2.2 IKT-strategi

I detta avsnitt ska de behöriga myndigheterna bedöma huruvida institutet har infört en IKT-strategi som är föremål för tillräcklig övervakning från institutets ledningsorgan och som är förenlig med affärsstrategin, i synnerhet när det gäller att hålla IKT-systemen uppdaterade och genomföra viktiga och komplexa IKT-förändringar, samt att den stödjer institutets affärsmodell.

2.2.1 Utveckling av IKT-strategin och dess lämplighet

Behöriga myndigheter ska bedöma huruvida institutet har ett befintligt ramverk för att förbereda och utveckla IKT-strategin, och som är proportionerligt i förhållande till IKT-verksamhetens karaktär, omfattning och komplexitet. Vid denna bedömning ska de behöriga myndigheterna beakta följande:

• a. Om verkställande ledningen⁵ för affärsområdet/affärsområdena är tillräckligt delaktig i framtagandet av institutets strategiska IKT-prioriteringar och att verkställande ledningen för IKT-funktionen i sin tur har kännedom om utvecklingen, utformningen och införandet av väsentliga affärsstrategier och initiativ, för att säkerställa fortsatt anpassning mellan IKT-system, IKT-tjänster och IKT-funktionen (dvs. de personer som är ansvariga för ledning och utbyggnad av dessa system och tjänster) samt institutets affärsstrategi, liksom att IKT uppdateras på ett effektivt sätt.
• b. Om IKT-strategin är dokumenterad och stödjs av konkreta genomförandeplaner, i synnerhet med avseende på viktiga milstolpar och resursplanering (inbegripet finansiella resurser och personalresurser) för att säkerställa att de är realistiska och möjliggör leverans av IKT-strategin.
• c. Om institutet regelbundet uppdaterar sin IKT-strategi, särskilt när det ändrar affärsstrategi, för att säkerställa fortsatt överensstämmelse mellan IKT och verksamhetsmål, planer och aktiviteter på medellång till lång sikt.
• d. Om institutets ledningsorgan godkänner IKT-strategin och genomförandeplanerna och övervakar dess genomförande.

2.2.2 Genomförande av IKT-strategin

⁵ Verkställande ledning och ledningsorgan såsom de definieras i direktiv 2013/36/EU av den 26 juni 2013 i artikel 3.7 om ”ledningsorgan” och i artikel 3.9 om ”verkställande ledning”.

Om institutets IKT-strategi kräver att det genomförs viktiga och komplexa IKT-ändringar, eller ändringar som medför väsentlig påverkan på institutets affärsmodell, ska de behöriga myndigheterna bedöma huruvida institutets kontrollramverk är lämpligt med hänsyn till dess storlek, dess IKT-aktiviteter samt i vilken omfattning det krävs förändringar i verksamheten för att stödja ett effektivt genomförande av institutets IKT-strategi. I samband med denna bedömning ska de behöriga myndigheterna beakta huruvida kontrollsystemet

• a. omfattar styrningsprocesser (t.ex. övervakning av genomförande och budget samt rapportering) och relevanta organ (t.ex. ett projektledningskontor, en IKT-styrgrupp eller liknande) för att effektivt kunna stödja genomförandet av de strategiska IKT-programmen,
• b. omfattar definition och tilldelning av roller och ansvarsområden för genomförandet av de strategiska IKT-programmen, med särskilt beaktande av de erfarenheter som viktiga intressenter har avseende organisation, styrning och övervakning av viktiga och komplexa IKT-förändringar och hanteringen av den mer vidsträckta organisatoriska och mänskliga påverkan (t.ex. hantering av förändringsmotstånd, utbildning, kommunikation),
• c. innebär att de oberoende kontrollfunktionerna och funktionen för internrevision används för att säkerställa att de risker som genomförandet av IKT-strategin medför har identifierats, bedömts och minskats på ett effektivt sätt och att det styrningsramverk som införts för att genomföra IKT-strategin är effektivt, och
• d. innehåller en planeringsprocess och en översyn av denna process som är flexibla när det gäller att reagera på viktiga frågor som identifierats (t.ex. problem eller förseningar i genomförandet) eller den externa utvecklingen (t.ex. viktiga förändringar i affärsmiljön, tekniska frågor eller innovationer) för att säkerställa att den strategiska genomförandeplanen anpassas i tid.