银行 DORA 合规解决方案：坦诚比较

让我帮您省下三个月和供应商通电话的时间。

如果您在银行负责合规工作，那么您面临的并不是欧盟《数字运营韧性法案》（DORA）的问题。您面临的是证明成本的问题。法规已经写好。截止期限已经过去。您的国家主管机构（NCA）明天上午就可能要求您提交信息登记册，而唯一重要的问题是：要随时按需证明您的一切都井井有条，您需要付出多高的代价？

目前，大多数银行正在用世上最昂贵的货币支付这笔成本：资深人员的工时，分散在电子表格、咨询顾问以及为其他用途而打造的工具之上。

我以开发合规软件为生。Venvera 是我的产品，所以没错，我有偏向，而且我会在这次比较中把它放在第一位。但我要做一件大多数供应商不会做的事：我会明确告诉您，哪些人应该改买其他各个替代方案，包括您在什么情况下不应该买我的产品。因为买错工具的客户一年内就会流失，还会告诉所有人。买对工具的客户会留下来十年。我想要的是第二种客户。

银行采购 DORA 合规解决方案的四种方式

剥去营销包装，每一种面向银行的 DORA 合规解决方案都可以归入以下四类之一：

• 原生基于法规的平台。直接基于 DORA 文本构建的软件：五大支柱、事件报告时钟、信息登记册模板。Venvera 属于这一类。
• 咨询顾问。四大会计师事务所和专业咨询公司，负责解读法规、开展差距评估，并帮助您为监管沟通做好准备。
• 传统企业级 GRC 套件。您的母公司可能已经拥有的大型可配置平台。功能极其强大，但部署之慢也是出了名的。
• 审计自动化 SaaS。那些加上了 DORA 检查清单的 SOC 2 和 ISO 27001 证据收集平台。它们在自己的设计用途上表现出色，但它们的设计用途并不是这个。

还有第五种没人愿意承认的选择：电子表格加 SharePoint。与我交流过的中型银行中，大约有一半仍停留在这一阶段。我们也会把这一选项的账算清楚。

首先，如实看待 DORA 的实际要求

在比较工具之前，先看看工作的形态，因为工作的形态决定了工具的选择。

DORA 不是年度审计。它是一套永久性的监管制度，其五大支柱永不停歇地运转：

• ICT 风险管理（第 5 条至第 16 条）。一个由管理机构批准、持续更新的风险框架，其中的控制措施随时都能拿出证据。
• 事件管理与报告（第 17 条至第 23 条）。分类标准和报告时钟，一旦事件被归类为重大事件，时钟即开始计时：4 小时内提交初始通知，72 小时内提交中期报告，一个月内提交最终报告。错过任何一个时限，就不再只是一项审计发现，而是一次需要报告的失职。
• 韧性测试（第 24 条至第 27 条）。一个经过规划、执行并记录在案的测试计划，对于重要机构，还包括威胁导向渗透测试（TLPT）。
• 第三方风险（第 28 条至第 30 条）。评估每一份 ICT 合同，记录退出策略，审查集中度风险。
• 信息登记册。实施技术标准（ITS）模板：涵盖服务提供商、合同、职能和依赖关系的相互关联的登记册，以 xBRL-CSV 格式提交给您的 NCA。数百个字段必须彼此核对一致，否则提交就会被退回。

无论您购买什么，都必须以证据为支撑，长期承载全部五大支柱。在我们逐一分析各个选项时，请记住这幅图景。

选项 1：Venvera。我为什么打造它，以及为什么把它放在第一位

以下是我评判每一笔采购（包括我自己的产品）所用的价值公式：达成结果的可能性有多大，多快能达成，以及会消耗团队多少精力。DORA 解决方案的成败就取决于这三点，因为标价从来都不是真正的成本。真正的成本是您的运营韧性负责人每个星期五都在重建电子表格。

结果的可能性：平台逐条锚定法规

Venvera 并不是在审计工具上硬加一个“DORA 模块”。DORA 工作区直接基于法规本身构建。差距评估逐项检查五大支柱中的实际要求，并据此为您评分。每一项控制措施都映射到对应的条款。事件工作流内置分类标准，并为您启动 4 小时、72 小时和一个月的报告时钟，截止期限显示在事件记录上，而不是某个人的日历里。韧性测试模块保存您的 TLPT 和情景测试计划，以及测试结果和整改情况。信息登记册也不是一个模板包，而是一个实时更新的登记册：服务提供商、合同、职能及其关联关系，均按照 ITS 规则进行校验，只需一键即可导出为 xBRL-CSV 格式，提交给您的 NCA。

