治理风险与合规（GRC）的起源与发展
发布时间：2025-04-15
作者： 陶光辉
治理风险与合规（Governance Risk management & Compliance，GRC），历经20余年市场验证，目前已称得上是一个“专业术语”。
当下对GRC的认识，可能有两个不同的维度。具体可见《陶光辉：治理风险与合规（GRC）的内涵与外延》。
这两个维度，一个是基于管理体系的整合，一个是基于信息化与数字化系统的集成。
在具体内容上，可能不同机构和不同从业者，还会有不同的说法。
要深刻理解GRC，须从其起源开始说起。
01
GRC历史背景回顾
有专家认为，是美国《萨班斯法案》促进了GRC管理理论的产生。【见《有原则绩效之路——GRC理论与实践初探》，北京慧点科技有限公司编著，清华大学出版社2016年版，第3页】
2001-2002年，美国相继爆出了安然、美林证券、世界通信、施乐、默克制药、美国国际集团AIG、朗讯科技、凯马特百货、安达信会计事务所等企业财务丑闻。
这些财产丑闻行为，或财务造假，或虚报收入，或隐藏关联交易，甚至销毁证据，等等，直接导致这些全球知名的企业，要么被处罚、要么申请破产，要么同时高管承担刑事责任。
一时间，美国上市公司的信誉一落千丈，投资者信心备受打击。在此尬尴和紧迫的情形下，美国政府于2002年迅速颁布《公众公司会计改革和投资者保护法案》。
因该法案由当时参议员萨班斯和众议员奥克斯利两人联合提起，故通常被称《萨班斯-奥克斯利法案》，英文简称为 SOX法案，中文有时也简称为《萨班斯法案》。
2001-2002年美国企业的丑闻发生，其深层原因，是基于企业自上而下的造假、隐瞒以及监督的缺失等。这反映了当时美国企业治理和会计监管的系统性漏洞。
由此，《萨班斯法案》规定了“设立上市公司会计监督委员会（PCAOB）、加强审计师的独立性、高管人员对公司财务报告的准确性和完整性承担责任，加强财务披露要求和实施内部控制框架”等应对措施。
对其中关于“管理层应评估公司对财务报告的内控制的有效性”，即SOX 404条款，美国证券交易委员会SEC在实施细则中明确，COSO内部控制整合框架是评估内部控制有效性的默认标准。若企业采用其他框架（如加拿大COCO、英国Turnbull），需额外证明其等效性或与COSO框架的对比。
此类规定，即将COSO1992年就提出的内部控制整合框架，由原来行业自律性文件，上升为法律层面的参照标准了。这正是COSO内部控制整合框架“享誉全球”的主要原因。
《萨班斯法案》大大强化了企业内部控制的要求，同时提出了企业高管应主动构建内控合规框架，即加强公司治理，以更好地防控风险。
因此，对于具体的治理、风险、合规等整合方法（即GRC所包含的本质内容），《萨班斯法案》作为一部法律，对此是不可能提出的。
那么，受到很多风险内控专业人员推崇，由COSO提出的内部控制整合框架，是否是GRC的源头呢？
个人认为，即便是广为传播，且被《萨班斯法案》认可的COSO内部控制整合框架，也难以作为整合治理、风险、合规理论（即GRC）的源头。
因为，COSO内部控制整合框架主要还是财务报告的可靠性和合规性而展开。
后来，COSO为进一步提高内部控制整合框架的实用性，也为了回答为什么企业在有内控体系的情况下，还会频发类似于安然、世通、施乐等丑闻事件，在2004年推出了风险管理整合框架（COSO-ERM），尝试为企业构建更为完善、更高维度的管理体系提供解决方案。
该解决方案或管理架构，系在1992年内控整合框架的基础上进行了升级，主要是增加了“一个目标”和“三个要素”，并强调了“风险组合观”。
但是，该“整合框架”，仍然是基于风险管理这个单一的体系出发，还未达到“治理、风险、合规”等高度协同的地步。
综合以上回顾，个人认为，《萨班斯法案》（2002年）或COSO的内部控制整合框架（1992年）或风险管理整合框架（2004年），均不能作为GRC这个具备高度整合特点的管理框架的来源。
当然，可以肯定的是，《萨班斯法案》的历史背景，与GRC理论出现的历史背景，是一致的。
02
GRC词语溯源
那么，治理、风险与合规（GRC）这个词，在《萨班斯法案》出台的相同历史背景下，是由谁或哪个机构提出的呢？
经查阅资料，可认为 GRC（Governance ，Risk management & Compliance，治理风险与合规）这个词语是美国一家知名的技术和市场调研公司Forrester Research（弗雷斯特研究公司）的一名分析师Michael Rasmussen（迈克尔·拉斯穆森）提出的。
