Styrning, risk och efterlevnad (GRC) är nödvändiga funktioner inom företag men företag tenderar att strukturera och driva dem på olika sätt. I vissa företag fungerar GRC till exempel som tre separata, avstängda funktioner. Andra företag har en GRC-funktion som inkluderar GRC-specialister om inte GRC-certifierade proffs.
Även när GRC fungerar som en kombinerad organisation tenderar cybersäkerhet - en annan riskfunktion - att fungera separat. En av anledningarna till detta är att GRC-funktioner ses som affärsfunktioner medan cybersäkerhet betraktas som mer av en IT (teknikinriktad) funktion. Men som alla cybersäkerhetsincidenter visar, tenderar omfattningen av riskfall att påverka mer än en funktion samtidigt.
Bolagsstyrning
Styrning anses ofta vara synonymt med datastyrning, men företagsstyrning har ett högre ansvar. Företagsstyrning balanserar olika intressenters intressen och det hjälper företaget att förverkliga sina strategiska mål bland annat genom ramar, regler, metoder, processer och resultatmätning.
I ett datacentrerat sammanhang hjälper styrning till att endast auktoriserade parter har tillgång till de uppgifter de vill använda. Datastyrningsregler förmörkar överensstämmelse eftersom användningen av data också regleras av lagar och förordningar.
Risk
Traditionella riskfunktioner har fokuserat på finansiella risker. Vanligtvis har den här funktionen arbetat nära med, om den inte rapporteras till, CFO. Finansiella risker har olika former, inklusive leverantörsrisker, kontinuitetsrisker och skadestånd (försäkring).
Traditionell riskhantering kan ibland vara i strid med andra grupper, särskilt när det ses som ett hinder för innovation. Det är därför viktigt att avgöra vilken organisations riskaptit är och att förnya sig inom ramen för den. Till exempel har Amazon haft några spektakulära framgångar och misslyckanden eftersom de var villiga att ta på sig betydande risker för sitt slutresultat, aktiekurs och rykte.
Compliance
Överensstämmelse fokuserar på efterlevnad av lagar och regler. Denna funktion måste förstå vilka externa regler organisationen måste följa och översätta dessa regler till praxis och processer som säkerställer efterlevnad.
Överensstämmelse är föremål för revisioner internt och av tredje part som kan vara konsultföretag som kontrollerar om deras kunders företag uppfyller kraven. Alternativt kan en lagstadgad revisor göra detsamma. De olika revisionerna tenderar inte att utesluta ömsesidigt företag eftersom det sista som ett företag vill ha är att en statsrevisor upptäcker ett problem. Om det händer kommer företaget sannolikt att bli föremål för regleringsböter och om det är ett offentligt företag måste de lämna ut frågan till aktieägarna. Om överträdelsen också har skadat kunder (t.ex. PII-missbruk) kan stämningar också bli resultatet.
Modernt har efterlevnad, liksom styrning, varit starkt associerad med data med tanke på EU: s allmänna dataskyddsförordning (GDPR) och California Consumer Privacy Act (CCPA). Efterlevnadsfunktionen är dock bredare.
Riskhantering för företag
Enterprise risk management (ERM) kombinerar GRC och cybersäkerhet. I själva verket finns det nu ERM-verktyg som hjälper till att underlätta samarbete mellan de olika riskfunktionerna. Verktygen ger också synlighet över olika funktioner. Ur folksynpunkt kan det finnas ett team eller en kommitté för företagsrisker som består av yrkesverksamma inom styrning, risk, efterlevnad och it-säkerhet.
Anledningen till att företagets riskhantering växer beror på att riskens omfattning inte tenderar att förbli begränsad till en viss riskfunktion. Till exempel kan en försörjningskedjeproblem medföra ekonomiska och cybersäkerhetsförändringar.
Digital omvandling tänder också intresset för företagets riskhantering eftersom digitala företag arbetar mycket snabbare än sina analoga motsvarigheter, vilket innebär att riskerna måste hanteras mer proaktivt och i realtid.
Företagsriskhantering hjälper också till att normalisera de traditionellt olika metoderna för att kvantifiera risker. I traditionell miljö fungerar de olika riskfunktionerna separat så det finns ingen anledning att dela data. Var och en kan använda en annan skala för att mäta risker. De kan också ha olika arbetsflöden och mekanismer på plats för riskacceptans och lindring. Resultatet är att liknande risker kan modelleras och göras annorlunda. Och eftersom de olika riskfunktionerna inte delar information med varandra finns det ingen gemensam datamodell.
Företagets riskhantering hjälper till att avlägsna den traditionella friktionen som skapas av silade funktioner så att organisationen kan hantera risker mer effektivt. Punkt-i-tid-utvärderingar ersätts av datadrivna system som hjälper till att identifiera och mildra risker snabbare och mer effektivt.
Men att förverkliga företagets riskhantering handlar inte bara om verktyg. Det kräver en förändringshanteringsprocess som inkluderar de olika intressenterna som alla andra omvandlingsprocesser.
Coinsmart. Bästa Bitcoin-Börse i Europa
Källa: https://www.cshub.com/executive-decisions/articles/grc-and-cyber-security-must-unite
