DORA-asetusta sovelletaan Suomessa 17. tammikuuta 2025 alkaen. Sen tarkoituksena on varmistaa, että finanssialan palvelut kestävät tietojärjestelmien häiriöitä ja että organisaatio osaa palauttaa toimintansa hallitusti. Velvoitteet koskevat riskienhallintaa, poikkeamia, testausta ja ICT-palveluntarjoajista syntyviä riippuvuuksia. Pelkkä tietoturvapolitiikka tai sopimusluettelo ei osoita, että nämä kokonaisuudet toimivat yhdessä.
Suomalaisen toimijan kannattaa aloittaa omasta oikeudellisesta asemastaan ja palveluistaan. Kaikki pienet yritykset eivät kuulu samaan kevennettyyn järjestelmään, eivätkä kaikki vakuutusalan toimijat kuulu asetuksen soveltamisalaan. Myös raportointikanava ja raportoinnin taso on tarkistettava oman valvontasuhteen perusteella. Tämä opas kokoaa soveltamisalan, keskeiset päätökset ja käytännön toteutuksen; tiedot on tarkistettu 29. syyskuuta 2026.
Soveltamisala ratkaistaan ennen toteutussuunnitelmaa
Asetuksen 2022/2554 2 artikla luettelee soveltamisalaan kuuluvat toimijat. Niitä ovat esimerkiksi luottolaitokset, maksulaitokset, sähkörahayhteisöt, sijoituspalveluyritykset, tietyt rahastotoimijat, vakuutus- ja jälleenvakuutusyritykset sekä markkinainfrastruktuurin toimijat. Luettelo sisältää myös muun muassa luvanvaraisia kryptovarapalvelujen tarjoajia ja joukkorahoituspalvelujen tarjoajia. Liiketoiminnan nimike ei yksin ratkaise asiaa: tarkastelun kohteena on oikeushenkilö ja sen luvanvarainen tai muu asetuksessa määritelty toiminta.
Poikkeukset ovat olennainen osa soveltamisalaa. Asetus sulkee ulkopuolelle esimerkiksi Solvenssi II -direktiivin 4 artiklassa tarkoitetut vakuutus- ja jälleenvakuutusyritykset sekä vakuutusedustajat, jälleenvakuutusedustajat ja sivutoimiset vakuutusedustajat, jotka ovat mikroyrityksiä tai pieniä tai keskisuuria yrityksiä. Myös tietyt vaihtoehtorahastojen hoitajat ja pienimmät ammatilliset lisäeläkelaitokset on rajattu ulkopuolelle. Näitä poikkeuksia ei pidä korvata yleisellä väitteellä, että kaikki vakuutusyritykset tai kaikki pienet finanssiyritykset kuuluvat samaan ryhmään.
Finanssivalvonnan DORA-ohjeistus erottaa suomalaiset työeläkeyhtiöt asetuksen soveltamisalasta. Työeläkejärjestelmän asemaa ei kuitenkaan saa sekoittaa asetuksessa käsiteltyihin ammatillisiin lisäeläkelaitoksiin. Jos konsernissa on useita yhtiöitä, laatikaa soveltamisarvio erikseen jokaisesta: yhden yhtiön poikkeus ei automaattisesti vapauta muita yhtiöitä tai niiden käyttämää yhteistä palvelua.
ICT-palveluntarjoajan asema on erilainen kuin finanssiyhteisön. Asiakassopimukset voivat tuoda toimittajalle tietoturva-, avustus- ja tarkastusvelvoitteita. EU:ssa kriittisiksi nimetyt kolmannet ICT-palveluntarjoajat kuuluvat lisäksi erilliseen valvontakehikkoon. Jokainen paikallinen IT-kumppani ei silti muutu finanssiyhteisöksi eikä saa kaikkia sen raportointivelvoitteita pelkästään asiakkuuden perusteella.
Kirjatkaa arvioon soveltuva toimijaryhmä, mahdollisen poikkeuksen peruste ja tiedot, joihin ratkaisu perustuu. Päätöstä on tarkistettava esimerkiksi toimiluvan, yrityskoon tai palveluvalikoiman muuttuessa. Pankkien erityiskysymyksiä käsittelee DORA pankeille; yleinen tietosuoja Suomessa auttaa erottamaan henkilötietovelvoitteet finanssialan toimintavarmuudesta.
