2.2 Strategia ICT

Na podstawie niniejszej sekcji właściwe organy powinny ocenić, czy instytucja posiada strategię ICT, która podlega odpowiedniemu nadzorowi ze strony organu zarządzającego instytucji, jest spójna ze

4 Wytyczne EUNB w sprawie zarządzania wewnętrznego, GL 44 z dnia 27 września 2011 r. strategią biznesową, zwłaszcza jeżeli chodzi o aktualizację ICT oraz planowanie lub wdrażanie ważnych i kompleksowych zmian ICT, a także wspiera model biznesowy instytucji.

2.2.1 Rozwój i adekwatność strategii ICT

Właściwe organy powinny ocenić, czy instytucja wdrożyła odpowiednie ramy, proporcjonalne do charakteru, skali i kompleksowości działań ICT, w celu przygotowania i rozwoju strategii ICT instytucji. Przy przeprowadzaniu tej oceny właściwe organy powinny uwzględnić, czy:

• a. kierownictwo wyższego szczebla⁵ linii biznesowej( - ych) jest odpowiednio zaangażowane w definicję strategicznych priorytetów ICT instytucji oraz czy kierownictwo wyższego szczebla komórki ICT jest świadome rozwoju, projektowania i wdrażania kluczowych strategii i inicjatyw biznesowych w celu zapewnienia ciągłego dostosowania między systemami ICT, usługami ICT i komórką ICT (tj. osobami odpowiedzialnymi za zarządzanie i wdrażanie tych systemów i usług) a strategią biznesową instytucji, a także czy ICT są skutecznie aktualizowane;
• b. strategia ICT jest dokumentowana i wspierana konkretnymi planami wdrażania, zwłaszcza jeżeli chodzi o kluczowe etapy i planowanie zasobów (w tym zasobów finansowych i ludzkich) w celu zapewnienia, że są realistyczne i umożliwiają wprowadzenie strategii ICT;
• c. instytucja okresowo aktualizuje swoją strategię ICT, zwłaszcza podczas zmiany strategii biznesowej, aby zapewnić ciągłe dostosowanie celów, planów i działań biznesowych w ujęciu średnio - lub długoterminowym do ICT, oraz
• d. organ zarządzający instytucji zatwierdza strategię ICT i plany wdrażania oraz monitoruje jej wdrażanie.

2.2.2 W drażanie strategii ICT

Jeżeli strategia ICT instytucji wiąże się z wymogiem wdrożenia ważnych i kompleksowych zmian ICT lub zmian o istotnych implikacjach dla modelu biznesowego instytucji, właściwe organy powinny ocenić, czy instytucja posiada ramy kontroli odpowiednie do jej wielkości, działalności w obszarze ICT oraz poziomu działań związanych ze zmianą w celu wspierania skutecznego wdrażania strategii ICT instytucji. Przy przeprowadzaniu tej oceny właściwe organy powinny uwzględnić, czy ramy kontroli:

• a. obejmują procesy zarządzania (np. postępy i monitorowanie budżetu oraz sprawozdawczość w tych obszarach) i odpowiednie organy (np. biuro zarządzania projektami, grupę sterowania ICT lub równoważne jednostki) w celu skutecznego wspierania wdrażania programó w strategicznych ICT;
• b. przewidują definicje i przydział ról i obowiązków w celu wdrożenia programów strategicznych ICT, ze zwróceniem szczególnej uwagi na doświadczenie kluczowych zainteresowanych stron w organizowaniu, sterowaniu i monitorowaniu ważnych i kompleksowych zmian ICT oraz

5 Kierownictwo wyższego szczebla i organ zarządzający zgodnie z definicją w dyrektywie 2013/36/UE z dnia 26 czerwca 2013 r., w art. 3 pkt 7 („organ zarządzający”) i art. 3 pkt 9 („kierownictwo wyższego szczebla”). zarządzanie dużymi organizacjami i wpływ na zasoby ludzkie (tj. zarządzanie niechęcią do zmian, szkolenia, komunikacja).

• c. zapewniają niezależne komórki kontroli i audytu wewnętrznego w celu zagwarantowania, że ryzyko powiązane z wdrażaniem strategii ICT zostało zidentyfikowane, ocenione i skutecznie ograniczone oraz że wprowadzone ramy zarządzania w celu wdrażania strategii są skuteczne; oraz
• d. obejmują proces planowania i przeglądu planowania, który zapewnia elastyczność reagowan ia na ważnego stwierdzone problemy (np. napotkane problemy z wdrażaniem lub opóźnienia) lub zmiany zewnętrzne (np. ważne zmiany w środowisku biznesowym, kwestie technologiczne lub innowacje), aby zapewnić terminowe dostosowanie strategicznego planu wdrażan ia.