2.2 Estratégia de TIC

Nos termos da presente secção, as autoridades competentes devem avaliar se a instituição implementou uma estratégia de TIC que: está sujeita a uma fiscalização adequada pelo órgão de administração da instituição; é consistente com a estratégia de negócio, em particular para manter as TIC atualizadas e planear ou implementar alterações importantes e complexas ao nível das TIC; e suporta o modelo de negócio da instituição.

2.2.1 Desenvolvimento e adequação da estratégia de TIC

As autoridades competentes devem avaliar se a instituição dispõe de uma estrutura, proporcional à natureza, escala e complexidade das suas atividades de TIC, para a preparação e o desenvolvimento da estratégia de TIC da instituição. Ao conduzirem esta avaliação, as autoridades competentes devem ter em consideração se:

• a. a direção de topo⁵ do(s) segmento(s)de atividade está devidamente envolvida na definição das prioridades estratégicas de TIC da instituição e se, por sua vez, a direção de topo da função de TIC está ciente do desenvolvimento, da conceção e da criação de estratégias e iniciativas de negócio para garantir o alinhamento contínuo entre os sistemas , os serviços e a função de TIC ( i.e. , os responsáveis pela gestão e implementação destes sistemas e serviços), da estratégia de negócio da instituição, e de que as TIC estão efetivamente atualizadas.
• b. a estratégia de TIC está documentada e apoiada por planos de implementação concretos, em particular no que diz respeito a metas importantes e ao planeamento de recursos (incluindo recursos financeiros e humanos) para garantir que tais metas são realistas e permitem a execução da estratégia de TIC;
• c. a instituição atualiza periodicamente a sua estratégia para as TIC, em particular aquando de alterações da estratégia de negócio, para assegurar o alinhamento contínuo entre as TIC e os objetivos, planos e atividades de negócio a médio e a longo prazo; e
• d. o órgão de administração da instituição aprova a estratégia para as TIC e os planos de implementação e monitoriza a respetiva implementação.

2.2.2 Implementação da estratégia de TIC

Se a estratégia de TIC da instituição exigir a implementação de alterações importantes e complexas ao nível das TIC ou com implicações significativas para o modelo de negócio da instituição, as autoridades competentes devem avaliar se a instituição implementou uma estrutura de controlo, adequada à sua dimensão, às suas atividades de TIC, assim como ao nível de atividades de alteração, para apoiar a implementação efetiva da estratégia de TIC da instituição. Ao levaram a cabo esta avaliação, as autoridades competentes devem ter em consideração se a estrutura de controlo:

5 Direção de topo e órgão de administração tal como definidos na Diretiva 2013/36/UE de 26 de junho de 2013; «órgão de administração» no n.º 7 do artigo 3.º e «direção de topo» no n.º 9 do artigo 3.º.

• a. inclui processos de governo (por exemplo, a monitorização e reporte do progresso e dos orçamentos) e órgãos relevantes (por exemplo, um gabinete de gestão de projetos (PMO), um grupo diretor das TIC ou equivalente) para apoiar de forma efetiva a implementação de programas estratégicos de TIC;
• b. definiu e atribuiu papéis e responsabilidades para a implementação dos programas estratégicos de TIC, tendo em particular atenção à experiência das principais partes interessadas na organização, direção e monitorização de alterações importantes e complexas ao nível das TIC e a gestão de impactos organizacionais e humanos mais gerais (tais como, gestão da resistência à mudança, formação, comunicação);
• c. envolve as funções de controlo independente e auditoria interna para garantir que os riscos associados à implementação da estratégia de TIC foram identificados, avaliados e efetivamente mitigados e que a estrutura de governo em vigor para implementar a estratégia de TIC é eficaz; e
• d. contém um processo de planeamento e de revisão do planeamento que proporciona flexibilidade para responder a questões importantes identificadas (por exemplo, problemas ou atrasos encontrados na implementação) ou a desenvolvimentos externos (por exemplo, alterações importantes no ambiente de negócio, problemas tecnológicos ou inovações) para garantir uma adaptação oportuna do plano de implementação estratégico.