GRC

Governance, risk management and compliance (GRC) – termin ogólny obejmujący podejście organizacji w trzech obszarach: governance, risk management and compliance (ład korporacyjny, ryzyko oraz zgodność z obowiązującymi przepisami, międzynarodowymi standardami i dobrymi praktykami). Pierwsze badania naukowe dotyczące GRC opublikowano w 2007 r., gdzie GRC zostało formalnie zdefiniowane jako „zintegrowany zbiór zdolności, który umożliwia organizacji wiarygodne osiąganie celów, rozwiązywanie problemów związanych z niepewnością i działanie w sposób uczciwy”. Badanie dotyczyło wspólnych działań „utrzymania firmy na właściwym torze” prowadzonych w działach takich jak audyt wewnętrzny, zgodność, ryzyko, prawo, finanse, IT, HR, a także w działach biznesowych i w zarządzie.

Definicja i zastosowanie GRC to trzy powiązane aspekty, które pomagają zapewnić, że organizacja rzetelnie osiąga cele, rozwiązuje problemy niepewności i działa w sposób uczciwy. Ład korporacyjny to połączenie procesów ustanowionych i realizowanych przez dyrektorów (lub zarząd), które znajdują odzwierciedlenie w strukturze organizacji oraz w sposobie, w jaki jest ona zarządzana i kierowana w kierunku osiągania celów. Zarządzanie ryzykiem polega na przewidywaniu i zarządzaniu ryzykiem, które może utrudnić organizacji osiąganie celów w warunkach niepewności. Zgodność odnosi się do przestrzegania wyznaczonych granic (praw i przepisów) i granic dobrowolnych (polityki, procedur firmy itp.).

GRC jest dyscypliną, która ma na celu synchronizację informacji i działań w całym systemie zarządzania, a także przestrzeganie przepisów, aby działać skuteczniej, umożliwiać skuteczną wymianę informacji, skuteczniejsze raportowanie działań i unikanie zbędnego powielania działań. Chociaż GRC jest różnie interpretowany w różnych organizacjach, zazwyczaj obejmuje działania takie jak ład korporacyjny, zarządzanie ryzykiem przedsiębiorstwa (ERM) oraz zgodność korporacyjną z obowiązującymi przepisami i regulacjami.

Organizacje osiągają wielkość, w której skuteczna działalność wymaga skoordynowanej kontroli nad działaniami GRC. Każda z tych trzech dyscyplin tworzy informacje wartościowe dla pozostałych dwóch, a wszystkie trzy mają wpływ na te same technologie, ludzi, procesy i informacje.

Znaczne powielanie zadań rozwija się, gdy zarządzanie ładem korporacyjnym, zarządzaniem ryzykiem i zgodnością z przepisami jest zarządzane niezależnie. Nakładające się na siebie i powielające się działania GRC mają negatywny wpływ zarówno na koszty operacyjne, jak i matryce GRC. Na przykład każda służba wewnętrzna może być corocznie kontrolowana i oceniana przez wiele grup, co powoduje ogromne koszty i niepowiązane ze sobą wyniki. Niepowiązane podejście GRC uniemożliwi również organizacji dostarczanie sprawozdań wykonawczych GRC w czasie rzeczywistym. GRC zakłada, że podejście to, podobnie jak źle zaplanowany system transportowy, będzie funkcjonowało na każdej indywidualnej trasie, ale sieci zabraknie cech, które pozwolą im na efektywną współpracę.

Jeśli nie są one zintegrowane, jeśli są rozwiązywane w ramach tradycyjnego podejścia „silosowego”, większość organizacji musi utrzymać niemożliwą do opanowania liczbę wymogów związanych z GRC ze względu na zmiany technologiczne, zwiększające przechowywanie danych, globalizację rynku i zwiększoną regulację.

Składowe GRC

Governance (ład korporacyjny) Ład korporacyjny w organizacji to zbiór zasad, procesów, procedur, praktyk i wartości obowiązujących w organizacji. Powinien on obejmować całość działalności organizacji, a także opiekować interesy wielu stron (np. udziałowców, pracowników i zarządu). W obszarze tym chodzi o ogólne podejście do zarządzania.