Michael Rasmussen在 Forrester的一份早期报告（2002年）中，提出了 GRC（治理、风险与合规） 的概念，强调企业需通过整合治理、风险管理和合规职能，实现“有原则的绩效”（Principled Performance），即在合规前提下平衡风险与业务目标。
该概念的首次提出，正是在一系列企业丑闻爆发和萨班斯法案颁发之后。
03
GRC框架体系
2002年，一个全球非营利性组织OCEG（Open Compliance and Ethics Group，开放合规与道德组织）在美国成立。
根据其官网描述，OCEG 是由 Scott Mitchell（斯科特·L·米切尔）在“互联网泡沫破灭”和安然、世通等著名企业失败之后创立。
Scott Mitchell 称，他最初的使命是改善公司合规性和道德规范，因此将其称为 Open Compliance and Ethics Group。很快，他们发现对话超越了合规和道德范畴——进入了绩效管理、风险管理、治理和鉴证，因此，后来只使用首字母OCEG来描述他们的组织。
OCEG成立后，便一直致力于GRC定义深化和标准制定。
2004年，他们提出第一个 GRC 标准。最初称之为Capability Model（能力模型）。因为封面是深红色的，所以又称为 OCEG 红皮书。红皮书详细介绍了 GRC 的实践，“整合了绩效、风险、合规和道德的治理、保证和管理”。
2005年，OCEG 开发了 GRC 能力模型第 2 版，该标准在一年内获得超过 100000 次下载，并得到广泛采用。同时，他们又开发了 GRC 评估模型（又称为 “勃艮第书” ）。
2006年，OCEG 和 GRC 作为一个概念得到了充分认可，Forrester、Gartner 和 IDC 的分析师开始使用 GRC 来组织软件。
2007年，Scott Mitchell 撰写了一篇关于“有原则的绩效”主题的文章，发表在《International Journal of Disclosure and Governance》（《国际治理与披露杂志》上。
同年，OCEG完成了由 GRC 能力模型（红皮书）、GRC 评估模型（勃艮第书）和 GRC 解决方案模型等组成的GRC“桌面套装”。至此，GRC框架体系基本成熟。
04
GRC的发展
可以说，非营利性组织OCEG在GRC的标准化和推广中，起到了关键作用。
成立之初，OCEG便设立了顾问委员会。在2003年，其首届顾问委员中，出现纳斯达克前副主席、花旗银行前总裁、安永副主席、普华永道管理合伙人、德勤董事、美国风险与保险管理协会前执行董事、美国管理协会首席运营官等身影，这对于GRC概念的普及和发展，起到了很好的助推作用。
2010年，OCEG发起GRC认证。同年，GRC能力模型3.0版获得其内部授权。
到2024年，根据OCEG官网记载，GRC认证会员已达到15万人，其能力模型也在2023年推出了3.5版。
随着OCEG对GRC概念、标准和认证的推广，越来越的企业、机构和个人认同GRC的价值，并带动IT解决方案厂商也纷纷以GRC理念来设计整合治理软件。
其中，作为OCEG的会员，SAP、IBM、Oracle等国际知名软件厂商基于GRC理念都推出了自身标准化的产品。
如 SAP公司，2007年即推出SAP GRC 1.0。SAP提出的GRC 解决方案，试图通过统一平台，构建多个模块，覆盖全风险场景，自动化部分控制活动，并提供实时风险监控和预测分析等，可谓重新定义企业风险管理的范式。
Oracle公司推出GRC Suite，涵盖风险量化、合规流程自动化及治理仪表盘功能，支持多法规环境下的统一管控；IBM公司则推出IBM OpenPages，集成AI
驱动的风险建模与合规性评估，支持ESG指标整合。
在国内，慧点科技称得上是国内最早引入OCEG GRC理论的企业。其他包括远光软件、领雁科技等，也在从事GRC软件的宣传与开发。
这就是本人提出的GRC第二个维度，即基于技术路径的GRC。
随着人工智能和大数据技术的进一步发展，未来GRC的数字化，是必然的。
但个人同时认为，不管GRC如何依赖于数字化、智能化，其仍然需要建立在对企业风险、对法律环境、对管理体系等越来越精细，越来越深化的认知基础之上。
上一条
下一条
—— 为法务人赋能，助企业家化险
