一、什么是GRC？

治理、风险与合规（GRC）是一种结构化的方法，可以帮助IT部门与企业目标保持一致，同时管理风险并符合所有行业和政府法规。其中包括将组织的治理和风险管理与其技术创新和采用相统一的工具和流程。公司使用GRC可靠地实现组织目标，消除不确定性，并满足合规性要求。

二、GRC代表什么？

GRC代表治理、风险（管理）与合规。大多数企业都熟悉这些术语，但在过去它们是分开使用的。GRC将治理、风险管理与合规结合在一个协调的模型中。这有助于您的公司减少浪费、提高效率、降低不合规风险，并更有效地共享信息。

1.治理

治理是公司用来实现其企业目标的一套政策、规则或框架。它定义了董事会和高级管理层等主要利益相关者的责任。例如，良好的公司治理支持您的团队将公司的社会责任政策纳入他们的计划。

良好的治理包括以下内容：道德和问责制、透明信息共享、冲突解决政策、资源管理。

2.风险管理

企业面临不同类型的风险，包括财务、法律、战略和安全风险。适当的风险管理有助于企业识别这些风险，并找到补救方法。公司使用企业风险管理计划来预测潜在的问题，并尽量减少损失。例如，您可以使用风险评估来查找计算机系统中的安全漏洞，并应用修补程序。

3.合规

合规是指遵守规则、法律和法规的行为。它适用于工业机构制定的法律和法规要求，也适用于公司内部政策。在GRC中，合规涉及实施程序以确保企业活动符合各自的法规。例如，医疗保健组织必须遵守HIPAA等保护患者隐私的法律。

三、为什么GRC非常重要？

通过实施GRC计划，企业可以在有风险意识的环境中做出更好的决策。有效的GRC计划有助于关键利益相关者从共同的角度制定政策，并符合监管要求。通过GRC，整个公司可以在政策、决策和行动上保持一致。

以下是在您的组织中实施GRC战略的一些优势。

1.数据驱动型决策

通过监控您的资源、设置规则或框架以及使用GRC软件和工具，您可以在更短的时间内做出数据驱动型决策。

2.负责任的运营

GRC围绕促进道德价值观和创造健康成长环境的共同文化简化运营。它指导组织中强大的组织文化发展和道德决策。

3.提高网络安全性

借助集成的GRC方法，企业可以采用数据安全措施来保护客户数据和隐私信息。由于威胁用户数据和隐私的网络风险不断增加，实施GRC战略对您的组织至关重要。它帮助组织遵守数据隐私法规，例如《通用数据保护条例（GDPR）》。借助GRCIT战略，您可以建立客户信任并保护您的企业免受处罚。

四、什么推动了GRC的实施？

各种规模的公司都面临着可能危及收入、声誉、客户和利益相关者利益的挑战。其中一些挑战包括：

互联网连接引入了可能危及数据存储安全的网络风险

企业需要遵守新的或更新的法规要求

公司需要数据隐私和保护

公司在现代商业环境中面临更多不确定性

风险管理成本以前所未有的速度增长

复杂的第三方业务关系增加了风险

这些挑战产生了对引导企业实现目标的战略的需求。常规的第三方风险管理和合规方法是不够的。因此，GRC作为一种统一的方法被引入，以帮助利益相关者做出准确的决策。

五、GRC如何运作？

任何组织中的GRC都遵循以下原则：

1.关键利益相关者

GRC需要跨不同部门的跨职能协作，实施治理、风险管理和合规。示例如下：

制定战略决策时评估风险的高级管理人员

帮助企业减少法律风险的法律团队

为符合法规要求提供支持的财务经理

处理机密招聘信息的人力资源主管

保护数据免受网络威胁的IT部门

2.GRC框架

GRC框架是管理公司治理和合规风险的模型。其中包括确定能够推动公司实现其目标的关键政策。通过采用GRC框架，您可以采取积极主动的方法来降低风险、做出明智的决策并确保业务连续性。

公司通过采用包含与组织战略目标一致的关键政策的GRC框架来实施GRC。关键利益相关者在制定政策、构建工作流程和治理公司时，会将工作建立在对GRC框架的共同理解的基础上。公司可能会使用软件和工具来协调和监控GRC框架的成功。

3.GRC成熟度

GRC成熟度是组织内治理、风险评估和合规的集成水平。当一个精心规划的GRC战略在降低风险方面带来成本效率、生产力和有效性时，您就实现了高水平的GRC成熟度。同时，低水平的GRC成熟度是没有生产力的，并使业务部门在孤岛中工作。

六、GRC如何运作？

任何组织中的GRC都遵循以下原则：

1.关键利益相关者

GRC需要跨不同部门的跨职能协作，实施治理、风险管理和合规。示例如下：

制定战略决策时评估风险的高级管理人员

帮助企业减少法律风险的法律团队

为符合法规要求提供支持的财务经理

处理机密招聘信息的人力资源主管

保护数据免受网络威胁的IT部门

2.GRC框架

GRC框架是管理公司治理和合规风险的模型。其中包括确定能够推动公司实现其目标的关键政策。通过采用GRC框架，您可以采取积极主动的方法来降低风险、做出明智的决策并确保业务连续性。

公司通过采用包含与组织战略目标一致的关键政策的GRC框架来实施GRC。关键利益相关者在制定政策、构建工作流程和治理公司时，会将工作建立在对GRC框架的共同理解的基础上。公司可能会使用软件和工具来协调和监控GRC框架的成功。

