Gobernanza, gestión de riesgos y cumplimiento ( GRC ) es el término que abarca el enfoque de una organización en estas tres prácticas: gobernanza , gestión de riesgos y cumplimiento . [1] [2] [3] [4]
La primera investigación académica sobre GRC se publicó en 2007 [5], donde se definió formalmente a GRC como "el conjunto integrado de capacidades que permiten a una organización alcanzar objetivos de manera confiable, abordar la incertidumbre y actuar con integridad". La investigación se refería a actividades comunes para "mantener a la empresa en el buen camino" que se llevaban a cabo en departamentos como auditoría interna, cumplimiento, riesgo, legal, finanzas, TI, RR.HH., así como en las líneas de negocio, la suite ejecutiva y el propio directorio.
La gobernanza, la gestión de riesgos y el cumplimiento normativo son tres facetas relacionadas que tienen como objetivo garantizar que una organización alcance sus objetivos de manera confiable, aborde la incertidumbre y actúe con integridad. [6] La gobernanza es la combinación de procesos establecidos y ejecutados por los directores (o la junta directiva) que se reflejan en la estructura de la organización y en cómo se gestiona y conduce hacia el logro de objetivos. La gestión de riesgos consiste en predecir y gestionar los riesgos que podrían impedir que la organización logre sus objetivos de manera confiable en condiciones de incertidumbre. El cumplimiento normativo se refiere a adherirse a los límites obligatorios (leyes y regulaciones) y a los límites voluntarios (políticas, procedimientos, etc. de la empresa). [7] [8]
GRC es una disciplina que tiene como objetivo sincronizar la información y la actividad en los ámbitos de gobernanza y cumplimiento normativo para operar de manera más eficiente, permitir un intercambio de información eficaz, informar de las actividades de manera más eficaz y evitar superposiciones innecesarias. Aunque se interpreta de forma diferente en distintas organizaciones, GRC suele abarcar actividades como la gobernanza corporativa , la gestión de riesgos empresariales (ERM) y el cumplimiento corporativo de las leyes y regulaciones aplicables.
Las organizaciones alcanzan un tamaño en el que se requiere un control coordinado de las actividades de GRC para operar de manera eficaz. Cada una de estas tres disciplinas crea información de valor para las otras dos, y las tres tienen un impacto en las mismas tecnologías, personas, procesos e información.
Cuando la gobernanza, la gestión de riesgos y el cumplimiento normativo se gestionan de forma independiente, se produce una duplicación sustancial de tareas. Las actividades de GRC superpuestas y duplicadas afectan negativamente tanto a los costes operativos como a las matrices de GRC. Por ejemplo, cada servicio interno puede ser auditado y evaluado por varios grupos anualmente, lo que genera enormes costes y resultados desconectados. Un enfoque de GRC desconectado también impedirá que una organización proporcione informes ejecutivos de GRC en tiempo real. El GRC supone que este enfoque, al igual que un sistema de transporte mal planificado, cada ruta individual funcionará, pero la red carecerá de las cualidades que les permitan trabajar juntas de forma eficaz. [9]
Si no se integran, si se abordan con un enfoque tradicional de "silos", la mayoría de las organizaciones deben soportar cantidades inmanejables de requisitos relacionados con GRC debido a los cambios en la tecnología, el aumento del almacenamiento de datos, la globalización del mercado y una mayor regulación.
Se puede implementar un programa de GRC que se centre en cualquier área individual dentro de la empresa, o bien un GRC totalmente integrado puede funcionar en todas las áreas de la empresa, utilizando un único marco.
Un sistema de gobernanza de la seguridad totalmente integrado utiliza un único conjunto de elementos de control, vinculados a todos los factores de gobernanza primarios que se supervisan. El uso de un único marco también tiene la ventaja de reducir la posibilidad de que se dupliquen las medidas correctivas.
Cuando se revisan como áreas de GRC individuales, se considera que los encabezados individuales más comunes son GRC financiero, GRC operativo, GRC WHS, GRC de TI y GRC legal .
Sin embargo, el AICD (Instituto Australiano de Directores de Empresas) divide el riesgo en tres supergrupos
Los analistas no están de acuerdo en cómo se definen estos aspectos de GRC como categorías de mercado. Gartner ha afirmado que el mercado de GRC en general incluye las siguientes áreas:
Además, dividen el mercado de gestión de GRC de TI en estas capacidades clave.
Las distinciones entre los subsegmentos del amplio mercado de GRC a menudo no son claras. Con una gran cantidad de proveedores que ingresaron recientemente a este mercado, determinar el mejor producto para un problema comercial determinado puede resultar un desafío. Dado que los analistas no están completamente de acuerdo sobre la segmentación del mercado, el posicionamiento de los proveedores puede aumentar la confusión.
