治理、风险和合规性 (GRC) 框架可帮助组织将其信息技术与业务目标和法规遵从性要求保持一致。
什么是 GRC？
GRC（用于 治理、风险和合规性）是一种用于管理治理、风险管理以及遵守行业和政府法规的组织战略。GRC 还指用于实施和管理企业 GRC 程序的集成软件功能套件。
GRC 的一套实践和流程提供了一种结构化的方法来使 IT 与业务目标保持一致。GRC 帮助公司有效地管理 IT 和安全风险、降低成本并满足合规性要求。它还通过综合了解组织管理风险的程度，帮助改进决策制定和绩效。
治理
在其基本层面上，治理是一组规则、政策和流程，可确保公司活动与支持业务目标保持一致。它包括道德、资源管理、问责制和管理控制。
治理还确保高层管理人员能够指导和影响公司各级发生的事情，并确保业务部门与客户的需求和总体公司目标保持一致。
有效的治理创造了一种环境，让员工感到被赋予权力，行为和资源得到控制和协调。治理的目标之一是平衡许多公司利益相关者的利益，包括高层管理人员、员工、供应商和投资者。
为了保持这种平衡，治理可以帮助确保公司内部和外部利益相关者之间的合同到位，以公平分配责任、权利和回报。这还包括协调利益相关者之间利益冲突的程序，以及确保监督、控制和数据流作为制衡系统发挥作用的流程。
治理提供对设施和基础设施（例如 数据中心）的控制，以及对投资组合级别的应用程序的监督。
最重要的是，实施治理是为了对行为和结果负责。可以通过执行道德商业惯例和企业公民规则来管理行为。良好的治理根据业务线定义工作，并根据取得的成果而不是职责来评估员工。
风险管理
风险管理是识别、评估和控制组织的财务、法律、战略和安全风险的过程。为了降低风险，组织需要应用资源来最小化、监视和控制负面事件的影响，同时最大化正面事件。
在最广泛的层面上，风险管理是一个由人员、流程和技术组成的系统，使组织能够根据价值观和风险建立目标。
企业风险管理计划的目标是在优化风险状况和确保价值的同时实现企业目标。该任务的一部分是优先考虑利益相关者的期望并向这些利益相关者提供可靠的信息。
风险管理计划还适用于识别网络安全和信息安全威胁和风险——例如软件漏洞和员工密码使用不当——并实施计划来减少这些威胁和风险。
该计划应评估系统性能和有效性，评估遗留技术，识别可能影响核心业务的运营和技术故障，并监控基础设施风险和网络和计算资源的潜在故障。
风险评估计划必须满足法律、合同、内部、社会和道德目标，并监控与新技术相关的法规。通过关注风险并投入必要的资源来控制和减轻风险，企业将保护自己免受不确定性的影响，降低成本，并增加业务连续性和成功的可能性。
遵守
合规性涉及遵守行业和/或政府机构制定的规则、政策、标准和法律。如果不这样做，组织可能会因绩效不佳、代价高昂的错误、罚款、处罚和诉讼而付出代价。
法规遵从性涵盖适用于公司的外部法律、法规和行业标准。公司或内部合规性处理由单个公司制定的规则、法规和内部控制。内部合规管理计划与外部合规要求相结合非常重要。集成合规计划应基于创建、更新、分发和跟踪合规政策并对员工进行这些政策培训的过程。
要创建有效的合规计划，组织需要了解哪些领域构成最大风险并将资源集中在这些领域。然后，应制定、实施并向员工传达政策，以解决这些风险领域。应制定指南，使员工和供应商更容易遵守合规政策。
GRC 用例
GRC 框架可帮助组织制定政策和实践，以最大限度地降低合规风险。IT 和安全 GRC 解决方案专注于利用有关数据、基础设施以及虚拟、移动和云应用程序的及时信息。
此外，组织的 GRC 计划应该提高效率、降低风险并提高绩效和投资回报 (ROI)。企业将为领导层、组织及其 IT 领域的运营开发和使用 GRC 框架，以确保它们支持并实现组织的战略目标。这包括在业务流程、政策和控制的背景下关联信息，以及 IT、财务、人力资源团队和最高管理层执行的活动。
效率
如果没有 GRC 软件平台，风险评估、合规管理、内部审计和其他 GRC 活动可能会耗费大量时间和资源。GRC 平台可以帮助公司打破流程和数据中的孤岛，遵守法规，并监控、衡量和预测损失和风险事件。
它还可以帮助公司管理财务和人工智能 (AI)驱动模型的生命周期 ，并改进 IT 合规性和控制。公司甚至可以衡量监管和业务要求对政策框架的影响，并通过与第三方产品集成来支持自动化衡量和 IT 控制。
风险评估和降低
GRC 使公司能够建立、自动化和管理风险评估和风险降低。而且，来自 GRC 平台的数据使公司能够做出更明智的决策，然后分配资源以降低风险。
对 Sarbanes-Oxley 法案等法规的审计是 GRC 运作的里程碑，各部门需要维护和保护敏感细节——包括发票、人力资源记录和财务报告——为这些审计做好准备。
有效的 GRC 计划对于经历过重大合规或风险事件或失败的公司特别有用。此外，对其合规性或内部和外部财务风险报告和可见性没有信心的企业可以寻求 GRC 模型来帮助修复和监控冗余控制集和无效框架，以避免重复出现的风险问题。
对绩效和投资回报率的战略支持
有时，公司可能会发现难以分配资源、解决利益冲突和衡量成功。这可能是应对风险和要求的成本不断增加，同时面临管理第三方关系和风险呈指数增长的挑战的结果。
但是，公司可以使用 GRC 平台生成的指标来设定和监控明确的目标。这将有助于提高他们的绩效并提高他们的投资回报率。
GRC工具
GRC 工具是一种管理运营并确保公司满足合规性和风险标准的方法。工具还可以帮助确定和降低与公司内部 IT 的使用、所有权、运营、参与、影响和采用相关的风险。GRC 工具应包含运营风险、政策和合规性、IT 治理和内部审计。
大多数 GRC 工具都具有以下一些特性：
- 帮助企业创建、跟踪和存储数字化内容的内容和文档管理
- 风险数据管理和分析有助于衡量、量化和预测风险，并确定降低风险的步骤
- 工作流管理，帮助公司建立、执行和监控 GRC 相关工作流
- 审计管理以组织信息并简化进行内部审计的流程
- 提供中央界面的仪表板，可以实时监控与业务流程和目标相关的关键绩效指标
有效的 GRC 工具创建和分发策略和控制，并将它们映射到法规和合规性要求。它们有助于评估控制措施是否已部署、是否正常运行以及是否正在改进风险评估和缓解措施。
- 关键词标签： GRC, 术语, 治理、风险和合规性 (GRC)
