2.2 IKT-strategi

I dette afsnit bør de kompetente myndigheder vurdere, om instituttet har en IKT-strategi, der er underlagt et tilstrækkeligt tilsyn fra instituttets ledelse, som stemmer overens med forretningsstrategien, navnlig med hensyn til at holde IKT ajourført og planlægge eller gennemføre vigtige og komplekse IKT-ændringer, og som støtter instituttets forretningsmodel.

2.2.1 Udvikling af IKT-strategien og dens tilstrækkelighed

De kompetente myndigheder bør vurdere, om instituttet har indført rammer, som står i forhold til arten, omfanget og kompleksiteten af IKT-aktiviteterne med hensyn til at udarbejde og udvikle instituttets IKT-strategi. I forbindelse med denne vurdering skal de kompetente myndigheder overveje, om:

• a. den daglige ledelse⁵ for forretningsområdet eller -områderne er tilstrækkeligt involveret i definitionen af instituttets strategiske IKT-prioriteter, og at den daglige ledelse af IKT-funktionen er klar over udviklingen, udformningen og indledningen af store forretningsstrategier og initiativer, der skal sikre en fortsat ensretning af IKT-systemer, IKT-tjenester og IKT-funktionen (dvs. de ansvarlige for forvaltningen og anvendelsen af disse systemer og tjenester) og instituttets forretningsstrategi, og at IKT er opdateret
• b. IKT-strategien er dokumenteret og støttes af konkrete implementeringsplaner, navnlig vedrørende vigtige milepæle og ressourceplanlægning (herunder finansielle og menneskelige ressourcer), som skal sikre, at de er realistiske og gør det muligt at levere IKT-strategien
• c. instituttet løbende ajourfører sin IKT-strategi, navnlig i forbindelse med en ny forretningsstrategi, for at sikre fortsat strømlining mellem IKT- og forretningsmæssige mellemlangsigtede og/eller langsigtede mål, planer og aktiviteter og
• d. instituttets ledelsesorgan godkender IKT-strategien og implementeringsplaner og overvåger gennemførelsen deraf.

2.2.2 Implementering af IKT-strategien

⁵ Den daglige ledelse og ledelsesorganet som defineret i direktiv 2013/36/EU af 26. juni 2013 i artikel 3, stk. 7, "ledelsesorgan" og artikel 3, stk. 9, "den daglige ledelse".

Hvis instituttets IKT-strategi kræver, at der implementeres vigtige og komplicerede IKT-ændringer eller ændringer med store konsekvenser for instituttets forretningsmodel, bør de kompetente myndigheder vurdere, om instituttet har kontrolrammer på plads, som svarer til dets størrelse, dets IKT-aktiviteter samt niveauet af ændringsaktiviteter, for at støtte en effektiv implementering af instituttets IKT-strategi. I forbindelse med denne vurdering bør de kompetente myndigheder tage hensyn til, om kontrolrammerne:

• a. omfatter ledelsesprocesser (dvs. status- og budgetovervågning og rapportering) og relevante organer (f.eks. et projektstyringskontor (PMO)), en IKT-styringsgruppe eller lignende), som effektivt støtter implementeringen af IKT-strategiprogrammerne
• b. har defineret og tildelt roller og ansvarsområder for implementeringen af IKT-strategiprogrammerne, navnlig med hensyn til vigtige interessenters erfaring med at tilrettelægge, styre og overvåge vigtige og komplekse IKT-ændringer og styring af mere generelle organisatoriske og menneskelige konsekvenser (f.eks. styring af modstand mod ændringer, uddannelse, kommunikation)
• c. inddrager den uafhængige funktion for kontrol og intern revision for at sikre, at risikoen i forbindelse med implementeringen af IKT-strategien er identificeret, vurderet og effektivt håndteret, og at rammerne for governance af implementeringen af IKT-strategien er effektive, og
• d. indeholder en planlægnings- og planlægningsevalueringsproces, der giver fleksibilitet i forhold til vigtige identificerede problemer (f.eks. implementeringsproblemer eller - forsinkelser) eller eksterne hændelser (f.eks. vigtige ændringer i forretningsmiljøet, teknologiske problemer eller innovation), for at sikre rettidig tilpasning af den strategiske implementeringsplan.