DORA Lead Manager

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. Dominio 1: Principi fondamentali e governance

   Una piccola impresa di investimento nel quadro ordinario DORA prende come riferimento l'assetto di una banca. La piattaforma gestisce pochi incarichi istituzionali sensibili ai tempi: quando viene scoperto, un errore è difficilmente revocabile prima dell'immissione sul mercato. L'assetto bancario abbina verifiche a campione delle operazioni a una costosa sorveglianza di numerosi collegamenti di filiale. L'impresa non possiede filiali. Quale pacchetto applicativo rispetta meglio la diversa natura dell'attività?

   1. Ridurre il campione in considerazione del minor numero di ordini; destinare le risorse così liberate a verifiche aggiuntive della connessione alla piattaforma centrale.
   2. Sostituire i controlli precedenti all'esecuzione con una riconciliazione giornaliera completa; trasferire a tale verifica integrale le risorse destinate al monitoraggio delle filiali.
   3. Orientare il controllo degli ordini prima dell'esecuzione ai rischi di errore sensibili al fattore tempo; adeguare il monitoraggio alle connessioni effettivamente utilizzate.
   4. Mantenere la distribuzione dei controlli adottata dalla banca; sostituire le verifiche delle filiali venute meno con verifiche della connessione esistente alla piattaforma effettuate con pari frequenza.

2. Dominio 2: Preparazione e pianificazione

   Due entità finanziarie appartenenti a un gruppo documentano le proprie funzioni in inventari distinti. In entrambe, un'istanza server è denominata «R7»; le istanze sono tuttavia ubicate sul medesimo host fisico H. Un'esportazione destinata alla pianificazione delle misure accorpa i record in base al nome, mantenendo così soltanto un responsabile di funzione. Entrambi i responsabili sono stati confermati sotto il profilo funzionale. Quale modifica preserva sia le responsabilità funzionali sia la comune dipendenza tecnica in caso di indisponibilità?

   1. Accorpare le due istanze in un unico record dell'host e sostituire i responsabili di funzione con il responsabile tecnico dell'esercizio confermato per H.
   2. Esportare le istanze in modo distinguibile per ciascuna entità e utilizzare i rispettivi numeri di contratto distinti per delimitare, ai fini della pianificazione, i gruppi soggetti alla medesima indisponibilità tecnica.
   3. Esportare le istanze in modo distinguibile per ciascuna entità e inserirle nella pianificazione collegandole entrambe a H e ai rispettivi responsabili di funzione confermati.
   4. Esportare le istanze come risorsa comune R7 e sostituire entrambi i responsabili di funzione con il ruolo competente per il successivo intervento di manutenzione.

3. Dominio 3: Gestione del rischio TIC e degli incidenti

   Una procedura di backup memorizza i dati dello stato di base e, separatamente, un registro delle operazioni. La procedura di riavvio prevista ripristina dapprima i dati dello stato di base e successivamente elabora il registro. Il produttore verifica la leggibilità di entrambi i file di backup. Un test interno ha inoltre caricato separatamente entrambi i file in programmi di verifica, confermando la correttezza dei relativi formati. Per il successivo test periodico è disponibile un ambiente isolato. Quale verifica fornisce l'evidenza ancora necessaria per la procedura di ripristino prevista?

   1. Ripristinare i dati dello stato di base ed elaborare il registro; confrontare lo stato così ottenuto con il risultato atteso per la procedura.
   2. Verificare nuovamente nell'ambiente isolato la leggibilità e il formato di entrambi i file; confrontare i risultati con i verbali di verifica del produttore.
   3. Creare due distinti insiemi di dati di riferimento a partire dai dati dello stato di base e dal registro; confrontare il rispettivo numero di record con i file di backup generati.
   4. Avviare nell'ambiente isolato un'immagine completa del sistema in esercizio; riconciliare i suoi dati con i dati di produzione attualmente disponibili.

