Gobernanza, gestión de riesgos y cumplimiento ( GRC ) es el término que cubre el enfoque de una organización a través de estas tres prácticas: gobernanza , gestión de riesgos y cumplimiento . [1] [2] [3] [4]
La primera investigación académica sobre GRC se publicó en 2007 [5], donde se definió formalmente como "el conjunto integrado de capacidades que permiten a una organización alcanzar objetivos de manera confiable, abordar la incertidumbre y actuar con integridad". La investigación se refirió a actividades comunes para "mantener la empresa encaminada" realizadas en departamentos como auditoría interna, cumplimiento, riesgos, legal, finanzas, TI, recursos humanos, así como las líneas de negocio, el equipo ejecutivo y la propia junta directiva.
La gobernanza, la gestión de riesgos y el cumplimiento son tres facetas relacionadas que tienen como objetivo garantizar que una organización logre sus objetivos de manera confiable, aborde la incertidumbre y actúe con integridad. [6] La gobernanza es la combinación de procesos establecidos y ejecutados por los directores (o la junta directiva) que se reflejan en la estructura de la organización y en cómo se gestiona y conduce hacia el logro de los objetivos. La gestión de riesgos consiste en predecir y gestionar los riesgos que podrían impedir que la organización alcance de forma fiable sus objetivos en condiciones de incertidumbre. El cumplimiento se refiere al cumplimiento de los límites obligatorios (leyes y regulaciones) y los límites voluntarios (políticas, procedimientos, etc. de la empresa). [7] [8]
GRC es una disciplina que tiene como objetivo sincronizar la información y la actividad a través de la gobernanza y el cumplimiento para operar de manera más eficiente, permitir el intercambio efectivo de información, informar actividades de manera más efectiva y evitar superposiciones inútiles. Aunque se interpreta de manera diferente en varias organizaciones, GRC generalmente abarca actividades como gobierno corporativo , gestión de riesgos empresariales (ERM) y cumplimiento corporativo de las leyes y regulaciones aplicables.
Las organizaciones alcanzan un tamaño en el que se requiere un control coordinado sobre las actividades de GRC para operar de manera efectiva. Cada una de estas tres disciplinas crea información de valor para las otras dos, y las tres impactan las mismas tecnologías, personas, procesos e información.
Cuando la gobernanza, la gestión de riesgos y el cumplimiento se gestionan de forma independiente, se produce una duplicación sustancial de tareas. Las actividades de GRC superpuestas y duplicadas impactan negativamente tanto en los costos operativos como en las matrices de GRC. Por ejemplo, cada servicio interno podría ser auditado y evaluado por varios grupos anualmente, lo que generaría costos enormes y resultados desconectados. Un enfoque de GRC desconectado también impedirá que una organización proporcione informes ejecutivos de GRC en tiempo real. GRC supone que con este enfoque, como en un sistema de transporte mal planificado, cada ruta individual funcionará, pero la red carecerá de las cualidades que les permitan trabajar juntas de manera efectiva. [9]
Si no se integran, si se abordan en un enfoque tradicional de "silo", la mayoría de las organizaciones deben soportar cantidades inmanejables de requisitos relacionados con GRC debido a los cambios en la tecnología, el aumento del almacenamiento de datos, la globalización del mercado y una mayor regulación.
Se puede instituir un programa GRC para centrarse en cualquier área individual dentro de la empresa, o un GRC totalmente integrado puede trabajar en todas las áreas de la empresa, utilizando un marco único.
Un GRC totalmente integrado utiliza un único conjunto central de material de control, asignado a todos los factores de gobernanza primarios que se monitorean. El uso de un marco único también tiene la ventaja de reducir la posibilidad de acciones correctivas duplicadas.
Cuando se revisan como áreas individuales de GRC, se considera que los encabezados individuales más comunes son GRC financiero, GRC operativo, GRC WHS, GRC de TI y GRC legal .
Sin embargo, el AICD (Instituto Australiano de Directores de Empresas) divide el riesgo en tres supergrupos
Los analistas no están de acuerdo sobre cómo se definen estos aspectos de GRC como categorías de mercado. Gartner ha declarado que el amplio mercado de GRC incluye las siguientes áreas:
Además, dividen el mercado de gestión de TI GRC en estas capacidades clave.
Las distinciones entre los subsegmentos del mercado general de GRC a menudo no son claras. Con una gran cantidad de proveedores ingresando recientemente a este mercado, determinar el mejor producto para un problema comercial determinado puede resultar un desafío. Dado que los analistas no están totalmente de acuerdo sobre la segmentación del mercado, el posicionamiento de los proveedores puede aumentar la confusión.