Debido a la naturaleza dinámica de este mercado, cualquier análisis de proveedores suele quedar desactualizado relativamente pronto después de su publicación.
En términos generales, se puede considerar que el mercado de proveedores existe en tres segmentos:
Las soluciones integradas de GRC intentan unificar la gestión de estas áreas, en lugar de tratarlas como entidades separadas. Una solución integrada puede administrar una biblioteca central de controles de cumplimiento, pero gestionarlos, monitorearlos y presentarlos en relación con cada factor de gobernanza. Por ejemplo, en un enfoque específico de dominio, se podrían generar tres o más hallazgos en relación con una sola actividad fallida. La solución integrada reconoce esto como una falla relacionada con los factores de gobernanza mapeados.
Los proveedores de GRC específicos de un dominio entienden la conexión cíclica entre gobernanza, riesgo y cumplimiento dentro de un área particular de gobernanza. Por ejemplo, dentro del procesamiento financiero, un riesgo estará relacionado con la ausencia de un control (necesidad de actualizar la gobernanza) y/o la falta de adherencia a (o mala calidad de) un control existente. Un objetivo inicial de dividir GRC en un mercado separado ha dejado a algunos proveedores confundidos sobre la falta de movimiento. Se cree que la falta de educación profunda dentro de un dominio en el lado de la auditoría, junto con una desconfianza en la auditoría en general, causa una grieta en un entorno corporativo. Sin embargo, hay proveedores en el mercado que, si bien siguen siendo específicos del dominio, han comenzado a comercializar su producto a usuarios finales y departamentos que, si bien son tangenciales o superpuestos, se han expandido para incluir la auditoría interna corporativa interna (CIA) y los equipos de auditoría externa (los cuatro grandes de nivel 1 Y los de nivel 2 y inferiores), la seguridad de la información y las operaciones/producción como público objetivo. Este enfoque proporciona un enfoque más de "libro abierto" en el proceso. Si el equipo de producción es auditado por la CIA mediante una aplicación a la que también tiene acceso el equipo de producción, se cree que el riesgo se reducirá más rápidamente, ya que el objetivo final no es "cumplir con las normas", sino ser "seguro" o lo más seguro posible. También puede probar las distintas herramientas de GRC disponibles en el mercado que se basan en la automatización y pueden reducir su carga de trabajo.
Las soluciones puntuales para la gestión de la gobernanza de la seguridad se caracterizan por centrarse en abordar sólo una de sus áreas. En algunos casos de requisitos limitados, estas soluciones pueden cumplir una finalidad viable. Sin embargo, dado que tienden a haber sido diseñadas para resolver problemas específicos de dominio en gran profundidad, generalmente no adoptan un enfoque unificado y no son tolerantes con los requisitos de gobernanza integrada. Los sistemas de información abordarán mejor estas cuestiones si los requisitos para la gestión de la gobernanza de la seguridad se incorporan en la etapa de diseño, como parte de un marco coherente. [11]
Los proveedores de GRC con un marco de datos integrado ahora pueden ofrecer soluciones de inteligencia empresarial y almacenamiento de datos de GRC personalizadas. Esto permite recopilar y analizar datos de alto valor de cualquier cantidad de aplicaciones de GRC existentes.
La agregación de datos de GRC mediante este enfoque agrega un beneficio significativo en la identificación temprana de riesgos y la mejora de los procesos de negocio (y el control de negocio).
Otros beneficios de este enfoque incluyen (i) permite que las aplicaciones existentes, especializadas y de alto valor continúen sin impacto (ii) las organizaciones pueden gestionar una transición más fácil hacia un enfoque GRC integrado porque el cambio inicial solo se suma a la capa de informes y (iii) proporciona una capacidad en tiempo real para comparar y contrastar el valor de los datos entre sistemas que anteriormente no tenían un esquema de datos común.
Cada una de las disciplinas centrales –Gobernanza, Gestión de Riesgos y Cumplimiento– consta de cuatro componentes básicos : estrategia, procesos, tecnología y personas. El apetito de riesgo de la organización , sus políticas internas y regulaciones externas constituyen las reglas de GRC. Las disciplinas, sus componentes y reglas ahora deben fusionarse de una manera integrada, holística y para toda la organización (las tres características principales de GRC), alineadas con las operaciones (comerciales) que se gestionan y respaldan a través de GRC. Al aplicar este enfoque, las organizaciones anhelan alcanzar los objetivos : comportamiento éticamente correcto y mejora de la eficiencia y la eficacia de cualquiera de los elementos involucrados. [12]
{{citation}}: CS1 maint: multiple names: authors list (link){{citation}}: CS1 maint: multiple names: authors list (link){{citation}}: CS1 maint: multiple names: authors list (link){{citation}}: CS1 maint: multiple names: authors list (link)