DORA 差距评估

DORA 差距评估模块帮助您的组织系统地评估其在全部五大支柱上对《数字运营韧性法案》每项要求的合规情况。它采用结构化问卷方法和加权成熟度评分体系，生成可据以采取行动的量化结果，并自动生成补救路线图。

监管背景

差距评估是任何 DORA 合规计划的基础步骤。在制定补救计划之前，您需要准确了解组织目前对照该法规每一条款所处的状况。DORA 并未规定具体的自我评估方法，但欧洲监管机构（ESA）期望金融实体清楚了解自身的合规状况，并能够证明其随时间推移取得的进展。

Venvera 的差距评估将每个问题映射到其所针对的具体 DORA 条款。这意味着您的评估结果直接引用该法规，便于向管理机构、审计师或主管当局呈报评估发现。

评估类型

创建新评估时，您可以在两种类型之间进行选择：

类型	问题数	范围	适用情形
完整评估	69 个问题	全部 5 个 DORA 支柱，包含所有权重级别（关键、重要、标准）的问题	用于全面的合规评估。建议大多数金融实体采用。
微型实体	31 个问题	仅包含最高权重（关键，W3）的问题。注意：信息共享支柱没有 W3 问题，因此微型实体评估只涵盖 5 个支柱中的 4 个。	适用于根据相称性原则（第 4 条）符合条件的较小实体。仅涵盖核心监管要求。

评估列表页面

列表页面显示您的组织创建的所有差距评估。它提供：

• 状态筛选器下拉菜单，可仅显示进行中、已完成或已归档的评估
• 新建评估按钮，用于开始一次新的评估
• 数据表，包含以下列：日期、类型（完整评估或微型实体徽章）、状态（进行中/已完成/已归档徽章）、评分（按颜色区分的百分比）和操作（打开或删除）

评分按颜色区分：高于 70% 为绿色，40-70% 之间为琥珀色，低于 40% 为红色。尚未完成的评估会显示一个短横线，而不是评分。

问卷界面

打开评估后，问卷采用双面板布局。

左侧边栏：支柱导航

侧边栏列出全部五个 DORA 支柱，并附有可视化指示：

图标	支柱	条款	完整评估问题数
盾牌	ICT 风险管理	Art. 5-14	19 个问题
警报	事件管理	Art. 17-23	14 个问题
烧瓶	韧性测试	Art. 24-27	12 个问题
握手	第三方风险	Art. 28-44	20 个问题
卫星	信息共享	Art. 45	4 个问题

每个支柱按钮显示：

• 完成百分比徽章（100% 时为绿色，部分完成时为琥珀色，未作答时为灰色）
• 评分进度条（回答任何问题后出现），根据当前支柱评分以红色/琥珀色/绿色显示

点击支柱按钮后，主面板会切换为显示该支柱的问题。切换支柱时，系统会自动保存上一个支柱中所有尚未保存的更改。

支柱评分预览

主面板顶部的摘要卡片显示当前支柱的名称、条款范围、说明、当前百分比评分、评级标签（重大差距/部分合规/合规）、进度条，以及已回答的问题数与问题总数。

问题卡片

每个问题以卡片形式显示，包含以下元素：

• 问题编号：支柱内的顺序标签（Q1、Q2 等）
• 条款引用徽章：显示具体的 DORA 条款（例如“Art. 5(1)-(2)”）
• 权重徽章：表示该问题的重要程度：
  • 关键（W3）：红色徽章。核心监管要求。同时包含在完整评估和微型实体评估中。
  • 重要（W2）：橙色徽章。可增强合规性的重要要求。
  • 标准（W1）：灰色徽章。体现成熟度的支持性要求。
• 问题文本：评估问题本身，以通俗易懂的语言撰写
• 指南开关：点击“显示指南”可展开监管背景和帮助文本，说明该问题的含义以及哪些证据可以证明合规
• 成熟度按钮（0-4）：五个按钮，用于为组织的成熟度级别打分
• 备注字段 可选：用于填写补充背景或观察意见的自由文本区域
• 证据 URL 字段 可选：指向支持性文档的链接

自动保存

回答会在最后一次更改后 1.5 秒自动保存（防抖处理）。保存过程中，顶部栏会显示“正在保存...”指示。您无需点击保存按钮：只需回答问题，系统就会记录您的回答。

成熟度等级

该评估采用 5 级成熟度等级（0-4），为评估每项要求提供一致的框架：

分值	标签	说明	实际含义
0	未实施	没有任何控制措施或流程	组织完全未处理该要求。没有任何策略、程序、工具或已分配的职责。
1	初始	临时性、被动应对的流程，没有正式文档	可能会开展一些活动，但这些活动不正式、不一致，并且依赖于个人知识。不存在任何文档。
2	发展中	部分形成文档，执行不一致	策略或程序已起草，但尚未全面实施。不同团队或系统之间的执行情况各不相同。
3	已定义	已形成文档、一致执行并定期审查	已建立正式的策略和程序，员工已接受培训，流程得到一致执行。这是 DORA 合规的目标成熟度。
4	已优化	持续改进、可度量，并与最佳实践保持一致	流程得到主动度量，尽可能实现自动化，并根据指标、经验教训和新兴最佳实践不断完善。