4. Dominio 4: Test di resilienza e rischio dei terzi TIC

   Una microimpresa trasferisce contrattualmente i propri diritti di accesso, ispezione e audit, relativi a un servizio TIC a supporto di una funzione essenziale o importante, a un terzo indipendente designato dal fornitore. La scheda contrattuale consente di rivolgere richieste a tale terzo in qualsiasi momento. Un allegato procedurale disciplina un portale comune: il fornitore verifica anzitutto se, a suo giudizio, una richiesta sia fondata; soltanto in seguito essa diventa visibile al terzo indipendente. Sono proposti quattro adeguamenti per allineare la scheda contrattuale e il processo effettivo. Quale di essi preserva il diritto all'informazione mantenendo utilizzabile il portale?

   1. Confermare immediatamente la ricezione di ogni richiesta nel portale e farne verificare la fondatezza da un secondo dipendente del fornitore; inoltrarla al terzo dopo la conferma congiunta.
   2. Registrare ogni richiesta nel portale e mostrare all'impresa la risposta del fornitore; coinvolgere il terzo indipendente nella verifica qualora l'impresa contesti tale risposta.
   3. Mantenere il processo del portale e sottolineare nella scheda contrattuale la possibilità di presentare richieste in qualsiasi momento; subordinare ancora la visibilità per il terzo all'accettazione nel merito da parte del fornitore.
   4. Indirizzare la richiesta tramite il portale direttamente al terzo indipendente. Il fornitore integra le informazioni ove necessario, ma non decide in merito all'inoltro della richiesta.

5. Dominio 5: Riesame e miglioramento

   Una banca ha esternalizzato il riesame della conformità entro i limiti consentiti. La relazione valuta come superata un'esercitazione di ripristino, assumendo come momento finale il riavvio del server registrato nel log. Il registro della banca indica inoltre che l'elaborazione degli ordini dei clienti in attesa è stata completata in un momento successivo. Entrambe le indicazioni temporali sono documentate. Il criterio di verifica concordato riguarda la ripresa del servizio critico; la valutazione contenuta nella relazione non chiarisce quali attività siano necessarie a tal fine. Come dovrebbe verificare la banca tale conclusione?

   1. Ricondurre le attività al criterio concordato e chiarire con il revisore il momento finale; la banca resta responsabile della valutazione di conformità che ne deriva.
   2. Mantenere la conclusione esterna e registrare le successive risultanze della banca come attività operative residue; la provenienza della relazione determina il momento finale applicabile al riesame della conformità.
   3. Assumere immediatamente come determinante il momento successivo e respingere la relazione in quanto verifica errata; la durata documentata più lunga costituisce sempre il parametro di conformità più affidabile.
   4. Combinare i due momenti in una durata media e confrontarla con il criterio di verifica; l'utilizzo congiunto delle evidenze compensa le diverse prospettive derivanti dalla loro provenienza.

6. Dominio 1: Principi fondamentali e governance

   Un piccolo ente pensionistico aziendale o professionale rientra, sulla base di una classificazione verificata, nell'ambito dell'articolo 16, paragrafo 1, di DORA. La bozza del quadro semplificato elimina l'audit interno poiché l'articolo 6 non si applica direttamente. Quale trattamento di questo aspetto è corretto ai sensi della pertinente norma tecnica?

   1. Sostituire l'audit con l'autovalutazione periodica dell'organo direttivo responsabile dell'operatività.
   2. Prevedere l'audit soltanto su base volontaria e subordinarne lo svolgimento alla disponibilità di risorse residue.
   3. Mantenere un audit interno indipendente del quadro semplificato con una pianificazione proporzionata ai rischi.
   4. Sostituire l'audit con il recepimento senza modifiche di una relazione generale sui controlli predisposta dal principale fornitore di servizi TIC.

7. Dominio 2: Preparazione e pianificazione

   La strategia di resilienza di una banca stabilisce, quale obiettivo di sicurezza delle informazioni, la limitazione degli accessi privilegiati non autorizzati. Il cruscotto segnala il completamento del 100 per cento delle verifiche delle autorizzazioni; tuttavia, dai controlli a campione emerge che gli account inammissibili individuati rimangono attivi per settimane. Quale analisi degli indicatori risulta più convincente rispetto a tale obiettivo?

