La gouvernance, les risques et la conformité (GRC) sont des fonctions nécessaires au sein des entreprises, mais les entreprises ont tendance à les structurer et à les gérer différemment. Par exemple, dans certaines entreprises, GRC fonctionne comme trois fonctions distinctes et cloisonnées. D'autres entreprises ont une fonction GRC qui comprend des spécialistes GRC, voire des professionnels certifiés GRC.
Même lorsque GRC fonctionne comme une organisation combinée, la cybersécurité – une autre fonction de risque – a tendance à fonctionner séparément. L'une des raisons en est que les fonctions GRC sont considérées comme des fonctions commerciales, tandis que la cybersécurité est davantage considérée comme une fonction informatique (orientée vers la technologie). Cependant, comme le démontre tout incident de cybersécurité, l'étendue des retombées des risques a tendance à avoir un impact sur plusieurs fonctions simultanément.
Gouvernance
La gouvernance est souvent considérée comme synonyme de gouvernance des données, mais la gouvernance d'entreprise a une responsabilité de plus haut niveau. La gouvernance d'entreprise équilibre les intérêts de diverses parties prenantes et aide l'entreprise à réaliser ses objectifs stratégiques grâce à des cadres, des règles, des pratiques, des processus et des mesures de performance, entre autres.
Dans un contexte centré sur les données, la gouvernance permet de garantir que seules les parties autorisées ont accès aux données qu'elles souhaitent utiliser. Les règles de gouvernance des données éclipsent la conformité car l'utilisation des données est également régie par des lois et des réglementations.
Analyse
Les fonctions de risque traditionnelles se sont concentrées sur les risques financiers. En règle générale, cette fonction a travaillé en étroite collaboration avec, si elle n'est pas signalée, au directeur financier. Les risques financiers prennent plusieurs formes, notamment les risques liés aux fournisseurs, les risques de continuité des activités et l'indemnisation (assurance).
La gestion traditionnelle des risques peut parfois être en contradiction avec d'autres groupes, en particulier lorsqu'elle est considérée comme un obstacle à l'innovation. Il est donc important de déterminer quel est l'appétit pour le risque d'une organisation et d'innover dans le cadre de celui-ci. Par exemple, Amazon a connu des succès et des échecs spectaculaires parce qu'il était prêt à prendre des risques importants pour ses résultats, le cours de ses actions et sa réputation.
Conformité
La conformité se concentre sur la conformité légale et réglementaire. Cette fonction doit comprendre à quelles règles externes l'organisation doit adhérer et traduire ces règles en pratiques et processus qui garantissent la conformité.
La conformité fait l'objet d'audits en interne et par des tiers qui peuvent être des cabinets de conseil qui vérifient si les entreprises de leurs clients sont conformes. Alternativement, un auditeur réglementaire peut faire de même. Les divers audits ont tendance à ne pas s'exclure mutuellement, car la dernière chose qu'une entreprise souhaite, c'est qu'un auditeur gouvernemental découvre un problème. Si cela se produit, l'entreprise sera probablement passible d'amendes réglementaires et s'il s'agit d'une entreprise publique, elle devra divulguer le problème aux actionnaires. Si la violation a également nui aux clients (par exemple, utilisation abusive des informations personnelles), des poursuites pourraient également en résulter.
De nos jours, la conformité, comme la gouvernance, a été fortement associée aux données compte tenu du Règlement général sur la protection des données (RGPD) de l'UE et de la California Consumer Privacy Act (CCPA). Cependant, la fonction de conformité est plus large.
Risques d'entreprise
La gestion des risques d'entreprise (ERM) combine GRC et cybersécurité. En effet, il existe désormais des outils de GRE qui permettent de faciliter la collaboration entre les différentes fonctions risques. Les outils offrent également une visibilité sur les fonctions. Du point de vue des personnes, il peut y avoir une équipe ou un comité des risques d'entreprise composé de professionnels de la gouvernance, des risques, de la conformité et de la cybersécurité.
La raison pour laquelle la gestion des risques d'entreprise se développe est que la portée de tout risque tend à ne pas rester limitée à une fonction de risque particulière. Par exemple, un problème de chaîne d'approvisionnement peut avoir des ramifications financières et de cybersécurité.
La transformation numérique suscite également l'intérêt pour la gestion des risques d'entreprise, car les entreprises numériques fonctionnent à une vitesse beaucoup plus rapide que leurs homologues analogiques, ce qui signifie que les risques doivent être gérés de manière plus proactive et en temps réel.
La gestion des risques d'entreprise aide également à normaliser les approches traditionnellement disparates de la quantification des risques. Dans un cadre traditionnel, les différentes fonctions de risque fonctionnent séparément, il n'y a donc aucune raison de partager des données. Chacun peut utiliser une échelle différente pour mesurer les risques. Ils peuvent également avoir différents flux de travail et mécanismes en place pour l'acceptation et l'atténuation des risques. Le résultat est que des risques similaires peuvent être modélisés et notés différemment. Et, comme les différentes fonctions de risque ne partagent pas d'informations entre elles, il n'existe pas de modèle de données commun.
La gestion des risques d'entreprise aide à éliminer les frictions traditionnelles créées par les fonctions cloisonnées afin que l'organisation puisse gérer les risques plus efficacement. Les évaluations ponctuelles sont remplacées par des systèmes basés sur les données qui aident à identifier et à atténuer les risques plus rapidement et plus efficacement.
Cependant, réaliser la gestion des risques d'entreprise n'est pas seulement une question d'outillage. Elle nécessite un processus de gestion du changement qui inclut les différentes parties prenantes comme tout autre processus de transformation.
Coinsmart. Beste Bitcoin-Börse en Europe
Source : https://www.cshub.com/executive-decisions/articles/grc-and-cyber-security-must-unite