Suhteellisuus ja yksinkertaistettu kehys ovat eri asioita
Suhteellisuus tarkoittaa, että vaatimusten toteutuksessa otetaan huomioon toimijan koko, riskiprofiili sekä palvelujen ja toiminnan luonne, laajuus ja monimutkaisuus. Pieni organisaatio voi tarvita vähemmän monimutkaisia menettelyjä kuin kansainvälinen pankkiryhmä. Silti sen on pystyttävä perustelemaan valitut ratkaisut ja huolehtimaan kriittisten palvelujen jatkuvuudesta.
Asetuksen 16 artiklan yksinkertaistettu ICT-riskienhallintakehys on täsmällisempi oikeudellinen järjestely. Se koskee artiklassa lueteltuja ryhmiä, kuten pieniä ja ilman sidossuhteita olevia sijoituspalveluyrityksiä sekä tiettyjä vapautettuja maksu- ja sähkörahayhteisöjä ja pieniä ammatillisia lisäeläkelaitoksia. Mikroyrityksen koko ei yksin avaa tätä järjestelmää. Asetuksessa on myös erillisiä mikroyrityksiä koskevia helpotuksia, jotka on luettava asianomaisen velvoitteen yhteydessä.
Yksinkertaistettu kehys korvaa siihen kuuluvilla toimijoilla 5–15 artiklan järjestelmän. Se ei tarkoita riskienhallinnan, seurannan tai palautumisen poistamista. Artikla edellyttää muun muassa dokumentoitua kehystä, järjestelmien turvallisuuden seurantaa, riippuvuuksien tunnistamista, jatkuvuusjärjestelyjä ja niiden testaamista. Toimijan on myös hyödynnettävä poikkeamista ja harjoituksista opittua.
Käytännössä soveltamispäätös kannattaa liittää velvoiteluetteloon. Jokaisen vaatimuksen kohdalla näkyvät soveltuminen, perustelu, vastuuhenkilö ja toteutusta osoittava aineisto. Näin pieni organisaatio välttää sekä tarpeettoman raskaan toteutuksen että perusteettoman oletuksen siitä, ettei sen tarvitse tehdä mitään. Yksityiskohtaisempi kokonaisuus löytyy englanninkielisestä DORA-compliance-oppaasta.
Aloita palvelusta, älä pelkästä laiteluettelosta
Riskienhallinnassa on tiedettävä, mitä palvelua järjestelmät tukevat ja mitä tapahtuu, jos palvelu keskeytyy. Palvelinluettelo kertoo teknisistä osista, mutta ei välttämättä siitä, pystyykö asiakas nostamaan varoja, maksamaan laskunsa tai saamaan korvauspäätöksen. Tunnistakaa liiketoimintatoiminnot, niiden tietovarannot, henkilöt, järjestelmät ja ulkoiset riippuvuudet.
Kuvitelkaa maksupalvelu, jonka tietokanta toimii mutta ulkoinen tunnistuspalvelu on poissa käytöstä. Yksittäisen palvelimen valvonta voi näyttää vihreää, vaikka asiakkaat eivät pääse palveluun. Riskiskenaarion pitäisi kuvata juuri tämä vaikutus, käytettävissä oleva vaihtoehtoinen toimintatapa ja se, kuinka kauan häiriötä voidaan sietää. Sama ajattelu auttaa arvioimaan toimittajan häiriön vaikutusta.
Yleisen kehyksen piirissä johto määrittelee, hyväksyy ja valvoo ICT-riskienhallinnan järjestelyjä sekä vastaa niiden toteuttamisesta. Johtoryhmän esityksessä pitäisi näkyä avoimet riskit, päätöstä vaativat resurssit ja korjausten eteneminen. Pelkkä hyväksytty politiikka ei korvaa tietoa siitä, että palautusharjoitus epäonnistui tai kriittisen toimittajan sopimuksesta puuttuu tarpeellinen oikeus.
ICT-riskienhallinnan käytännön menetelmä yhdistää suojaamisen, havainnoinnin ja palautumisen. Jokaiselle olennaiselle riskille tarvitaan hallintakeino ja tapa arvioida sen toimivuutta. Kontrollin omistajan on ymmärrettävä, mitä näyttöä hän tuottaa: esimerkiksi pääsynhallinnan tarkastelu, varmistuksen palautustulos tai toimittajan ilmoitus todellisesta muutoksesta antaa eri tietoa kuin tyhjä hyväksymisruutu.