速度：以天计，而不是以季度计

您不需要实施 Venvera，只需登录即可。欧盟《数字运营韧性法案》（DORA）工作区第一天就能投入使用。大多数团队在第一周内就完成差距评估，并获得一份已评分的基线和一份自动生成的整改计划。相比之下，GRC 套件的部署以季度计，而咨询项目要经过六周的访谈才会交付第一份成果。

工作量：一次提供证据，处处满足合规

这是我最引以为傲的部分，也是银行尤其应该关注的原因。DORA 从来都不是您唯一的框架。您还要应对欧盟 NIS2 指令、欧盟《通用数据保护条例》（GDPR）、ISO 27001，也许还有面向金融科技业务的 SOC 2，以及针对您的模型的欧盟《人工智能法案》（EU AI Act）。Venvera 在一个平台上运行 16 个以上的框架，其框架映射功能将各框架之间的等效控制措施关联起来。只需为您的访问控制流程上传一次证据，就能同时满足 DORA、NIS2、ISO 27001 及其他框架中的对应控制措施。您的团队不必再针对五套不同的问题，把同一个事实证明五遍。

还有几项功能，它们的作用是减少工作量，而不是堆砌功能：

• 公司集团。银行集团在母公司实体中编写一次策略，每家子公司都会将其作为只读的唯一可信来源继承下来，同时各自保留自己的证据。专为控股架构而设计。
• 自动生成的董事会材料。董事会仪表板将五大支柱、事件和测试状况汇总成您的管理机构根据第 5 条所需的报告，因为 DORA 要求他们承担个人责任。
• 您的语言，您的密钥。界面支持英语、德语、西班牙语、保加利亚语、阿拉伯语和简体中文，可按组织和按用户切换，因此法兰克福的合规官和索非亚的风险分析师可以用各自的语言使用同一个系统。AI 辅助功能使用您自己的 API 密钥运行，您的数据托管在欧盟境内。
• 自动获取证据的集成。连接 Azure 和 Microsoft 365、Google Workspace 以及 Jira 后，安全态势证据会自动到位，而不必每个季度截图。

坦诚说明局限性

Venvera 不会替您解读法规，也不会替您与监管机构谈判。它是记录系统和工作流引擎。如果您的情况需要量身定制的法律解读，您仍然需要人类专家，这就引出了选项 2。

选项 2：咨询顾问。购买建议，而不是运营模式

四大会计师事务所和专注于韧性领域的精品咨询公司，确实擅长软件做不到的事情：解读法规中的灰色地带，帮助您为监管沟通做好准备，以及与红队一起实际执行 TLPT 项目。如果您是即将开展首次威胁导向渗透测试的重要机构，或者是跨境架构错综复杂的集团，那就购买这种专业能力。我是认真的。

只是要清楚自己得到的是什么。咨询项目总会结束。它产出的文件夹从交付那天起就开始过时，而要让它保持更新所需的顾问聘用费每年高达六位数。顾问产出的是建议。他们无法在您的国家主管机构（NCA）提出要求的当天上午 9 点，拿出一份始终保持最新的信息登记册。

行之有效的模式是：请顾问负责解读和 TLPT，并在平台上运行日常的合规体系。这种组合的成本低于纯咨询模式，而且让您真正拥有自己的合规能力，而不是租用它。

选项 3：传统企业级 GRC 套件。适合另一个量级的工具

大型 GRC 平台的能力非常强大。它们能够为您的整个企业建模，与所有系统集成，并经受住任何审计。如果您是一家头部银行，拥有专门的 GRC 运营团队、现成的许可证以及 18 个月的变革预算，那么它们是站得住脚的选择，任何 SaaS 供应商都不应假装不是这样。

低于这个量级，账就要重新算了。这些套件是工具包，而不是产品：DORA 以内容包和配置研讨会的形式交付，这意味着需要实施合作伙伴，也意味着项目计划以季度计，总成本是许可费的数倍。中型银行在配置套件上的花费，往往超过运行该套件原本要支持的合规职能的花费。如果您已经走上这条路并且行之有效，那就走完它。如果您还没有开始，请先确认自己是否需要这么重的方案。

选项 4：审计自动化 SaaS。审计方面出色，但在 DORA 的重点领域却很单薄

SOC 2 和 ISO 自动化平台的成功当之无愧。要借助自动化证据收集快速完成美式鉴证，它们是花钱能买到的最佳选择；如果您今年的首要需求是为企业销售取得 SOC 2，那就买一个，不必回头。

