DORA i praktiken: Så bygger du digital operativ motståndskraft

Owe Strömbäck delar insikter från ett ICT-riskuppdrag inom finansiell sektor

Hur arbetar organisationer konkret med DORA i praktiken? Och vad krävs för att gå från regulatoriska krav till fungerande riskstyrning i vardagen?

Vi har pratat med vår konsult Owe Strömbäck, som just nu är på uppdrag inom ICT-riskkontroll i en finansiell organisation. Fokus ligger på att stärka den digitala operativa motståndskraften i linje med DORA.

Från regelverk till vardag

En återkommande utmaning i arbetet med DORA är att översätta omfattande regulatoriska krav till något som faktiskt fungerar i verksamheten.

I sitt uppdrag arbetar Owe i andra försvarslinjen med ansvar för att granska, utmana och stötta första linjen i deras hantering av IKT- och cyberrisker. Det handlar inte bara om att säkerställa efterlevnad, utan om att förstå hur risker faktiskt hanteras i praktiken och var det finns brister.

Arbetet omfattar bland annat riskanalyser, tematiska granskningar och uppföljning av incidenter, med ett tydligt fokus på att skapa lärande och kontinuerliga förbättringar.

Balansen mellan kontroll och rådgivning

En central del av rollen är att kombinera oberoende granskning med ett nära samarbete med verksamheten.

Som del av den oberoende riskkontrollfunktionen rapporterar Owe till Chief Risk Officer och ansvarar för att bedöma effektiviteten i första linjens arbete samt säkerställa kvalitet i riskrapportering och ramverk.

Samtidigt kräver uppdraget ett pragmatiskt och affärsnära arbetssätt. För att få verklig effekt behöver kontrollfunktionen också vara en konstruktiv partner som inte bara identifierar brister utan bidrar till lösningar som fungerar i praktiken.

DORA i praktiken som mer än compliance

En tydlig insikt från uppdraget är att DORA inte kan hanteras som ett isolerat complianceinitiativ.

För att skapa verklig effekt krävs att arbetet integreras i organisationens dagliga processer. Detta inkluderar områden som ICT-risk, cyberrisk, tredjepartsrisker och operativ kontinuitet, där DORA ställer tydliga krav och där komplexiteten ofta är hög.

I uppdraget har fokus därför legat på att utveckla och stärka riskramverk, förbättra kvaliteten i riskregister och säkerställa att organisationen har en tydlig och fungerande struktur för att hantera IKT- och cyberrisker.

Från projekt till förmåga

Många organisationer har kommit långt i sina DORA-initiativ men står nu inför nästa steg. Det handlar om att få arbetet att fungera långsiktigt.

Här blir skillnaden tydlig mellan att genomföra ett projekt och att bygga en varaktig förmåga.

I praktiken innebär det att integrera riskhantering i den dagliga verksamheten, säkerställa tydliga ansvar mellan första och andra försvarslinjen samt skapa beslutsunderlag som fungerar på lednings- och styrelsenivå.

Det är först när dessa delar sitter som arbetet med digital operativ motståndskraft börjar ge verkligt värde.

Interim som strategiskt verktyg

Uppdrag av den här typen ställer höga krav på både erfarenhet och förmåga att snabbt skapa struktur i komplexa miljöer.

Här blir interimlösningar ett effektivt sätt att tillföra rätt kompetens vid rätt tidpunkt, särskilt i organisationer som står inför ökade regulatoriska krav och behöver accelerera sitt arbete.

Med rätt senioritet kan en interimkonsult inte bara driva förändring och stötta organisationen operativt, utan också bidra till att bygga långsiktiga och robusta strukturer.

Står ni inför ökade regulatoriska krav eller behöver accelerera ert DORA-arbete?
Kontakta Mattias Katzenstein för att diskutera hur vi kan stötta er, operativt och strategiskt.

Mattias Katzenstein
Head of Interim Consulting | Partner
0701-55 54 44