2.2 ICT-strategie

Op basis van deze paragraaf beoordelen bevoegde autoriteiten of de instelling een ICT-strategie heeft waarop het leidinggevend orgaan van de instelling adequaat toezicht houdt, dat strookt met de bedrijfsstrategie, vooral om haar ICT actueel te houden en met het oog op de planning of uitvoering van belangrijke en complexe ICT-wijzigingen, en die het bedrijfsmodel van de instelling ondersteunt.

2.2.1 Ontwikkeling en toereikendheid van de ICT-strategie

Bevoegde autoriteiten beoordelen of de instelling een kader heeft dat evenredig is met de aard, schaal en complexiteit van haar ICT-activiteiten, met het oog op het voorbereiden en ontwikkelen van de ICT-strategie van de instelling. Hierbij houden zij rekening met de vraag of:

• a. de directie⁵ van het/de bedrijfsonderde(e)l(en) naar behoren betrokken is bij het vaststellen van de strategische ICT-prioriteiten van de instelling en of de directie van de ICT-functie zich ervan bewust is dat er belangrijke bedrijfsstrategieën en -initiatieven worden ontwikkeld, ontworpen en opgestart om ervoor te zorgen dat enerzijds de ICT-systemen, ICT-diensten en de ICT-functie (d.w.z. degenen die verantwoordelijk zijn voor het beheer en de uitrol van deze systemen en diensten) en anderzijds de bedrijfsstrategie van de instelling voortdurend op elkaar afgestemd blijven, en of de ICT doeltreffend wordt geactualiseerd;
• b. de ICT-strategie gedocumenteerd is, en de uitvoering daarvan gerealiseerd wordt aan de hand van concrete op de strategie gebaseerde uitvoeringsplannen. Deze zijn realistisch, en bevatten ten minste belangrijke mijlpalen en een concrete resource planning (inclusief financiële middelen en personeel);
• c. de instelling haar ICT-strategie periodiek actualiseert, vooral bij een wijziging van de bedrijfsstrategie, om ervoor te zorgen dat de ICT- en bedrijfsmatige doelstellingen voor de middellange tot lange termijn, plannen en activiteiten voortdurend op elkaar afgestemd blijven; en
• d. het leidinggevend orgaan van de instelling de ICT-strategie en bijbehorende uitvoeringsplannen goedkeurt en toezicht houdt op de uitvoering ervan.

2.2.2 Uitvoering van de ICT-strategie

⁵ Directie en leidinggevend orgaan als gedefinieerd in Richtlijn 2013/36/EU van 26 juni 2013 in artikel 3, lid 1, punt 7), "leidinggevend orgaan" en artikel 3, lid 1, punt 9), "directie".

Indien er voor de ICT-strategie van de instelling belangrijke en complexe ICT-wijzigingen moeten worden uitgevoerd, of wijzigingen met wezenlijke implicaties voor het bedrijfsmodel van de instelling, beoordelen bevoegde autoriteiten of de instelling een risicobeheersingskader heeft dat aansluit bij haar omvang, haar ICT-activiteiten en het niveau van de wijzigingen, om de doeltreffende uitvoering van de ICT-strategie van de instelling te ondersteunen. Hierbij houden zij rekening met de vraag of het risicobeheersingskader:

• a. governanceprocessen (bijv. voortgangs- en begrotingsbewaking en -rapportage) en relevante organen (bijv. een bureau voor projectbeheer, een ICT-stuurgroep of een soortgelijke entiteit) omvat om de uitvoering van de strategische programma's op ICT-vlak effectief te ondersteunen;
• b. de taken en verantwoordelijkheden voor de uitvoering van strategische programma's op ICT-vlak heeft omschreven en toegewezen, met speciale aandacht voor de ervaring van de voornaamste betrokkenen in het organiseren, sturen en bewaken van belangrijke en complexe ICT-wijzigingen en voor het beheer van de bredere gevolgen voor de organisatie en voor het personeel (bijv. omgaan met weerstand tegen veranderingen, opleiding, communicatie).
• c. de onafhankelijke controle- en interne auditfuncties ertoe verplicht ervoor te zorgen dat de risico's in verband met de uitvoering van de ICT-strategie zijn vastgesteld, beoordeeld en doeltreffend beperkt en dat het governancekader voor de uitvoering van de ICT-strategie effectief is; en
• d. een planning en een toetsing van de planning omvat die de flexibiliteit verschaffen om te reageren op belangrijke geconstateerde problemen (bijv. problemen met of vertraging in de uitvoering) of externe ontwikkelingen (bijv. belangrijke wijzigingen in de bedrijfsomgeving, technologische kwesties of innovaties) om een tijdige aanpassing van het strategische uitvoeringsplan te waarborgen.