2.2 Strategia ICT

In conformità della presente sezione, le autorità competenti dovrebbero valutare se l’ente disponga di una strategia ICT soggetta a un’adeguata sorveglianza da parte dell’organo di amministrazione dell’ente,

4 Orientamenti ABE sull’organizzazione interna (GL 44), del 27 settembre 2011. coerente con la strategia aziendale, specialmente per quanto concerne l’aggiornamento dei propri sistemi ICT e la pianificazione o attuazione di importanti e complesse modifiche alle stesse, e che supporti il modello imprenditoriale dell’ente.

2.2.1 Sviluppo e adeguatezza della strategia ICT

Le autorità competenti dovrebbero verificare che l’ente disponga di un framework per la preparazione e lo sviluppo della strategia ICT, proporzionato alla natura, ampiezza e complessità delle sue attività in materia di ICT. Nell’esecuzione delle valutazioni, le autorità competenti dovrebbero considerare se:

• a. l’alta dirigenza⁵ della/e linea/e di business sia adeguatamente coinvolta nella definizione delle priorità strategiche delle ICT dell’ente e, parallelamente, l’alta dirigenza della funzione ICT sia al corrente dello sviluppo, della progettazione e dell’avvio delle principali strategie e iniziative aziendali al fine di garantire il costante allineamento tra i sistemi, i servizi e la funzione ICT (ossia, i responsabili della realizzazione e gestione di tali sistemi e servizi) e la strategia aziendale dell’ente, e che l’ICT sia adeguatamente aggiornato;
• b. la strategia ICT sia documentata e supportata da piani di attuazione concreti, in particolar modo riguardanti le tappe principali e la pianificazione delle risorse (comprese quelle finanziarie e umane) per garantire che siano realistici e consentano l’attuazione della strategia ICT;
• c. l’ente aggiorni periodicamente la strategia ICT, in particolare laddove si modifichi la strategia aziendale, per assicurare un allineamento costante tra l’ICT e gli obiettivi, i piani e le attività aziendali a medio e lungo termine;
• d. l’organo di amministrazione approvi la strategia ICT e i piani di attuazione e monitori la loro attuazione.

2.2.2 Attuazione della strategia ICT

Laddove la strategia ICT dell’ente richieda l’attuazione di modifiche all’ICT importanti e complesse, o che comportino implicazioni significative per il modello imprenditoriale dell’ente, le autorità competenti dovrebbero valutare se l’ente disponga di un sistema di controllo adeguato rispetto a dimensioni, attività ICT e livello delle modifiche, per supportare la corretta attuazione della strategia ICT dell’ente. Nell’esecuzione delle valutazioni, le autorità competenti dovrebbero considerare se il sistema dei controlli:

• a. includa processi di governance (ad es. monitoraggio e reporting dello stato di avanzamento e del budget) e organi competenti (ad es. una struttura di gestione dei progetti (project management office - PMO), un gruppo direttivo responsabile dell’ICT o equivalente) per sostenere in modo efficace l’attuazione dei programmi strategici ICT;
• b. abbia definito e assegnato i ruoli e le responsabilità per l’attuazione dei programmi strategici dell’ICT, prestando particolare attenzione all’esperienza dei principali soggetti interessati

5 Per i termini “alta dirigenza” e “organo di gestione” sono applicabili le definizioni di cui all’articolo 3, paragrafo 7 (organo di gestione), e all’articolo 3, paragrafo 9 (alta dirigenza), della direttiva 2013/36/UE del 26 giugno 2013. nell’organizzazione, nella direzione e nel monitoraggio di importanti e complesse modifiche apportate all’ICT e nella gestione dei più ampi impatti organizzativi e umani (ad es. gestione della resistenza al cambiamento, formazione, comunicazione);

• c. coinvolga le funzioni di controllo indipendenti e di audit interno per assicurare che i rischi connessi all’attuazione della strategia ICT siano stati individuati, valutati ed efficacemente mitigati e che il sistema di governance previsto per l’attuazione di detta strategia ICT sia efficace;
• d. comprenda un processo di pianificazione e revisione della pianificazione sufficientemente flessibile per far fronte a eventuali problemi importanti riscontrati (ad es. problemi o ritardi nell’attuazione) o sviluppi esterni (ad es. cambiamenti significativi nel contesto aziendale, problematiche tecnologiche o innovazioni), allo scopo di garantire un adeguamento tempestivo del piano strategico di attuazione.