte, et vérifier que l’exécutif s’y tient. C’est un exercice de gouvernance, pas d’ingénierie.
• Le contrôle des prestataires critiques : la dépendance à un fournisseur cloud, à un éditeur de logiciel ou à un prestataire de paiement devient un sujet de conseil, avec un registre des accords conclus et une évaluation continue.

Le règlement ajoute une exigence souvent sous-estimée : les membres de l’organe de direction doivent actualiser leurs connaissances sur les risques liés aux technologies de l’information. Ce n’est pas une recommandation de bon sens, c’est une obligation de moyens dont l’absence peut être relevée par le superviseur.

Pourquoi le cyber devient un critère de sélection des administrateurs

Dans les faits, les comités de nomination cherchent désormais autre chose qu’un profil « technologie » au sens large. Ils cherchent un administrateur capable de lire un plan de continuité d’activité, de comprendre la différence entre un risque opérationnel et un risque de conformité, et de challenger un dirigeant sans se réfugier derrière le vocabulaire du RSSI.

Cette compétence ne s’improvise pas. Un ancien directeur financier comprend la logique économique d’une interruption de service ; un ancien directeur technique comprend l’architecture. Le bon administrateur de comité d’audit ou de risques, lui, sait relier les deux : quel scénario, quelle perte maximale acceptable, quelle décision, quel suivi.

Un conseil qui découvre sa dépendance à un prestataire cloud le jour de l’incident n’a pas un problème de cybersécurité. Il a un problème de gouvernance — et c’est précisément ce que DORA vient sanctionner.

Ce que le superviseur regardera réellement

Les autorités de supervision — en France, l’ACPR pour la banque et l’assurance, l’AMF pour la gestion d’actifs — ne demandent pas au conseil un rapport technique. Elles regardent trois choses : la trace des décisions prises en matière de résilience numérique, la qualité de l’information remontée au conseil, et la capacité de celui-ci à démontrer qu’il a exercé un jugement.

Ce basculement a une conséquence très concrète : les procès-verbaux deviennent un actif de gouvernance. Un conseil qui a débattu d’un scénario de rupture, arbitré un niveau de tolérance et fixé un point de suivi peut le prouver. Celui qui a seulement « pris acte » d’une présentation ne peut rien démontrer. La différence ne se joue pas sur la compétence technique des administrateurs, mais sur la discipline de leur gouvernance.

Les quatre questions que tout administrateur doit poser

Il existe un moyen très simple de tester la maturité d’un conseil sur DORA, sans être expert technique. Quatre questions suffisent :

1. Quels sont nos cinq prestataires TIC les plus critiques, et que se passe-t-il s’ils s’arrêtent soixante-douze heures ? Si la réponse est floue, le registre existe peut-être, mais il n’est pas piloté.
2. Quel incident majeur avons-nous testé l’an dernier, et qu’en avons-nous appris ? DORA impose des tests de résilience. Un test qui ne remonte aucun enseignement n’est pas un test, c’est une formalité.
3. Qui, au comité exécutif, porte personnellement le risque numérique ? Une responsabilité diluée entre la DSI, la conformité et les risques est une responsabilité qui n’existe pas.
4. De quoi le conseil a-t-il été informé au dernier trimestre, et sur quel indicateur a-t-il pris une décision ? La question révèle immédiatement si le conseil gouverne ou s’il assiste à une présentation.

Ces quatre questions n’exigent aucune compétence d’ingénieur. Elles exigent une compréhension du fonctionnement d’un conseil et une familiarité avec les concepts du risque opérationnel : c’est exactement le contenu d’une formation à la gouvernance, pas d’une formation technique.

Ce que cela change pour l’administrateur indépendant

Pour un administrateur indépendant, l’effet est double. Côté demande, les mandats dans le secteur financier — banques, assurances, sociétés de gestion, établissements de paiement — deviennent plus sélectifs : on attend de lui qu’il sache tenir le sujet en comité d’audit ou de risques, et qu’il puisse le démontrer. Côté offre, la concurrence s’est déplacée : les profils purement financiers restent nombreux, les profils capables de couvrir à la fois la finance et la résilience numérique restent rares.

Trois conséquences pratiques pour celui qui prépare son positionnement :

• Se former avant de candidater. Arriver en entretien avec une compréhension claire du périmètre DORA et de ses implications de gouvernance change immédiatement la nature de la conversation.
• Parler le langage du comité, pas celui de la DSI. Le conseil n’attend pas une revue d’architecture : il attend des scénarios, des seuils de tolérance et des décisions.
• Documenter sa compétence. Face à un comité de nomination, une certification reconnue vaut mieux qu’une expérience racontée — surtout lorsque le superviseur exige des preuves de formation continue.

La certification : une preuve, pas un diplôme décoratif

La certification de l’administrateur n’a de valeur que si elle atteste d’une capacité à gouverner. C’est la raison pour laquelle les parcours Blueboard Academy articulent les modules de gouvernance, de cyber et de réglementation : il ne s’agit pas d’apprendre à sécuriser un système d’information, mais à poser les bonnes questions, évaluer les réponses et assumer une décision.

Le module de cyber réglementaire de l’Academy a précisément été construit autour de ce basculement : NIS2 pour les entités essentielles, DORA pour le secteur financier, AI Act pour les systèmes d’intelligence artificielle utilisés en production. Trois textes, une même logique de gouvernance, et une même exigence : l’organe de direction répond de ce qu’il n’a pas supervisé.

Il faut le dire clairement : DORA ne concerne pas toutes les entreprises françaises. Une PME industrielle n’est pas une entité financière. Mais elle est souvent prestataire d’une entité financière — et se retrouve alors dans le périmètre indirect du règlement, avec des exigences contractuelles nouvelles et un client qui audite. La résilience numérique est devenue une clause de la relation commerciale avant d’être une obligation légale.

Il faut également mesurer le coût de l’inaction. Une interruption prolongée de service, dans le secteur financier, se traduit en pertes directes, en sanctions réglementaires et, surtout, en perte de confiance. Les administrateurs qui ont vécu ce type de crise le disent tous : ce n’est pas la panne qui coûte le plus cher, c’est le temps mis à décider.

Ce que Blueboard attend d’un administrateur « résilience »

Sur la plateforme, les mandats liés au numérique ne demandent pas des experts techniques. Ils demandent des administrateurs capables de tenir une réunion de deux heures sur un plan de continuité, de challenger un prestataire critique et de conclure par une recommandation claire au conseil. C’est une compétence de gouvernance, et elle s’acquiert.

La bonne question n’est donc pas « suis-je assez technicien pour siéger ? » mais « suis-je capable de faire décider un conseil sur un risque que je ne maîtrise pas moi-même ? ». C’est précisément le métier de l’administrateur indépendant, et c’est ce que la formation en gouvernance vient structurer.

DORA, NIS2, AI Act : les textes vont continuer d’arriver. Ceux qui auront pris le temps de se former maintenant n’auront pas à courir après chaque règlement. Ils auront acquis la seule compétence durable : savoir gouverner l’incertitude technologique.