ICT-sopimusrekisteri ei ole järjestelmäinventaario
DORA:n 28 artiklan tietorekisteri koskee kolmansien osapuolten tuottamien ICT-palvelujen käyttöä koskevia sopimusjärjestelyjä. Sitä ylläpidetään asianmukaisilla yksilö-, alakonsolidointi- ja konsolidointitasoilla. Rekisterissä erotetaan kriittisiä tai tärkeitä toimintoja tukevat järjestelyt muista. Se ei ole pelkkä luettelo tietokoneista, lisensseistä tai omista sovelluksista.
Rekisterin tiedoista pitää muodostua ymmärrettävä yhteys palvelun, sopimuksen, toimittajan ja palvelua käyttävän finanssiyhteisön välille. Tietojen yhtenäisyys on tärkeää: sama toimittaja voi näkyä hankinnassa, laskutuksessa ja sopimuksissa eri nimillä. Myös konsernin sisäiset järjestelyt ja ulkoisten palvelujen ketjut on arvioitava soveltuvien rekisterivaatimusten mukaisesti, eikä konsernin sisäisyys yksin poista riippuvuutta.
Artikla 28(3) erottaa jatkuvan ylläpidon, vähintään vuosittain annettavat tiedot uusista järjestelyistä ja viranomaisen pyynnöstä toimitettavan koko rekisterin tai sen osan. Suomessa Finanssivalvonnan ohjeistus kuvaa vuosittaista ICT-sopimusrekisterin toimittamista. Tarkka ajankohta, tekninen aineisto, raportointitaso ja kanava on kuitenkin tarkistettava omaa toimijaa koskevasta ajantasaisesta raportointipyynnöstä. Asetuksen yleisestä artiklasta ei voi päätellä kaikille samaa vuosittaista kansallista määräpäivää.
Käyttäkää DORA-tietorekisterin rakennetta tiedonkeruun tukena, mutta tarkistakaa myös voimassa oleva viranomaismalli ja sen täyttöohje. Raportin tekninen hyväksyntä kertoo vain osan laadusta. Puuttuva kriittinen sopimus voi jäädä teknisessä tarkastuksessa havaitsematta, vaikka kaikki lähetetyt kentät olisivat oikeassa muodossa.
Nimetkää tiedon omistaja jokaiselle osa-alueelle. Hankinta tunnistaa sopimuksen, liiketoiminta määrittelee tuetun toiminnon ja tekninen vastuualue kuvaa palvelun riippuvuudet. Kun sopimusta muutetaan, rekisterin päivitys kuuluu samaan muutokseen. Vuosittainen kiirekorjaus on huono korvike prosessille, jossa tieto syntyy oikein jo hankinnan yhteydessä.
Poikkeamien luokittelu ja neljän tunnin määräaika
DORA:n viranomaisraportointi koskee laajavaikutteisiksi luokiteltuja ICT-poikkeamia; kaikki tekniset hälytykset eivät automaattisesti kuulu tähän ryhmään. Luokittelussa sovelletaan asetusta täydentäviä kriteerejä, jotka koskevat esimerkiksi asiakkaita, kestoa, palveluja, tietoja ja vaikutuksia. Tapahtuman arviointi voi muuttua, kun uutta tietoa saadaan. Kirjatkaa siksi sekä tietoisuuden synty että luokittelupäätös perusteluineen.
Delegoidun asetuksen 2025/301 5 artiklan mukaan alustava ilmoitus toimitetaan mahdollisimman pian, viimeistään neljän tunnin kuluessa laajavaikutteiseksi luokittelusta ja viimeistään 24 tunnin kuluttua siitä, kun poikkeama on tullut finanssiyhteisön tietoon. Jos poikkeama luokitellaan laajavaikutteiseksi vasta yli 24 tunnin jälkeen, alustava ilmoitus on toimitettava neljän tunnin kuluessa tästä myöhemmästä luokittelusta. Viimeksi mainittu sääntö on olennainen poikkeus, eikä sitä saa jättää pois aikataulusta.
Väliraportti toimitetaan viimeistään 72 tunnin kuluttua alustavan ilmoituksen toimittamisesta, vaikka tilanteessa ei olisi tapahtunut muutosta. Päivitetty väliraportti annetaan ilman aiheetonta viivytystä ja joka tapauksessa säännöllisen toiminnan palautuessa. Loppuraportin määräaika on viimeistään kuukausi väliraportista tai viimeisimmästä päivitetystä väliraportista. Kyse ei ole yhdestä kaikille raporteille yhteisestä kellosta.
