2.2 Stratégie en matière de TIC

En vertu de la présente section, les autorités compétentes devraient évaluer si l’établissement a mis en place une stratégie en matière de TIC qui soit soumise à une surveillance adéquate par l’organe de direction de l’établissement, cohérente avec la stratégie d’entreprise, en particulier pour maintenir les TIC à jour et pour planifier ou mettre en œuvre des changements importants et complexes en matière de TIC, et qui soutienne le modèle d’entreprise de l’établissement.

2.2.1 Elaboration et adéquation de la stratégie en matière de TIC

Les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre proportionné à la nature, à l’échelle et à la complexité de ses activités de TIC pour la préparation et l’élaboration de la stratégie en matière de TIC de l’établissement. Lors de cette évaluation, les autorités compétentes devraient examiner si:

• a. la direction générale⁵ de la ou des lignes d’activité est dûment associée à la définition des priorités stratégiques de l’établissement en matière de TIC et si, pour sa part, la direction générale de la fonction TIC est au courant de l’évolution, de la conception et du lancement des stratégies et des initiatives d’entreprise majeures afin d’assurer un alignement permanent entre les systèmes de TIC, les services de TIC et la fonction TIC (c’est-à-dire les responsables de la gestion et du déploiement de ces systèmes et services) et la stratégie d’entreprise de l’établissement, et si les TIC sont effectivement mises à jour;
• b. la stratégie en matière de TIC est documentée et soutenue par des plans concrets de mise en œuvre, en particulier en ce qui concerne les échéances importantes et la planification des ressources (y compris les ressources financières et humaines) afin de s’assurer qu’ils sont réalistes et permettent la mise en œuvre de la stratégie en matière de TIC;
• c. l’établissement met à jour périodiquement sa stratégie en matière de TIC, en particulier lorsqu’il modifie sa stratégie d’entreprise, afin d’assurer la conformité permanente entre les TIC et les objectifs de moyen à long terme, les plans et les activités de l’entreprise; et
• d. l’organe de direction de l’établissement approuve la stratégie en matière de TIC et les plans de mise en œuvre et surveille sa mise en œuvre.

2.2.2 Mise en œuvre de la stratégie en matière de TIC

⁵ «Direction générale» et «organe de direction» tels que définis dans la directive 2013/36/UE du 26 juin 2013, à l’article 3, paragraphe 1, point 7) pour «organe de direction» et à l’article 3, paragraphe 1, point 9) pour «direction générale».

Si la stratégie en matière de TIC de l’établissement requiert la mise en œuvre de changements importants et complexes en matière de TIC, ou de changements ayant des implications significatives pour le modèle d’entreprise de l’établissement, les autorités compétentes devraient évaluer si l’établissement dispose d’un cadre de contrôle adapté à sa taille, à ses activités TIC ainsi qu’au niveau des activités de changement, afin de soutenir la mise en œuvre effective de la stratégie en matière de TIC de l’établissement. Lors de cette évaluation, les autorités compétentes devraient examiner si le cadre de contrôle:

• a. comprend des processus de gouvernance (par exemple suivi des progrès et du budget, et rapports dédiés) et des organes pertinents (par exemple un service de gestion des projets, un groupe de pilotage des TIC ou équivalent) pour soutenir efficacement la mise en œuvre des programmes stratégiques en matière de TIC;
• b. a défini et attribué les rôles et les responsabilités pour la mise en œuvre des programmes stratégiques en matière de TIC, en accordant une attention particulière à l’expérience des acteurs clés dans l’organisation, le pilotage et le suivi des changements importants et complexes en matière de TIC et la gestion des incidences plus générales sur les ressources organisationnelles et humaines (par exemple la gestion de la résistance au changement, la formation, la communication);
• c. associe les fonctions indépendantes de contrôle et d’audit interne afin d’assurer que les risques associés à la mise en œuvre de la stratégie en matière de TIC ont été recensés, évalués et efficacement atténués et que le cadre de gouvernance en place pour mettre en œuvre la stratégie TIC est efficace; et
• d. comporte un processus de planification et de contrôle de la planification qui offre une marge de manœuvre pour répondre aux problèmes importants constatés (par exemple aux problèmes de mise en œuvre rencontrés ou aux retards) ou aux évolutions externes (par exemple des changements importants dans l’environnement de l’entreprise, des problèmes technologiques ou des innovations) de façon à assurer l’adaptation en temps voulu du plan de mise en œuvre stratégique.