Na system ładu korporacyjnego składają się następujące elementy:

dystrybucja zadań wewnątrz organizacji - przypisanie zadań i odpowiedzialności poszczególnym podmiotom lub jednostkom; określenie struktury organizacyjnej - zdefiniowanie struktur i zasobów odpowiedzialnych za ład korporacyjny w tym zasady raportowania; kontrola zarządcza - określenie zasad sprawowania kontroli i jej zakres; wartości jakimi kieruje się organizacja i zasady postępowania.

System ładu korporacyjnego pozwala organizacji przygotować swoją działalność i zasoby na sytuacje kryzysowe - zarówno te zależne od organizacji oraz te niezależne. Ład korporacyjny określa zasady, odpowiedzialności i zasoby niezbędne do zagwarantowania zgodności i przeciwdziałania sytuacjom kryzysowym. Ponadto ład korporacyjny odpowiedzialny jest równie, jak wyżej wskazano, za określenie podstawowych zasad i wartości jakimi kieruje się organizacja. Przykładem ładu korporacyjnego może być np. dokument opracowany i opublikowany przez Giełdę Papierów Wartościowych - Dobre praktyki spółek notowanych na GPW 2021.

Risk (zarządzanie ryzykiem) Ryzyka obejmują wiele różnorodnych obszarów w działalności organizacji. Z tego powodu istotne jest, aby proces zarządzania ryzykiem uwzględniał specyfikę obszaru w jakim występuje ryzyko. Innego podejścia wymaga ryzyko związane z działalnością operacyjną czy ryzyko prawne.

Zarządzanie ryzykiem obejmuje następujące obszary:

identyfikacja ryzyka - proces polegający na uświadomieniu organizacji o istnieniu ryzyka; szacowanie ryzyka - określenie poziomu ryzyka w oparciu o metodykę ustaloną w wewnętrznej dokumentacji; ocena ryzyka - proces polegający na ocenie czy badane ryzyko jest np. akceptowalne, wysokie, krytyczne; działania związane z ryzykiem - działania określone w wewnętrznej dokumentacji podejmowane wobec ryzyka - często działania uzależnione są od poziomu występującego ryzyka; zasoby niezbędne do zarządzania ryzykiem - zasoby niezbędne do zapewnienia prawidłowego działania systemu zarządzania ryzykiem - m.in. personel, infrastruktura; monitoring ryzyka - działania mające na celu śledzenie i bieżące monitorowanie poziomu ryzyka; procedury i polityki związane z zarządzaniem ryzykiem - wewnętrzne dokumenty określające odpowiedzialność za zarządzanie ryzykiem, sposobowy identyfikacji, szacowania, oceny, kontroli, działań i monitoringu ryzyka, a także np. poziom akceptowalnego ryzyka.

Compliance (zgodność) Compliance można rozumieć jako zbiór opracowanych i wdrożonych zasad postępowania w organizacji, dzięki którym organizacja może działać zgodnie z przepisami prawa (zarówno prawa krajowego, wspólnotowego i międzynarodowego), a także innymi normami postępowania. Głównym celem compliance jest minimalizacja ryzyk związanych z wystąpieniem nieprawidłowości, mogących mieć negatywny wpływ na organizację. Dla osiągnięcia zgodności w prowadzonej działalności nie jest wystarczające jedynie określenie regulacji prawnych jakim podlega organizacja. W celu osiągnięcia zgodności niezbędne jest wdrożenie systemu zarządzania zgodnością zwanego również CMS (ang. compliance management system).

Tematyka GRC Pojęcia podstawowe Zarządzanie opisuje ogólne podejście do zarządzania, poprzez które kierownictwo kieruje i kontroluje całą organizację, wykorzystując połączenie informacji zarządczej i hierarchicznych struktur kontroli zarządzania. Działania związane z zarządzaniem zapewniają, że krytyczne informacje zarządcze docierające do zespołu wykonawczego są wystarczająco kompletne, dokładne i aktualne, aby umożliwić podejmowanie właściwych decyzji zarządczych, a także zapewniają mechanizmy kontrolne zapewniające systematyczne i skuteczne realizowanie strategii, kierunków i instrukcji ze strony kierownictwa.

Zarządzanie ryzykiem to zbiór procesów, za pomocą których kierownictwo identyfikuje, analizuje i, tam gdzie to konieczne, odpowiednio reaguje na ryzyka, które mogą mieć negatywny wpływ na realizację celów biznesowych organizacji. Reakcja na ryzyka zależy zazwyczaj od ich postrzeganej wagi i obejmuje kontrolowanie, unikanie, akceptowanie lub przekazywanie ich stronie trzeciej. Podczas gdy organizacje rutynowo zarządzają szerokim zakresem ryzyka (np. ryzykiem technologicznym, handlowym/finansowym, bezpieczeństwa informacji itp.).