Debido a la naturaleza dinámica de este mercado, cualquier análisis de proveedores suele quedar obsoleto relativamente poco tiempo después de su publicación.
En términos generales, se puede considerar que el mercado de proveedores existe en tres segmentos:
Las soluciones integradas de GRC intentan unificar la gestión de estas áreas, en lugar de tratarlas como entidades separadas. Una solución integrada es capaz de administrar una biblioteca central de controles de cumplimiento, pero también gestionarlos, monitorearlos y presentarlos en función de todos los factores de gobernanza. Por ejemplo, en un enfoque de dominio específico, se podrían generar tres o más hallazgos en relación con una sola actividad interrumpida. La solución integrada reconoce esto como una ruptura relacionada con los factores de gobernanza mapeados.
Los proveedores de GRC de dominios específicos comprenden la conexión cíclica entre gobernanza, riesgo y cumplimiento dentro de un área particular de gobernanza. Por ejemplo, dentro del procesamiento financiero, que un riesgo estará relacionado con la ausencia de un control (necesidad de actualizar la gobernanza) y/o la falta de cumplimiento (o la mala calidad de) un control existente. El objetivo inicial de dividir GRC en un mercado separado ha dejado a algunos proveedores confundidos por la falta de movimiento. Se cree que la falta de educación profunda dentro de un dominio en el lado de la auditoría, junto con la desconfianza en la auditoría en general, causa una brecha en el entorno corporativo. Sin embargo, hay proveedores en el mercado que, si bien siguen siendo específicos de un dominio, han comenzado a comercializar su producto a los usuarios finales y departamentos que, si bien son tangenciales o se superponen, se han ampliado para incluir los equipos de auditoría interna corporativa (CIA) y de auditoría externa. (nivel 1, cuatro grandes Y nivel dos e inferiores), seguridad de la información y operaciones/producción como público objetivo. Este enfoque proporciona un enfoque más "de libro abierto" al proceso. Si la CIA audita al equipo de producción utilizando una aplicación a la que la producción también tiene acceso, se cree que se reducirá el riesgo más rápidamente, ya que el objetivo final no es ser "cumplido" sino "seguro", o lo más seguro posible. También puede probar las diversas herramientas GRC disponibles en el mercado que se basan en la automatización y pueden reducir su carga de trabajo.
Las soluciones puntuales para GRC se caracterizan por su enfoque en abordar sólo una de sus áreas. En algunos casos de requisitos limitados, estas soluciones pueden tener un propósito viable. Sin embargo, debido a que tienden a haber sido diseñados para resolver problemas de dominios específicos con gran profundidad, generalmente no adoptan un enfoque unificado y no son tolerantes con los requisitos de gobernanza integrada. Los sistemas de información abordarán mejor estas cuestiones si los requisitos para la gestión de GRC se incorporan en la etapa de diseño, como parte de un marco coherente. [11]
Los proveedores de GRC con un marco de datos integrado ahora pueden ofrecer soluciones personalizadas de inteligencia empresarial y almacén de datos de GRC. Esto permite recopilar y analizar datos de alto valor de cualquier número de aplicaciones GRC existentes.
La agregación de datos de GRC utilizando este enfoque agrega un beneficio significativo en la identificación temprana de riesgos y la mejora de los procesos comerciales (y el control comercial).
Otros beneficios de este enfoque incluyen (i) permite que las aplicaciones existentes, especializadas y de alto valor continúen sin impacto (ii) las organizaciones pueden gestionar una transición más fácil hacia un enfoque GRC integrado porque el cambio inicial solo aumenta la capa de informes y (iii ) proporciona una capacidad en tiempo real para comparar y contrastar el valor de los datos entre sistemas que anteriormente no tenían un esquema de datos común.'
Cada una de las disciplinas centrales (gobernanza, gestión de riesgos y cumplimiento) consta de cuatro componentes básicos : estrategia, procesos, tecnología y personas. El apetito de riesgo de la organización , sus políticas internas y regulaciones externas constituyen las reglas de GRC. Las disciplinas, sus componentes y reglas ahora se fusionarán de manera integrada, holística y para toda la organización (las tres características principales de GRC), alineada con las operaciones (comerciales) que se gestionan y respaldan a través de GRC. Al aplicar este enfoque, las organizaciones anhelan alcanzar los objetivos : comportamiento éticamente correcto y mejora de la eficiencia y eficacia de cualquiera de los elementos implicados. [12]
{{citation}}: Mantenimiento CS1: varios nombres: lista de autores ( enlace ){{citation}}: Mantenimiento CS1: varios nombres: lista de autores ( enlace ){{citation}}: Mantenimiento CS1: varios nombres: lista de autores ( enlace ){{citation}}: Mantenimiento CS1: varios nombres: lista de autores ( enlace )