评分公式

评分引擎采用加权公式，确保关键要求对总体评分的影响更大：

支柱评分 = (“得分 x 权重”的总和) / (“4 x 权重”的总和) x 100%

例如，如果某个支柱有三个问题，权重分别为 3、2 和 1，而您分别给它们打 4、3 和 2 分：

• 分子：(4 x 3) + (3 x 2) + (2 x 1) = 12 + 6 + 2 = 20
• 分母：(4 x 3) + (4 x 2) + (4 x 1) = 12 + 8 + 4 = 24
• 支柱评分：20 / 24 x 100 = 83%

总体评分是所有支柱评分的平均值。评分阈值为：低于 40% = 红色（重大差距），40-70% = 琥珀色（部分合规），高于 70% = 绿色（合规）。

五大支柱的问题领域

ICT 风险管理（Art. 5-14）：19 个问题

涵盖治理（Art. 5）、风险管理框架（Art. 6）、ICT 系统（Art. 7）、识别和资产清单（Art. 8）、保护（包括安全策略、加密、身份管理、补丁和变更管理，Art. 9）、检测（Art. 10）、响应和 BCP/DRP（Art. 11）、备份（Art. 12）、学习（Art. 13）以及危机沟通（Art. 14）。

事件管理（Art. 17-23）：14 个问题

涵盖事件管理流程（Art. 17）、与 DORA 阈值一致且包括全部七项量化因素的分类标准（Art. 18）、监管报告时限（4 小时内初始通知、72 小时内中期报告、1 个月内最终报告，Art. 19）、客户通知（Art. 19(3)）、事件后审查（Art. 17(3)）、事件响应团队就绪度、事件记录，以及自愿性网络威胁报告（Art. 19(2)）。

韧性测试（Art. 24-27）：12 个问题

涵盖韧性测试计划（Art. 24）、测试方法、漏洞评估和扫描（Art. 25）、渗透测试、源代码审查、基于场景的测试、针对重要实体的 TLPT 要求（Art. 26）、补救跟踪、将第三方服务提供商纳入测试范围（Art. 24(2)(b)），以及测试人员的独立性和资质要求（Art. 27）。

第三方风险（Art. 28-44）：20 个问题

涵盖 ICT 第三方风险战略（Art. 28(2)）、信息登记册（Art. 28(3)）、签订合同前的尽职调查（Art. 28(4)）、持续监控（Art. 28(5)）、集中度风险评估（Art. 29）、关键合同条款（包括 SLA、审计权、退出策略、数据存放位置、分包外包控制措施、事件报告和 BCP 要求，Art. 30）、退出策略测试（Art. 28(8)）、相称性评估、向主管当局通报，以及服务提供商关键性分类（Art. 31）。

信息共享（Art. 45）：4 个问题

涵盖参与网络威胁情报共享、共享安排的正式文档、接收共享情报并据此采取行动的流程，以及管理机构对参与共享的批准。

结果页面

回答完所有问题并点击完成评估后，您将进入结果页面，其中显示：

• 总体评分环：带动画效果的环形仪表，以颜色（绿色/琥珀色/红色）显示汇总评分，并附有评级标签（合规/部分合规/重大差距）
• 支柱评分条：五个水平条，显示每个支柱的评分百分比以及支柱名称和条款范围
• 详细分解：针对每个支柱，列出每个问题及其单项评分徽章（0-4，按颜色区分）、问题文本、条款引用、成熟度标签和权重分类。得分低于 3 的问题会以彩色左边框突出显示（0-1 为红色，2 为琥珀色），以引起对合规差距的关注。
• 醒目的补救路线图按钮，用于进入行动规划页面

补救路线图

补救路线图根据所有得分低于 3（已定义）的问题自动生成。它为弥补合规差距提供结构化的行动计划。

摘要统计网格

顶部的 7 列统计网格显示：项目总数、严重（优先级）、高（优先级）、中（优先级）、未处理（状态）、进行中（状态）和已完成（状态）。每个单元格显示一个大号数字和标签，并按颜色区分，便于快速浏览。

优先级映射

问题权重会自动映射为补救优先级：

• 权重 3（关键）对应严重优先级：红色徽章
• 权重 2（重要）对应高优先级：橙色徽章
• 权重 1（标准）对应中优先级：琥珀色徽章

筛选栏

两个下拉筛选器可按优先级（严重/高/中）和状态（未处理/进行中/已完成/已延期）缩小视图范围。“清除筛选条件”链接可同时重置这两个筛选器。

补救表格

该表格包含六列：

列	类型	说明
措施	文本	自动生成的补救措施，描述需要改进的内容
DORA 条款	引用	该差距对应的具体条款引用
优先级	徽章	严重/高/中，按颜色区分
状态	行内下拉选择	可编辑的下拉菜单：未处理、进行中、已完成、已延期。更改会立即保存。
负责人	行内输入	用于指派负责人的可编辑文本字段。在字段失去焦点或按下 Enter 键时保存。
截止日期	行内日期	可编辑的日期选择器。更改会立即保存。

创建新评估

评估生命周期

评估会经历以下状态：

状态	徽章颜色	说明
进行中	琥珀色	评估处于活动状态。可以添加或修改回答。
已完成	绿色	所有问题均已回答并最终确定。评分已计算并锁定。
已归档	灰色	已归档以供历史参考。可以查看，但不能修改。

您可以在列表页面使用垃圾桶图标删除评估。确认对话框可防止误删。