2.2 IKT-Strategie

Gemäß diesem Abschnitt sollten die zuständigen Behörden bewerten, ob das Institut über eine IKT-Strategie verfügt, die einer angemessenen Aufsicht durch das Leitungsorgan des Instituts unterliegt, welche im Einklang mit der Geschäftsstrategie steht, insbesondere im Hinblick auf die kontinuierliche Erneuerung der IKT und die Planung oder Umsetzung wichtiger und komplexer Änderungen im Bereich der IKT, und die das Geschäftsmodell des Instituts unterstützt.

2.2.1 Entwicklung und Angemessenheit der IKT-Strategie

Die zuständigen Behörden sollten bewerten, ob das Institut über einen Rahmen für die Ausarbeitung und Entwicklung der IKT-Strategie des Instituts verfügt, der im Einklang mit der Art, dem Umfang und der Komplexität seiner IKT-Tätigkeiten steht. Bei der Durchführung dieser Bewertung sollten die zuständigen Behörden berücksichtigen, ob:

• a. die Geschäftsleitung⁵ des bzw. der Geschäftsbereiche angemessen an der Festlegung der strategischen IKT-Prioritäten des Instituts beteiligt ist, und die Geschäftsleitung der IKT-Funktion wiederum über die Entwicklung, Gestaltung und Initiierung wichtiger Geschäftsstrategien und -initiativen informiert ist, um die kontinuierliche Abstimmung zwischen IKT-Systemen, IKT-Diensten und der IKT-Funktion (d. h. die für die Verwaltung und den Einsatz dieser Systeme und Dienstleistungen verantwortlichen Personen) und der Geschäftsstrategie des Instituts sicherzustellen, und ob die IKT wirksam erneuert wird;
• b. die IKT-Strategie dokumentiert und durch konkrete Umsetzungspläne unterstützt wird, insbesondere in Bezug auf die wichtigen Meilensteine und die Ressourcenplanung (einschließlich der Finanz- und Humanressourcen), um sicherzustellen, dass sie realistisch sind und die Umsetzung der IKT-Strategie ermöglichen;
• c. das Institut seine IKT-Strategie insbesondere bei einer Änderung der Geschäftsstrategie regelmäßig überarbeitet, um eine kontinuierliche Abstimmung zwischen der IKT und den mittel- bis langfristigen Zielen, Plänen und Aktivitäten zu gewährleisten; und
• d. das Leitungsorgan des Instituts die IKT-Strategie und die Umsetzungspläne genehmigt und ihre Umsetzung überwacht.

2.2.2 Umsetzung der IKT-Strategie

Wenn die IKT-Strategie des Instituts die Umsetzung wichtiger und komplexer IKT-Änderungen oder Änderungen mit erheblichen Auswirkungen auf das Geschäftsmodell des Instituts erfordert, sollten die zuständigen Behörden bewerten, ob das Institut über einen Kontrollrahmen verfügt, der seiner Größe, seinen IKT-Aktivitäten und dem Grad der Änderungsaktivitäten angemessen ist, um die wirksame Umsetzung der IKT-Strategie des Instituts zu unterstützen. Bei der Durchführung dieser Bewertung sollten die zuständigen Behörden berücksichtigen, ob der Kontrollrahmen:

5 Geschäftsleitung und Leitungsorgan gemäß den Definitionen in Richtlinie 2013/36/EU vom 26. Juni 2013 (Artikel 3 Ziffer 7: „Leitungsorgan“ und Artikel 3 Ziffer 9 „Geschäftsleitung“).

• a. Governance-Prozesse (z. B. Fortschritts- und Haushaltsüberwachung und -berichterstattung) und relevante Stellen (z. B. ein Projektmanagementbüro, eine IKT-Lenkungsgruppe oder ähnliches) umfasst, um die Umsetzung der IKT-Strategieprogramme wirksam zu unterstützen;
• b. die Rollen und Verantwortlichkeiten für die Umsetzung von IKT-Strategieprogrammen festgelegt und zugewiesen hat, wobei den Erfahrungen der wichtigsten Akteure bei der Organisation, Steuerung und Überwachung wichtiger und komplexer IKT-Änderungen und der Bewältigung der organisatorischen und menschlichen Auswirkungen (z. B. Umgang mit Widerstand gegen Änderungen, Schulung, Kommunikation) besondere Aufmerksamkeit geschenkt wird;
• c. die unabhängige Kontrollfunktion und die Funktion „Innenrevision“ einbezieht, um sicherzustellen, dass die mit der Umsetzung der IKT-Strategie verbundenen Risiken ermittelt, bewertet und wirksam gemindert wurden, und dass der vorhandene Governance-Rahmen für die Umsetzung der IKT-Strategie wirksam ist; und
• d. einen Planungs- und Planungsüberprüfungsprozess umfasst, der flexibel genug ist, um auf wichtige ermittelte Probleme (z. B. festgestellte Probleme oder Verzögerungen bei der Umsetzung) oder externe Entwicklungen (z. B. wichtige Veränderungen im Geschäftsumfeld, technologische Fragen oder Innovationen) zu reagieren, um eine rechtzeitige Anpassung der strategischen Umsetzung zu gewährleisten.