DORA Lead Manager

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. Dominio 1: Concetti fondamentali e governance

   Una piccola impresa di investimento nel quadro ordinario DORA prende come riferimento l'assetto di una banca. La piattaforma gestisce pochi incarichi istituzionali sensibili ai tempi: quando viene scoperto, un errore è difficilmente revocabile prima dell'immissione sul mercato. L'assetto bancario abbina verifiche a campione delle operazioni a una costosa sorveglianza di numerosi collegamenti di filiale. L'impresa non possiede filiali. Quale pacchetto applicativo rispetta meglio la diversa natura dell'attività?

   1. Ridurre il campione in considerazione del minor numero di ordini; destinare le risorse così liberate a verifiche aggiuntive della connessione alla piattaforma centrale.
   2. Orientare il controllo degli ordini prima dell'esecuzione ai rischi di errore sensibili al fattore tempo; adeguare il monitoraggio alle connessioni effettivamente utilizzate.
   3. Sostituire i controlli precedenti all'esecuzione con una riconciliazione giornaliera completa; trasferire a tale verifica integrale le risorse destinate al monitoraggio delle filiali.
   4. Mantenere la distribuzione dei controlli adottata dalla banca; sostituire le verifiche delle filiali venute meno con verifiche della connessione esistente alla piattaforma effettuate con pari frequenza.

2. Dominio 5: Riesame e miglioramento

   L'organo di gestione di una banca deve deliberare entro quattro settimane su un nuovo piano di ripristino. Durante un'esercitazione basata su un caso concreto, i suoi membri spiegano correttamente i concetti, ma confondono gli effetti della perdita di dati con quelli dell'interruzione. Sono finanziabili due brevi sessioni formative prima della decisione e aggiornamenti periodici. Quale piano di sviluppo dovrebbe privilegiare la banca?

   1. Destinare entrambi gli incontri alla deliberazione pratica sullo scenario. Prima dell'approvazione verificare nuovamente la capacità dei membri di giudicare in autonomia.
   2. Tenere una lezione sui principi fondamentali e sostituire la seconda sessione con la raccomandazione scritta del responsabile TIC.
   3. Utilizzare entrambe le sessioni per un corso introduttivo certificato; considerare la partecipazione una prova sufficiente delle competenze.
   4. Utilizzare entrambe le sessioni per una consulenza specialistica; rinviare la verifica sul caso concreto al primo aggiornamento successivo alla decisione.

3. Dominio 4: Test di resilienza e terze parti

   Un'impresa di assicurazione utilizza un portale contrattuale centralizzato. Nel portale è integralmente documentato un servizio TIC continuativo per la prenotazione di locali, valutato come non critico. Attualmente, l'esportazione destinata al registro delle informazioni DORA esclude mediante filtro tutti gli accordi non critici. Quale modifica dell'esportazione rappresenta correttamente il patrimonio contrattuale esistente?

   1. Mantenere il filtro e aggiungere all'esportazione del registro un rinvio al portale contrattuale completo.
   2. Eliminare il filtro e mantenere nel registro l'indicazione che il servizio è valutato come non critico.
   3. Contrassegnare il contratto come critico ai fini dell'esportazione e mantenere nel portale la diversa valutazione specialistica.
   4. Raggruppare nell'esportazione gli accordi non critici in un'unica voce aggregata recante il numero complessivo.

4. Dominio 3: Rischi informatici e incidenti

   Un'entità finanziaria rileva un incidente connesso alle TIC alle ore 09:00 di martedì e lo classifica come grave incidente TIC alle ore 11:00 dello stesso giorno. Non si applicano proroghe particolari dei termini. Entro quando deve essere effettuata al più tardi la notifica iniziale, qualora non sia concretamente possibile effettuarla prima?

   1. Mercoledì alle ore 09:00.
   2. Martedì alle ore 13:00.
   3. Martedì alle ore 15:00.
   4. Mercoledì alle ore 11:00.

5. Dominio 2: Pianificazione e attuazione

   In una banca, interruzioni continuative del servizio telefonico di ricezione degli ordini pari o superiori a 20 minuti producono conseguenze non più sostenibili per i clienti. L'accordo vigente con il fornitore consente singole interruzioni fino a 60 minuti. Una proposta fissa pertanto la tolleranza strategica per l'impatto a 60 minuti; un'altra utilizza una media mensile inferiore a 20 minuti. Quale raccomandazione di approvazione è maggiormente giustificata?

   1. Approvare una tolleranza di 60 minuti, poiché è già garantita contrattualmente e può quindi essere dimostrata in modo affidabile.
   2. Approvare una media mensile inferiore a 20 minuti, poiché compensa le singole interruzioni più lunghe con i periodi privi di disservizi.
   3. Allineare la tolleranza a un'interruzione continuativa inferiore a 20 minuti e trattare lo scostamento dell'impegno del fornitore come un'esigenza attuativa.
   4. Fissare inizialmente la tolleranza per l'impatto sulla media tra 20 e 60 minuti e perfezionarla, dopo il primo anno di esercizio, sulla base delle interruzioni effettive.