Jos toimija ei pysty noudattamaan määräaikaa, sen on ilmoitettava tästä toimivaltaiselle viranomaiselle ilman aiheetonta viivytystä ja viimeistään kyseisen määräajan kuluessa sekä selitettävä syyt. Viikonloppuja ja yleisiä vapaapäiviä koskeva mahdollisuus toimittaa raportti seuraavana työpäivänä kello 12 mennessä sisältää merkittäviä poikkeuksia. Sitä ei sovelleta muun muassa luottolaitosten, keskusvastapuolten, kauppapaikkojen eikä NIS2:n keskeisiksi tai tärkeiksi määritettyjen finanssiyhteisöjen alustaviin ilmoituksiin ja väliraportteihin. Viranomainen voi rajata helpotusta myös muilta merkittäviltä toimijoilta asetuksen mukaisesti.
Prosessissa tarvitaan päivystävä päätöksentekijä, varahenkilö ja toimiva ilmoituskanava. Jos raportointi on annettu palveluntarjoajan tehtäväksi, finanssiyhteisön vastuu ei siirry pois. Sopikaa, kuka kokoaa vaikutustiedot ja kuka hyväksyy ilmoituksen myös silloin, kun toimitusjohtajaa ei tavoiteta. DORA-poikkeamailmoitusten ohje auttaa jäsentämään ilmoituksia, mutta käytännön kanava ja voimassa olevat lomakkeet tarkistetaan viranomaiselta.
DORA, NIS2 ja henkilötietojen suoja
DORA toimii NIS2:n tarkoittamana toimialakohtaisena EU-säädöksenä sen soveltamisalaan kuuluville finanssiyhteisöille, jotka on määritetty NIS2:n keskeisiksi tai tärkeiksi toimijoiksi. Päällekkäisiä riskienhallinta- ja ilmoitusvelvoitteita ei pidä rakentaa oletuksella, että jokainen finanssialan poikkeama on aina ilmoitettava erikseen myös NIS2-menettelyssä. DORA:n ja NIS2:n erot on hyödyllinen lähtökohta soveltamisarvioon; NIS2 Suomessa käsittelee kansallista yleiskehystä.
GDPR:n henkilötietojen suoja säilyy erillisenä. Maksujärjestelmän häiriö voi olla DORA:n kannalta merkittävä ilman henkilötietojen tietoturvaloukkausta. Toisaalta luottamuksellisten asiakastietojen paljastuminen voi synnyttää GDPR-velvoitteita, vaikka palvelu olisi koko ajan saatavilla. Arvioinnit tarvitsevat yhteisen tapahtumakuvan mutta eri oikeudelliset kriteerit.
Rekisterinpitäjä ilmoittaa henkilötietojen tietoturvaloukkauksesta valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnissa saatuaan siitä tiedon, ellei loukkauksesta todennäköisesti aiheudu riskiä henkilöiden oikeuksille ja vapauksille. Myöhästymisen syyt ilmoitetaan. Jokainen henkilötietojen tietoturvaloukkaus dokumentoidaan; korkean riskin tilanteessa arvioidaan erikseen ilmoittaminen rekisteröidyille 34 artiklan mukaisesti. Henkilötietojen käsittelijä ilmoittaa rekisterinpitäjälle ilman aiheetonta viivytystä.
Tietoturvaloukkauksen ilmoittaminen ja eri säädösten häiriöilmoitusten yhteensovitus auttavat jakamaan tehtävät. Yksi yhteinen tapahtumarekisteri voi palvella useita arviointeja, kun jokaiselle ilmoitukselle säilytetään oma peruste, määräaika, vastaanottaja ja lähetetty sisältö. Yhden viranomaisen kuittaus ei automaattisesti täytä kaikkia muita velvoitteita.
Testaus osoittaa, toimivatko suunnitelmat
Yleisen kehyksen mukaiseen testausohjelmaan kuuluu riskeihin perustuvia arviointeja ja testejä. Asetuksen 24 artiklan ohjelmavelvoitteissa mikroyritykset on erotettu muista toimijoista; yksinkertaistetun kehyksen omat testausvelvoitteet on puolestaan tarkistettava 16 artiklasta. Testauksen kokonaisuutta ei siksi pidä kuvata kaikille täsmälleen samanlaiseksi.
Muille kuin mikroyrityksille 24 artikla edellyttää vähintään vuosittain asianmukaisia testejä kaikille kriittisiä tai tärkeitä toimintoja tukeville ICT-järjestelmille ja sovelluksille. Testaajien riippumattomuus, havaintojen priorisointi ja korjausten varmistaminen ovat osa kokonaisuutta. Löydöksen kirjaaminen ei vielä osoita, että haavoittuvuus on korjattu tai palautuminen onnistuu tavoitellulla tavalla.