Zgodność oznacza zgodność z określonymi wymogami. Na poziomie organizacyjnym, jest to osiągane poprzez procesy zarządzania, które identyfikują obowiązujące wymagania (zdefiniowane na przykład w przepisach prawnych, regulacjach, umowach, strategiach i politykach), oceniają stan zgodności, oceniają ryzyko i potencjalne koszty braku zgodności w stosunku do przewidywanych wydatków na osiągnięcie zgodności, a tym samym ustalają priorytety, finansują i podejmują wszelkie działania naprawcze uznane za konieczne.

Segmentacja rynku GRC Program GRC może zostać wprowadzony w celu skupienia się na każdym indywidualnym obszarze przedsiębiorstwa, lub w pełni zintegrowany GRC jest w stanie pracować we wszystkich obszarach przedsiębiorstwa, przy użyciu jednej struktury.

W pełni zintegrowany GRC wykorzystuje jeden podstawowy zestaw materiałów kontrolnych, przyporządkowanych do wszystkich głównych czynników zarządzania, które są monitorowane. Zastosowanie jednolitych ram ma również tę zaletę, że ogranicza możliwość powielania działań naprawczych. W przypadku przeglądu jako poszczególnych obszarów GRC, trzy najbardziej powszechne poszczególne działy uznaje się za finansowe GRC, IT GRC i prawne GRC.

Finansowy GRC odnosi się do działań, których celem jest zapewnienie prawidłowego funkcjonowania wszystkich procesów finansowych, jak również zgodności z wszelkimi mandatami związanymi z finansami. IT GRC odnosi się do działań mających na celu zapewnienie, aby organizacja IT (Information Technology) wspierała obecne i przyszłe potrzeby przedsiębiorstwa oraz przestrzegała wszystkich mandatów związanych z IT. Prawny GRC koncentruje się na powiązaniu wszystkich trzech komponentów poprzez dział prawny organizacji i dyrektora ds. zgodności.

Analitycy nie zgadzają się co do tego, jak te aspekty GRC są definiowane jako kategorie rynkowe. Gartner stwierdził, że szeroki rynek GRC obejmuje następujące obszary: Finanse i audyt GRC Zarządzanie IT GRC Zarządzanie ryzykiem w przedsiębiorstwie.

Następnie dzielą rynek zarządzania IT GRC na te kluczowe możliwości. Chociaż lista ta odnosi się do GRC IT, podobna lista możliwości byłaby odpowiednia dla innych obszarów GRC. Kontrole i biblioteka polityk Rozkład polityki i reakcja na nią IT Kontroluje samoocenę i pomiar. Repozytorium aktywów IT Zbiórka w ramach zautomatyzowanej ogólnej kontroli komputerowej (GCC) Środki zaradcze i zarządzanie sytuacjami wyjątkowymi Sprawozdawczość Zaawansowana ocena ryzyka IT i pulpity zgodności z przepisami

Sprzedawcy produktów GRC Rozróżnienie między podsegmentami szerokiego rynku GRC często nie jest jasne. Przy dużej liczbie dostawców wchodzących na ten rynek, określenie najlepszego produktu dla danego problemu biznesowego może stanowić wyzwanie. Biorąc pod uwagę, że analitycy nie w pełni zgadzają się co do segmentacji rynku, pozycjonowanie sprzedawców może zwiększyć zamieszanie. Ze względu na dynamiczny charakter tego rynku, analiza dostawcy jest często nieaktualna stosunkowo szybko po jej opublikowaniu.

Rynek dostawców można uznać za istniejący w 3 segmentach: Zintegrowane rozwiązania GRC (interes wielu rządów, ogólnozakładowy) Rozwiązania GRC specyficzne dla danej dziedziny (pojedynczy interes w zakresie ładu korporacyjnego, dla całego przedsiębiorstwa) Rozwiązania punktowe dla GRC (odnoszą się do ładu korporacyjnego na poziomie przedsiębiorstwa lub ryzyka na poziomie przedsiębiorstwa lub zgodności na poziomie przedsiębiorstwa, ale nie w połączeniu.)