2.2 Estrategia de TIC

En esta sección, las autoridades competentes evaluarán si la entidad cuenta con una estrategia de TIC que: está sujeta a una supervisión adecuada por parte del órgano de dirección de la entidad; es coherente con la estrategia de negocio, en particular para mantener actualizadas sus TIC y planificar o aplicar cambios importantes y complejos en materia de TIC; y sirve de soporte para el modelo de negocio de la entidad.

2.2.1 Desarrollo e idoneidad de la estrategia de TIC

Las autoridades competentes evaluarán si la entidad dispone de un marco adecuado, proporcional a la naturaleza, escala y complejidad de sus actividades de TIC, para la preparación y el desarrollo de su estrategia de TIC. Al llevar a cabo esta evaluación, las autoridades competentes considerarán si:

• a. la alta dirección⁵ de la línea o líneas de negocio se implica de manera adecuada en la definición de las prioridades estratégicas de TIC de la entidad y, a su vez, la alta dirección de la función de TIC tiene conocimiento del desarrollo, el diseño y la puesta en marcha de estrategias e iniciativas importantes para el negocio, con el fin de asegurar que los sistemas de TIC, los servicios de TIC y la función de TIC (es decir, los responsables de la gestión y el despliegue de estos sistemas y servicios) se mantengan permanentemente alineados con la estrategia de negocio de la entidad, y si las TIC están efectivamente actualizadas;
• b. la estrategia de TIC está documentada y respaldada por planes de ejecución concretos, en particular en lo que respecta a los hitos importantes y la planificación de los recursos (incluidos los recursos financieros y humanos), para garantizar que son realistas y permiten implementar dicha estrategia;
• c. la entidad actualiza periódicamente su estrategia de TIC, en particular si hay cambios en la estrategia de negocio, para asegurar que las TIC y los objetivos, planes y actividades del negocio a medio y largo plazo se mantienen alineados; y
• d. el órgano de dirección de la entidad aprueba la estrategia de TIC, los planes de ejecución y supervisa su aplicación.

2.2.2 Implementación de la estrategia de TIC

Si la estrategia de TIC de la entidad requiere que se apliquen cambios importantes y complejos en las TIC, o cambios con implicaciones significativas para el modelo de negocio de la entidad, las autoridades competentes evaluarán si la entidad cuenta con un marco de control adecuado a su tamaño, a sus actividades de TIC, así como al nivel de las actividades de cambio, que respalde la implementación efectiva de su estrategia de TIC. Al llevar a cabo esta evaluación, las autoridades competentes considerarán si el marco de control:

5 Órgano de dirección y alta dirección según se definen en el artículo 3, apartados 7 y 9 respectivamente, de la Directiva 2013/36/UE de 26 de junio de 2013.

• a. incluye los procesos de gobierno (por ejemplo, seguimiento y presentación de informes de avance y presupuesto) y los órganos pertinentes (por ejemplo, una oficina de gestión de proyectos [OGP], un grupo de dirección de TIC o equivalentes) para prestar un respaldo efectivo a la ejecución de los programas estratégicos de TIC;
• b. ha definido y asignado las funciones y responsabilidades para la ejecución de los programas estratégicos de TIC, prestando especial atención a la experiencia de las principales partes interesadas en la organización, la dirección y el seguimiento de cambios importantes y complejos de TIC, así como la gestión de sus repercusiones generales sobre la organización y los recursos humanos (por ejemplo, gestión de la resistencia al cambio, formación, comunicación);
• c. implica a las funciones independientes de control y auditoría interna para asegurar que los riesgos asociados con la ejecución de la estrategia de TIC se han identificado, evaluado y mitigado de manera efectiva y que el marco de gobierno en vigor para aplicar la estrategia de TIC es eficaz; y
• d. contiene un proceso de planificación y de revisión de la planificación que proporciona flexibilidad para responder a cuestiones importantes identificadas (por ejemplo, problemas de ejecución o retrasos) o a circunstancias externas (por ejemplo, cambios importantes en el entorno de negocio, cuestiones tecnológicas o innovaciones) con el fin de asegurar una adaptación oportuna del plan de ejecución de la estrategia.