Uhkaperusteinen tunkeutumistestaus eli TLPT on erillinen vaativampi järjestely. Sitä sovelletaan 26 artiklan mukaisesti määritettyihin toimijoihin, ei automaattisesti jokaiseen asetuksen piiriin kuuluvaan yritykseen. Testaus tehdään lähtökohtaisesti vähintään kerran kolmessa vuodessa, mutta toimivaltainen viranomainen voi riskiprofiilin ja olosuhteiden perusteella muuttaa tiheyttä. Tarkka kohdejoukko ja testauksen hyväksyminen edellyttävät viranomaisyhteistyötä.
TLPT-testauksen perusteet täydentävät suunnittelua. Tavallinen palautusharjoitus ei korvaa vaadittua TLPT-testiä, eikä onnistunut TLPT poista jatkuvuussuunnitelmien ylläpitoa. Liittäkää jokainen havainto korjaavaan toimenpiteeseen, vastuuseen ja määräaikaan. Harjoituksen tärkein tulos voi olla tieto siitä, että tarvittava varahenkilö tai järjestelmäriippuvuus puuttui suunnitelmasta.
Toimittajasopimukset ja hallittu poistuminen
DORA:n 30 artikla erottaa kaikkia ICT-palvelusopimuksia koskevat keskeiset ehdot kriittisiä tai tärkeitä toimintoja tukevien palvelujen lisäehdoista. Sopimuksessa tarvitaan esimerkiksi selkeä palvelukuvaus, palvelun ja tietojen käsittelyn sijaintia koskevat tiedot, tietojen suojaa koskevat määräykset, palvelutason kuvaus sekä poikkeamiin liittyvä avustaminen. Kaikkia lisävaatimuksia ei pidä esittää samansisältöisenä velvoitteena jokaiselle vähäiselle hankinnalle.
Kriittisiä tai tärkeitä toimintoja tukevissa palveluissa korostuvat tarkemmat palvelutasot, merkittävien muutosten ilmoittaminen, jatkuvuusjärjestelyt, tarkastus- ja auditointioikeudet sekä toimiva poistumisstrategia. Arvioikaa sopimuksen lisäksi toteutus: saadaanko aineisto käyttökelpoisessa muodossa, tunnetaanko korvaava palvelu ja onko siirtymälle riittävä aika? Oikeus purkaa sopimus ei yksin pidä palvelua toiminnassa.
Keskittymäriski voi syntyä myös silloin, kun organisaatio ostaa usealta toimittajalta. Näiden taustalla voi olla sama pilvipalvelu tai tunnistusratkaisu. Sen vuoksi toimittajien lukumäärä ei yksin osoita vaihtoehtojen riippumattomuutta. Hankinnan arvioinnissa on selvitettävä, mitkä riippuvuudet ovat olennaisia ja mitä niiden toteutuessa voidaan käytännössä tehdä.
Finanssiyhteisö säilyttää vastuun velvoitteidensa noudattamisesta ulkoistuksesta huolimatta. Toimittajan sertifikaatti ja auditointiraportti voivat tuottaa hyödyllistä näyttöä, mutta niiden soveltamisala, ajankohta ja poikkeamat pitää lukea. Asiakkaan vastuulla olevat asetukset tai rajaukset voivat olla juuri niitä kohtia, joihin raportti ei anna vastausta.
Harjoittele yhden häiriön kulku päätöksestä palautumiseen
Käyttäkää harjoituksessa todelliseen palveluketjuun perustuvaa mutta selvästi kuvitteellista tilannetta. Ulkoinen palvelu lakkaa vastaamasta maanantaina kello yhdeksän, jolloin finanssiyhteisö saa poikkeamasta tiedon. Kello yksitoista käytettävissä olevat vaikutustiedot johtavat luokitteluun laajavaikutteiseksi. Alustava ilmoitus on tehtävä mahdollisimman pian, ja tässä esimerkissä neljän tunnin enimmäisaika luokittelusta päättyy kello viisitoista. Vuorokauden yleinen raja ei anna lupaa odottaa seuraavaan aamuun.
