Le diagnostic d'écart, étape par étape
Comment se déroule un audit DORA
Mis à jour le 19/06/2026
Un audit DORA suit une progression lisible: du cadrage du périmètre à la trajectoire priorisée. Voici les cinq étapes d'un diagnostic d'écart au règlement (UE) 2022/2554, et ce qui se joue à chacune.
Ce qu'un audit ne fait pas. Un audit établit un état d'écart et une trajectoire. Il ne délivre aucune certification officielle DORA et ne remplace ni la mise en oeuvre effective du dispositif, ni l'appréciation de l'ACPR, de l'AMF ou d'une autre autorité compétente.
Étape 1 · Cadrage du périmètre
L'audit commence par déterminer ce qui entre dans le champ: catégorie d'entité financière, fonctions critiques ou importantes, systèmes TIC concernés, prestataires impliqués et contraintes de calendrier. Le périmètre est calibré sur la réalité de l'entité, en tenant compte du principe de proportionnalité prévu par le règlement (les microentreprises sont exemptées de certaines exigences).
Étape 2 · Lecture des cinq piliers
Chaque exigence des cinq piliers est confrontée aux pratiques réelles: gouvernance du risque TIC, gestion des incidents, tests de résilience, prestataires tiers TIC, partage d'informations. Le détail des piliers est traité sur la page les 5 piliers DORA. À ce stade, l'audit qualifie chaque contrôle comme présent, partiel, absent ou non démontrable.
Étape 3 · Revue des preuves
Un écart n'a de valeur que s'il s'appuie sur une pièce. L'audit revoit les documents, contrats, registres, procédures, journaux d'incidents et résultats de tests réellement exploitables. C'est l'étape qui distingue un dispositif déclaré d'un dispositif prouvé: ce qui ne peut pas être démontré est traité comme un écart.
Étape 4 · Qualification et priorisation des écarts
Les écarts identifiés sont classés selon leur impact, leur urgence, leur difficulté de correction et leur exposition à une revue interne ou à une demande des autorités compétentes (ACPR, AMF). Cette priorisation sépare ce qui bloque, ce qui se corrige vite et ce qui exige un chantier de fond.
Étape 5 · Trajectoire et restitution
Le constat devient un plan lisible: responsables, preuves attendues, jalons et décisions à arbitrer, accompagné d'un registre de contrôles exploitable. La restitution vise un comité de direction ou un comité des risques, pas un rapport qui finit archivé.
Combien de temps prend un audit DORA
La durée dépend de la taille de l'entité, du nombre de fonctions critiques, du volume de prestataires TIC et du niveau de preuve déjà disponible. Le cadrage initial sert précisément à estimer cette durée avant tout engagement.
Sources de référence: règlement (UE) 2022/2554 (EUR-Lex), ACPR, AMF. Ce contenu informe sur une démarche d'audit ; il ne constitue pas un avis juridique individualisé.