6. Dominio 1: Concetti fondamentali e governance

   Un piccolo ente pensionistico aziendale o professionale rientra, sulla base di una classificazione verificata, nell'ambito dell'articolo 16, paragrafo 1, di DORA. La bozza del quadro semplificato elimina l'audit interno poiché l'articolo 6 non si applica direttamente. Quale trattamento di questo aspetto è corretto ai sensi della pertinente norma tecnica?

   1. Sostituire l'audit con l'autovalutazione periodica dell'organo direttivo responsabile dell'operatività.
   2. Mantenere un audit interno indipendente del quadro semplificato con una pianificazione proporzionata ai rischi.
   3. Prevedere l'audit soltanto su base volontaria e subordinarne lo svolgimento alla disponibilità di risorse residue.
   4. Sostituire l'audit con il recepimento senza modifiche di una relazione generale sui controlli predisposta dal principale fornitore di servizi TIC.

7. Dominio 5: Riesame e miglioramento

   Una revisione interna riscontra che mancano presidi per gli accessi privilegiati. Una misura manuale temporanea è stata verificata ed è efficace, mentre il rimedio definitivo non è ancora attuato. La procedura approvata di follow-up distingue una mitigazione provvisoria efficace dalla chiusura completa della carenza. Quale stato dovrebbe essere comunicato all'organo di gestione?

   1. Dare evidenza dell'efficace controllo transitorio e continuare a monitorare il rilievo, indicando il termine per la soluzione permanente.
   2. Chiudere il rilievo come completamente risolto e proseguire la soluzione permanente come intervento di ottimizzazione indipendente.
   3. Segnalare il rilievo, senza modificarne lo stato, come rischio non controllato e rinviare la considerazione dell'evidenza manuale alla soluzione definitiva.
   4. Rimuovere il rilievo dal follow-up per la durata del controllo transitorio e reinserirlo alla scadenza di quest'ultimo.

8. Dominio 4: Test di resilienza e terze parti

   Una banca non significativa ha completato i primi due test di penetrazione guidati dalla minaccia (TLPT) avvalendosi di tester interni ammessi. Per il terzo test dispone delle offerte di una società di testing indipendente e di una società TIC appartenente al gruppo ma giuridicamente distinta. Entrambi i gruppi di tester possiedono le competenze tecniche necessarie; la società del gruppo emette una propria fattura. Quale motivazione della scelta è corretta?

   1. Scegliere la società di testing indipendente, poiché i dipendenti della società TIC appartenente al gruppo sono considerati tester interni a tale fine.
   2. Scegliere la società del gruppo, poiché un distinto contratto di lavoro con un'altra società dimostra lo svolgimento esterno del test.
   3. Trattare entrambe le offerte come esterne e decidere in base all'esperienza tecnica comprovata.
   4. Scegliere la società del gruppo e incaricare la società indipendente di verificare successivamente la relazione.

9. Dominio 3: Rischi informatici e incidenti

   Una banca ha trasmesso la notifica iniziale venerdì alle ore 15:00. Lunedì alle ore 14:00, lo stato e il trattamento dell'incidente sono invariati; un riscontro tecnico è atteso soltanto in serata. Non vi sono giorni festivi né problemi tecnici di trasmissione. Quale preparazione adempie all'imminente obbligo di presentare la relazione intermedia?

   1. Attendere il nuovo riscontro tecnico e inviare la relazione intermedia completa lunedì sera.
   2. Trasmettere entro lunedì alle ore 15:00, come relazione intermedia, le informazioni disponibili rimaste invariate.
   3. Inviare entro le ore 15:00 soltanto la previsione di ripristino ed eliminare dalla relazione intermedia le altre informazioni rimaste invariate.
   4. Documentare internamente la situazione invariata e inviare la relazione intermedia dopo la ripresa della normale operatività.

10. Dominio 2: Pianificazione e attuazione

    Due entità finanziarie appartenenti a un gruppo documentano le proprie funzioni in inventari distinti. In entrambe, un'istanza server è denominata «R7»; le istanze sono tuttavia ubicate sul medesimo host fisico H. Un'esportazione destinata alla pianificazione delle misure accorpa i record in base al nome, mantenendo così soltanto un responsabile di funzione. Entrambi i responsabili sono stati confermati sotto il profilo funzionale. Quale modifica preserva sia le responsabilità funzionali sia la comune dipendenza tecnica in caso di indisponibilità?

    1. Accorpare le due istanze in un unico record dell'host e sostituire i responsabili di funzione con il responsabile tecnico dell'esercizio confermato per H.
    2. Esportare le istanze in modo distinguibile per ciascuna entità e inserirle nella pianificazione collegandole entrambe a H e ai rispettivi responsabili di funzione confermati.
    3. Esportare le istanze in modo distinguibile per ciascuna entità e utilizzare i rispettivi numeri di contratto distinti per delimitare, ai fini della pianificazione, i gruppi soggetti alla medesima indisponibilità tecnica.
    4. Esportare le istanze come risorsa comune R7 e sostituire entrambi i responsabili di funzione con il ruolo competente per il successivo intervento di manutenzione.

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.