3.GRC成熟度

GRC成熟度是组织内治理、风险评估和合规的集成水平。当一个精心规划的GRC战略在降低风险方面带来成本效率、生产力和有效性时，您就实现了高水平的GRC成熟度。同时，低水平的GRC成熟度是没有生产力的，并使业务部门在孤岛中工作。

七、什么是GRC能力模型？

GRC能力模型包含帮助公司实施GRC和实现符合原则的绩效的指导方针。它可以确保对沟通、政策和培训有共同的理解。您可以采用一种有凝聚力的结构化方法来整合整个组织的GRC运营。

1.了解

您了解自己公司的背景、价值观和文化，这样您就可以确定可靠地实现目标的战略和行动。

2.保持一致

确保您的战略、行动和目标是一致的。您可以通过在做决策时考虑机会、威胁、价值和需求来做到这一点。

3.执行

GRC鼓励您采取能够带来结果的行动，避免阻碍实现目标的行动，并监控您的运营以检测突然的变化。

4.审视

您重新审视您的战略和行动，以确保它们符合业务目标。例如，法规变化可能需要改变方法。

八、常用的GRC工具有哪些？

GRC工具是企业可以用来管理政策、评估风险、控制用户访问和简化合规的软件应用程序。您可以使用以下GRC工具来集成业务流程、降低成本和提高效率。

1.GRC软件

GRC软件通过使用计算机系统来帮助实现GRC框架自动化。企业使用GRC软件来执行以下任务：

监督策略、管理风险并确保合规

及时了解影响业务的各种法规变化

支持多个业务部门在单一平台上协同工作

简化并提高内部审计的准确性

您还可以在一个平台上组合GRC框架。例如，您可以使用AWSCloudOperations来管理云和本地资源。

2.用户管理

您可以为各种利益相关者授予使用用户管理软件访问公司资源的权利。该软件支持粒度授权，因此您可以精确控制谁可以访问哪些信息。用户管理确保每个人都能安全地访问完成工作所需的资源。

3.安全信息和事件管理

您可以使用安全信息和事件管理（SIEM）软件来检测潜在的网络安全威胁。IT团队使用AWSCloudTrail等SIEM软件来弥补安全漏洞并遵守隐私法规。

4.审计

您可以使用AWSAuditManager等审计工具来评估您公司中集成GRC活动的结果。通过运行内部审计，您可以将实际绩效与GRC目标进行比较。然后，您可以决定GRC框架是否有效，并做出必要的改进。

九、实施GRC面临哪些挑战？

当企业将GRC组件集成到组织活动中时，他们可能会面临挑战。

1.变更管理

GRC报告提供了指导企业做出准确决策的见解，这有助于适应快速变化的业务环境。然而，公司需要投资于变更管理计划，以便根据GRC见解快速采取行动。

2.数据管理

公司长期以来一直通过保持部门职能分离来运营。每个部门都生成并存储自己的数据。GRC通过组合组织内的所有数据来工作。这导致了重复数据，并给信息管理带来了挑战。

3.缺乏一个完整的GRC框架

完整的GRC框架将业务活动与GRC组件集成在一起。它适合用于不断变化的业务环境，尤其是当您处理新法规时。如果没有无缝集成，您的GRC实施可能会支离破碎且效率低下。

4.伦理文化发展

让每个员工分享符合伦理道德的文化需要付出巨大的努力。高级管理人员必须确定转型的基调，并确保信息在组织的所有层面传递。

5.清晰的沟通

GRC实施的成功取决于无缝沟通。GRC合规团队、利益相关者和员工之间的信息共享必须透明。这使得创建政策、规划和决策等活动变得更加容易。

十.组织如何实施高效的GRC战略？

您必须将企业的不同部分纳入一个统一的框架中来实施GRC。构建高效的GRC需要持续的评估和改进。以下技巧使GRC的实施更容易。

1.定义明确的目标

首先，确定您希望使用GRC模型实现的目标。例如，您可能希望解决不遵守数据隐私法的风险。

2.评估现有程序

评估您公司中用于处理治理、风险与合规的当前流程和技术。然后，您可以规划并选择正确的GRC框架和工具。

3.从最高层开始

高级管理人员在GRC计划中起着主导作用。他们必须了解实施GRC政策的优势，以及它如何帮助他们做出决策和建立风险意识文化。最高层领导者制定明确的GRC驱动型政策，并鼓励组织内部接受。

4.使用GRC解决方案

您可以使用GRC解决方案来管理和监控企业GRC计划。这些GRC解决方案为您提供了底层流程、资源和记录的整体视图。使用工具监控并满足合规要求。例如，Netflix使用AWSConfig来确保其AWS资源满足安全要求。Symetra使用AWSControlTower快速预置完全符合其公司政策的新账户。

5.测试GRC框架

在一个业务部门或流程中测试GRC框架，然后评估选择的框架是否符合您的目标。通过进行小规模测试，您可以在整个组织中实施GRC系统之前对其进行有益的更改。

6.设定明确的角色和职责

GRC是集体的团队努力。尽管高级管理人员负责制定关键政策，但法律、财务和IT人员对GRC的成功同样负有责任。定义每个员工的角色和职责有助于增强责任感。它允许员工及时报告和解决GRC问题。

本文来源：AWS官网