但请注意它们的重心。这些产品围绕审计来组织一切：审计是一种时点性的工作，客户是审计师。DORA 没有审计师。它有监管机构，没有结束日期，还有审计工具从未针对其设计过的交付物：采用 xBRL-CSV 提交的 ITS 登记册模板、以小时计的事件报告时钟、TLPT 计划，以及针对每个关键服务提供商的退出策略。在这些方面，检查清单式的覆盖并不等同于原生支持。如果您要做的是 DORA，就应该购买以法规本身为重心的产品。

选项 5：电子表格。让我们算一算您一直在回避的那笔账

电子表格感觉上是免费的。下面是它的实际成本。

仅信息登记册本身，就是一组相互关联的模板，每一个服务提供商关系都涉及数百个相互依赖的字段。假设您有 40 家 ICT 服务提供商，在每个报告周期中，每个关系需要 90 分钟来汇编、核对和重新验证。那就是每个周期 60 个小时，而且需要足够资深、能把事情做对的人来做。再加上事件报告演练、每次董事会会议之前追讨证据，以及通过电子邮件在各实体之间对策略进行版本控制，您每个季度要消耗数周的专家时间，去维护一份只要有人发布变更就会立刻过时的东西。

而且这种失效是无声无息的：在提交被退回，或者监管机构提出电子表格无法回答的问题之前，没有任何东西会提醒您登记册已经无法核对一致。您并没有省钱。您只是把一笔订阅费转换成了没有标价的资深人力成本和监管风险。

面向银行的 DORA 合规解决方案并列比较

谁应该买什么

• 同时承担欧盟《数字运营韧性法案》（DORA）、欧盟 NIS2 指令和 ISO 要求的中型银行、保险公司或支付机构：购买原生基于法规的平台。这正是 Venvera 所针对的客户。
• 在多个国家设有子公司的银行集团：答案相同，并使用公司集团功能，让策略一次性向下传递，而不是被四处转发。从您的西班牙子公司上线的那一天起，多语言界面就不再只是锦上添花。
• 面临首次 TLPT 或架构确实新颖的重要机构：聘请专家负责测试和解读，在平台上运行合规体系。
• 已有成熟 GRC 套件及配套团队的头部银行：继续沿用，但在续约时要如实核算总成本。
• 迫切需要 SOC 2 来推动销售管道的 SaaS 或金融科技公司：为此购买审计自动化工具。等到 DORA 成为您的问题时，您知道该去哪里找我们。
• 仍在使用电子表格的任何人：按照上一节的方法统计工时，乘以投入这些工时的人员的综合成本，然后依据真实的数字而不是感觉来做决定。

常见问题

对中型银行来说，最好的 DORA 合规解决方案是什么？

一个以证据支撑全部五大支柱的原生法规平台：按条款评分的差距评估，带有 4 小时、72 小时和一个月报告时钟的事件工作流，韧性测试计划，第三方登记册，以及可导出为 xBRL-CSV 的信息登记册。顾问在解读方面对其形成补充；他们无法取代记录系统。

银行使用 DORA 软件后还需要顾问吗？

有时需要，而且是针对特定工作：TLPT 执行、监管沟通、量身定制的法律解读。软件承载长期性的合规体系，因此咨询预算只需用在真正需要专业判断的时刻。

SOC 2 自动化平台能应对 DORA 吗？

它们可以承载 DORA 检查清单，而且非常适合以审计为导向的框架。但信息登记册、xBRL-CSV 提交、以小时计的事件报告时钟和 TLPT 计划，都不在它们所基于的审计模式之内。对于银行而言，原生法规支持是更稳妥的选择。

银行借助 Venvera 能多快做好 DORA 准备？

工作区第一天就能投入使用。大多数团队在第一周内完成评分差距评估，由此生成的整改计划就成为待办事项清单。此后便是执行，登记册、报告时钟和测试计划会随着您的工作逐步填充完善。

在其中查看您自己的信息登记册

这是我的提议，也是我作为买方时希望得到的提议。带着您的服务提供商清单来参加演示。我们会把您真实情况的一部分加载到信息登记册中，根据您的实际状况运行差距评估，您可以亲眼看到框架映射如何凭借您的 DORA 证据满足 ISO 和 NIS2 的控制措施。如果它没有明显胜过您目前的工作方式，您只是损失了 45 分钟，却获得了一个基准。

预约演示，并带上负责维护电子表格的那位同事。他们会是现场意见最强烈的人。