治理、风险、合规性和安全性：合在一起还是分开?

组织业务的关联性要求对于面临风险采取全面的方法。当组织的治理、风险、合规性(GRC)和安全功能被孤立时，很难有效地处理其可能损害企业、客户和合作伙伴的总体范围和潜在的连锁效应。

组织业务的关联性要求对于面临风险采取全面的方法。当组织的治理、风险、合规性(GRC)和安全功能被孤立时，很难有效地处理其可能损害企业、客户和合作伙伴的总体范围和潜在的连锁效应。随着业务步伐的加快和运营变得越来越数字化，越来越多的组织正在组建企业风险管理(ERM)小组或委员会。毫不奇怪，新的平台有助于推动这一转变。

调研机构Forrester Research公司分析师Alla Valente说：“数字化转型需要所有这些功能之间的紧密协调。我们看到了企业风险管理职能的增长，他们正在承担运营风险、财务风险、合规性风验，以及业务连续性的责任。”

为什么将各种风险职能分散化

组织的结构往往根据其经营所在的行业、规模和经营理念而有所不同。在过去的几十年中，许多组织都增加了其高级主管的职位，其中包括首席安全官(CSO)、首席信息安全官(CISO)、首席隐私官(CPO)、首席风险官(CRO)的某种组合。

这些高管的报告对象也各不相同。例如，首席隐私官(CPO)可以向首席法律官(CLO)或首席安全官(CSO)和首席信息安全官(CISO)报告。首席安全官(CSO)和首席信息安全官(CISO)可以向首席信息官(CIO)、首席营销官(COO)或首席执行官(CEO)报告。

专业服务机构毕马威(KPMG)公司内部审计与企业风险合伙人Kreg Weigand表示：“许多这样的职位是根据企业的组织结构设立的。这方面的问题是业务一直在发生变化。”

许多应对风险的职能机构是为了应对2008年金融危机等重大事件或萨班斯-奥克斯利法案(SOX)或GDPR等法规而设立的。同样，计算机、网络和网络安全也是技术性威胁的结果。现在，没有建立企业风险管理小组或委员会的公司正感受到技术孤立的影响。具体来说，当各部门面临风险时，每个风险相关职能部门都在使用自己的合规性(GRC)系统。例如，当黑客窃取数据时，安全团队可能不是唯一受到影响的团队，其他团队还可能包括合规、治理、法律和传统风险管理(财务风险)。

全球审计机构普华永道网络安全和隐私负责人Joe Nocera表示：“合规性、隐私和安全之间的关系非常明确，有时存在一个基本的假设，即某个特定领域正在被其他领域覆盖，有时我们会发现事情正在不断发展，倾向于使用不同的风险度量标准，并且倾向于使用不同的工作流和机制进行风险接受和缓解活动。”

为什么企业风险管理至关重要

很多组织组建了企业风险管理小组或委员会，以便他们可以全面地管理风险。尽管很多组织倾向于设置一个负责监督组织风险的委员会，但对于高管而言，最有效的措施是“监督”，而其他人执行。当跨风险相关职能之间存在一层连续性和协作性时，监督和执行会更加有效。企业风险管理小组或委员会将补充由专业团队进行的风险管理，他们的观点也使董事会委员会受益。

毕马威公司的Weigand说，“当我们与企业董事会成员进行沟通时，他们会问，‘为什么当合规部门进行网络谈话、内部审计和风险管理时都有不同的最高风险?为什么不一起协调以确保董事会成员收到报告?’我知道组织真正面临的风险是什么，而不仅仅是在孤岛内，而且需要仔细了解这个问题。”

从几种特定于功能的治理、风险和合规性(GRC)系统到通用系统的技术整合也反映了企业风险管理的趋势。实际上，在过去的两年中，调研机构Gartner公司一直在预测合规性(GRC)系统即将消亡，而倾向于集成风险管理(IRM)系统。

但是，集成风险管理(IRM)系统不是企业风险管理策略。企业风险管理策略考虑人员、流程和技术。

InfoTech研究集团首席研究顾问Christine Coz表示：“即使在IT领域，也存在项目风险、开发风险、与审计和合规相关的风险，但这些风险并没有得到全面的处理。关键是在这些对话中，组织高管需要为此提供支持，其目标是作为组织董事会的一部分，从监督的角度确保对控制措施的管理到位，风险接受度符合组织的容忍度，而且在组织中的风险容忍度和接受度都是一致的。”

所有事物的数字化都需要企业风险管理(ERM)，这不仅是因为数字业务比模拟业务快得多，而且因为风险管理是一个品牌问题。

Forrester公司的Valente说，“在竞争激烈的行业中，企业的每种产品和服务都可能改变，例如汽车保险、抵押贷款、电信运营商，甚至食品。在企业没有保护用户数据的那一刻，就可能侵犯了用户的隐私，所有这些事情都可能出错，现在突然之间，风险管理变得与众不同。”

人工智能和机器学习将有所帮助

通过包括人工智能、机器学习和机器人流程自动化(RPA)在内的智能技术可以增强企业风险管理(ERM)的各个方面。目前，合规性(GRC)系统和集成风险管理(IRM)系统之间的比较大的区别在于分代。根据Gartner公司的说法，合规性(GRC)系统具有过去的特征(例如，封闭且针对技术受众)，而集成风险管理(IRM)系统具有现代的特征(开放且针对企业领导者)。

毕马威公司网络安全服务负责人Rik Parker表示：“我们已经有了持续的监控控制措施，现在正在监控环境采用重要工具监控风险。我认为在未来三年中，将会有更多的机器学习和人工智能帮助人们使用机器人流程来识别和警告风险和风险阈值，并帮助实现某些决策的自动化。它将具有基于决策、基于性能、基于环境中发生的关键事件的信息，在这种环境中发送的警报可以变得更加智能，并有助于发现问题。”

结语

现代的商业模式需要一种更加全面的方法来管理不断扩大的范围和更快的风险影响。如今，除了专业的安全和合规性(GRC)职能外，组织还需要一个跨职能的企业风险管理(ERM)小组或委员会，以更有效地评估、识别、监控和管理风险。新一代的合规性(GRC)系统将越来越自动化和智能化，从而促进和优化这些不断发展的风险管理能力。

加入NISP、CISP课程学习网络安全行业

报考联系人nisp证书管理中心丹丹老师

微信号：nisptest/13520967307