Muuttakaa seuraavalla kierroksella lähtötietoja. Aluksi vaikutukset näyttävät rajallisilta, mutta vasta yli vuorokauden kuluttua saadut tiedot johtavat laajavaikutteiseksi luokitteluun. Tällöin sovelletaan myöhempää luokittelua koskevaa neljän tunnin sääntöä. Harjoituksessa arvioidaan myös, saiko organisaatio tarvittavat tiedot ajoissa vai hidastiko tiedonkulkua puuttuva sopimusehto. Poikkeuksen olemassaolo ei oikeuta lykkäämään luokittelua tarkoituksellisesti.
Pyytäkää osallistujia nimeämään tietolähde jokaiselle raportin olennaiselle tiedolle. Asiakaspalvelu voi nähdä yhteydenottojen määrän, tekniikka palvelun saatavuuden ja liiketoiminta viivästyneiden tapahtumien vaikutukset. Lukujen pitää kuvata samaa ajanjaksoa. Jos arviot ovat alustavia, se ilmoitetaan avoimesti ja tieto korjataan seuraavassa raportissa. Epävarmuuden kirjaaminen on hyödyllisempää kuin perusteettoman tarkan luvun tuottaminen kiireessä.
Palautumista ei todeta pelkästään siitä, että palvelin käynnistyi. Tarkistakaa palvelun toiminta, tietojen eheys, keskeneräiset tapahtumat ja mahdolliset kaksoiskäsittelyt. Esimerkiksi maksun tekninen uudelleenlähetys voi ratkaista saatavuusongelman mutta synnyttää uuden riskin, jos alkuperäinen maksu olikin toteutunut. Palautuspäätöksessä tarvitaan siksi teknisen vastuualueen lisäksi toiminnon omistajan arvio. Asiakkaille annettavan tiedon on vastattava todellista palvelutilannetta.
Harjoituksen lopuksi verratkaa tapahtumaketjua suunnitelmaan. Missä kohdassa tieto pysähtyi, kuka teki päätöksen ja mikä varajärjestely todella toimi? Kirjatkaa havaintojen perusteella rajatut korjaukset sekä tapa todeta niiden valmistuminen. Jos ongelma oli puuttuva yhteystieto, tarkistakaa sen lisäksi yhteystietojen ylläpitoprosessi. Jos palautuminen riippui yhdestä henkilöstä, pelkkä puhelinnumeron lisääminen dokumenttiin ei poista riippuvuutta.
Samaa aineistoa voidaan käyttää johdon päätöksenteossa ilman tarpeetonta teknistä yksityiskohtaisuutta. Näyttäkää, mikä palvelu keskeytyi, kuinka pitkä katkos olisi ollut mahdollinen ja mikä investointi lyhentäisi sitä. Näin resurssipyyntö liittyy asiakkaiden palveluun eikä irralliseen työkalulistaan. Harjoitus myös paljastaa, ovatko sopimusrekisterin palvelukuvaukset ja todelliset palautumisriippuvuudet keskenään johdonmukaisia.
Toteutuksen seuranta ja valvontaan valmistautuminen
Finanssivalvonta toimii Suomessa DORA:n toimivaltaisena viranomaisena kansallisen toimivaltasääntelyn mukaisesti. Myös eurooppalaiset valvontajärjestelyt ja oman toimijan valvontasuhde vaikuttavat asiointiin. Käyttäkää organisaatiolle osoitettuja viranomaisohjeita sen sijaan, että kopioisitte toisen sektorin raportointimenettelyn. Valvontaa ja seuraamuksia käsittelevä opas auttaa ymmärtämään korjausten merkitystä ilman oletusta yhdestä kaikille samasta seuraamusmallista.
Hyvä seurantakokonaisuus yhdistää soveltamisarvion, kriittiset palvelut, olennaiset riskit, sopimusrekisterin ja avoimet toimenpiteet. Johdon on voitava nähdä, mikä riski on vielä ratkaisematta ja mitä palvelua se uhkaa. Yksittäisen raportin lähettäminen ei päätä työtä, jos tiedot ovat ristiriidassa sopimusten tai käytössä olevien järjestelmien kanssa.
Aloittakaa tunnistetuista puutteista ja osoittakaa jokaiselle vastuuhenkilö. Varmistakaa, että hankinnat, järjestelmämuutokset ja poikkeamien jälkikäsittely päivittävät samoja tietoja. Kun uusi palvelu otetaan käyttöön, sen sopimus, kriittisyys ja palautumisriippuvuudet eivät saa odottaa seuraavaa vuosittaista tarkastelua. Näin DORA-työ muodostaa toimivan osan palvelujen johtamista ja häiriötilanteisiin varautumista.