   1. Considerare il tasso di completamento come conseguimento dell'obiettivo e trattare gli account contestati ancora attivi esclusivamente come misure tecniche estranee alla strategia.
   2. Conteggiare gli account privilegiati di nuova creazione e desumerne il rischio residuo senza riferimenti alle autorizzazioni o agli account esistenti.
   3. Oltre al tasso di completamento, conteggiare gli ordini di revoca senza verificare l'effettiva revoca dei diritti.
   4. Il tasso di completamento misura l'avanzamento del processo; occorre rilevare anche l'esposizione privilegiata residua, ad esempio in base agli account ancora aperti e alla relativa anzianità.

8. Dominio 3: Gestione del rischio TIC e degli incidenti

   A seguito di un incidente connesso alle TIC sono stati sostenuti 70.000 EUR per il ripristino e le analisi forensi, nonché 35.000 EUR per lavoro straordinario dovuto all'incidente. Ulteriori 25.000 EUR riguardano un aggiornamento generale della sicurezza destinato all'operatività futura. Si prevede che l'assicuratore rimborsi 20.000 EUR. Quale calcolo corrisponde alla soglia di rilevanza economica?

   1. 130.000 EUR: includere il ripristino, il lavoro straordinario e l'aggiornamento della sicurezza, senza tenere conto dell'indennizzo assicurativo previsto.
   2. 85.000 EUR: includere il ripristino e il lavoro straordinario, escludere l'aggiornamento della sicurezza e detrarre il rimborso previsto.
   3. 70.000 EUR: includere il ripristino; escludere i costi del personale e l'aggiornamento, senza detrarre il rimborso.
   4. 105.000 EUR: includere il ripristino e il lavoro straordinario, escludere l'aggiornamento generale e non detrarre il rimborso.

9. Dominio 4: Test di resilienza e rischio dei terzi TIC

   Una banca non classificata come microimpresa è soggetta al quadro ordinario per la gestione dei rischi informatici. La sua politica relativa ai servizi TIC a supporto di funzioni essenziali o importanti è stata riesaminata dall'organo di gestione 18 mesi fa. Sei mesi fa, la funzione acquisti ha esaminato tutti i contratti esistenti senza rilevare esigenze di adeguamento. Il calendario prevede un nuovo riesame della politica soltanto in occasione di un nuovo contratto. Quale valutazione è corretta?

   1. L'esame dei contratti non sostituisce il riesame almeno annuale della politica da parte dell'organo di gestione; la periodicità prevista, esclusivamente legata al verificarsi di eventi, non è sufficiente.
   2. L'esame dei contratti svolto dalla funzione acquisti fa decorrere nuovamente il ciclo annuale di riesame della politica, purché non abbia rilevato esigenze di adeguamento dei contratti esistenti.
   3. La pianificazione legata al verificarsi di eventi è sufficiente, poiché una politica per la quale non siano state rilevate esigenze di modifica non è soggetta a un nuovo riesame periodico.
   4. Il riesame della politica può essere rinviato fino al contratto successivo, se la funzione acquisti ridistribuisce annualmente la politica invariata a tutte le funzioni competenti.

10. Dominio 5: Riesame e miglioramento

    L'organo di gestione di una banca deve deliberare entro quattro settimane su un nuovo piano di ripristino. Durante un'esercitazione basata su un caso concreto, i suoi membri spiegano correttamente i concetti, ma confondono gli effetti della perdita di dati con quelli dell'interruzione. Sono finanziabili due brevi sessioni formative prima della decisione e aggiornamenti periodici. Quale piano di sviluppo dovrebbe privilegiare la banca?

    1. Destinare entrambi gli incontri alla deliberazione pratica sullo scenario. Prima dell'approvazione verificare nuovamente la capacità dei membri di giudicare in autonomia.
    2. Tenere una lezione sui principi fondamentali e sostituire la seconda sessione con la raccomandazione scritta del responsabile TIC.
    3. Utilizzare entrambe le sessioni per un corso introduttivo certificato; considerare la partecipazione una prova sufficiente delle competenze.
    4. Utilizzare entrambe le sessioni per una consulenza specialistica; rinviare la verifica sul caso concreto al primo aggiornamento successivo alla decisione.

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.