Frej har bygget hjemmeside om DORA i sin fritid: "Det er det hele værd, hvis jeg kan gøre en forskel for bare én"
Da Frej Jensen fra Middelfart Sparekasse mødte kolleger, der stadig kæmpede med basale spørgsmål om DORA, byggede han en online portal med AI, som alle kan bruge gratis. ”Hvis jeg kan gøre en forskel for bare en bank eller person, er det det hele værd.”
Selv i en stor bank overhørte han tilgangen: ’Vi har prøvet efter bedste evne’.
Frej Jensen sidder nu med en mistanke om, at implementeringen mange steder er sket som knopskydninger, hvor man har forsøgt at løse opgaven efter bedste evne, men uden at have fået den rette grundforståelse på plads først.
"Hvis man starter fra begyndelsen og følger den rækkefølge, som DORA-forordningen selv tilsiger – identificerer sine forretningsfunktioner, foretager den nødvendige forretningskonsekvensanalyse og fortsætter derfra – så ville man allerede have svarene på spørgsmål om, hvad der er kritisk eller vigtigt," siger han og fortsætter:
"DORA skaber reel værdi, når det bliver gjort rigtigt. Det er gennem den gode start, at værdiskabelsen kommer frem, og at det hele bliver løftet fra at være en trøstesløs compliance-øvelse til faktisk at gøre en forskel."
Det fik Frej Jensen til at overveje, hvordan det budskab kunne komme frem til så mange som muligt."
DORAstatus.dk
I december vendte Frej Jensen sig mod sin faste DORA-sparringspartner Claude AI, som han tidligere har brugt til at udarbejde en guide til den komplekse DORA-del om Register of Information.
Det kan du læse mere om her: Frej fandt kreativ løsning på DORA
Nu har han taget skridtet videre. I de seneste par måneder har han i sin fritid, for sine egne penge og uden programmeringskundskaber udviklet en hel hjemmeside med Claude AI, der fungerer som en gratis ressourceportal om DORA.
Han har kaldt den for DORAstatus.dk, og han håber, at indholdet kan klæde flere kollegaer i branchen på til at tage ejerskab over DORA, og få besvaret de kritiske spørgsmål.
”Hvis man har erkendt, at DORA er vigtigt, man reelt set ikke forstår det, så er det her værktøjet, der kan give den grundforståelse, der skal til for at komme videre,” siger han.
DORA-værktøjskasse til pressede kolleger
DORAstatus.dk er tænkt som en praktisk ressource til at få et overblik over DORA og ikke mindst en forståelse for rammeværket, uanset om man er tekniker eller bestyrelsesformand.
På siden kan man blandt andet finde:
- DORA på 15 minutter: Et interaktivt modul designet til at give en hurtig grundforståelse gennem konkrete scenarier.
- DORA GAP-analyse: Et selvevalueringsværktøj med 27 spørgsmål, der giver organisationen et hurtigt overblik over deres nuværende modenhed og viser, hvor de største huller findes.
- Interaktiv e-læring: Et omfattende forløb med 30 moduler fordelt på fem spor, der lærer brugeren om kravene gennem praktiske øvelser.
- Praktisk overblik: Et dokument på omkring 20 sider, der forsøger at skabe et fælles sprog om DORA-universet på tværs af it, compliance og ledelse.
Selvom materialet er skabt med hjælp fra Claude AI for at klare det tunge 'rugbrødsarbejde,' har Frej Jensen selv gennemlæst, testet og konsekvensrettet alt indholdet ud fra sin egen praktiske erfaring i bankverdenen.
En dum compliance-øvelse?
Med hjemmesiden ønsker Frej Jensen at give en udstrakt digital hånd til dem, som stadig kæmper med at adoptere DORA som det centrale rammeværk, det ifølge ham burde være.
Forløbet frem til, at DORA trådte i kraft, var noget tumultarisk. Selv flere store finansvirksomheder var ifølge en undersøgelse fra McKinsey i tvivl om, hvorvidt de kunne nå i mål inden forordningens deadline 17. januar 2025, mens der også var usikkerhed om, hvordan krav skulle tolkes.
Og en del af fortælling med DORA blev således også ’endnu en tung og kompliceret compliance-byrde’.
"Jeg kan godt forstå, at man tænker om det som en sur og dum compliance-øvelse. Det kan virke uoverskueligt, fordi man ikke ved, hvor man skal begynde, og fordi man mangler en forståelse for dens vigtighed," siger Frej Jensen, der fortsætter:
"Mange tænker måske også, at datacentralen klarer det meste."
Cybersikkerhed er en absolut nødvendighed
Der er al mulig grund til at se DORA som noget meget grundlæggende for ens organisation, mener Frej Jensen.
"Vi befinder os i usikre tid og hybridkrig, og man må antage, at de finansielle institutioner er særdeles udsatte. De er samfundskritiske, skal værne om deres integritet og håndtere folks penge. Det burde få alle - selv bedsteforældre - til at tænke, at cybersikkerhed er en absolut nødvendighed."
"Derudover kan DORA også skabe værdi udover i relation til cyber-resiliensen. Hvor ofte får man, som pengeinstitut et fuldstændigt billede af, hvilke forskellige forretningsfunktioner - altså samlende opgaver, der bliver løst, og hvilke af dem, som faktisk er vigtige for instituttets virke?"
Kigger man dernæst på de værktøjer, der findes på hylderne, er DORA-forordningen ifølge Frej Jensen et særdeles godt fundament at få på plads.
"Det er ikke et panser, men et rammeværk for både forebyggelse og håndtering, hvis det går galt. Ikke kun i regi af understøttende it, men ultimativt også i den daglige drift," siger Frej Jensen og henviser samtidig til, at det er det enkelte pengeinstituts bestyrelse, som står til ansvar for instituttets efterlevelse af DORA-forordningen.
Spis elefanten i bidder
Efter at have brugt meget tid med DORA-forordningen, herunder i samarbejde med Claude AI at have dissekeret den, mener Frej Jensen, at der er mange gode sider af forordningen.
Og selvom det kan virke uoverskueligt, er der en vej gennem junglen.
"Baseret på den viden, som jeg har i dag, forsøger jeg at formidle og synliggøre, at den her kæmpe elefant måske ikke er så stor igen og kan tages i mindre bidder," siger han.
Sammen med selve grundforståelse af DORA er det netop det, han med sin hjemmeside DORAstatus.dk forsøger at formidle videre til kollegaer i branchen.
Han håber, at han ved at afmystificere de tørre paragraffer og gøre dem til en praktisk ”værdistrøm” kan hjælpe især mindre pengeinstitutter med at finde modet til at tage ansvar og kunne stille de rigtige spørgsmål.
"Vi kan udlicitere opgaverne, men vi kan ikke udlicitere ansvaret," siger han.
"Og med ansvaret følger også at vi må – og skal kunne forstå det, vi arbejder med, så vi også skal stille de nødvendige spørgsmål til vores leverandører."
Frej Jensen kender om nogen til, at compliance-medarbejdere i især mindre institutter ofte sidder med mange forskellige kasketter på.
Men han håber, at hans lille bidrag kan være en hjælp for dem.
"Det er det hele værd, hvis jeg kan gøre en forskel for bare én. Det er alvorligt. Så følg vejen, og hvis du gør det, har du en bedre chance for, at du er i den rigtige retning."