治理、風(fēng)險和合規工具可自動(dòng)執行企業(yè)任務(wù)，例如確保合規性和降低技術(shù)和物理風(fēng)險，包括財務(wù)、人力資本、安全和財產(chǎn)風(fēng)險。遵守多個(gè)地方、地區、國家和/或國際法律標準要求企業(yè)跟蹤其業(yè)務(wù)的各個(gè)方面，這些方面可能會(huì )影響其遵守這些法規的能力。

GRC軟件有什么作用？

GRC 工具通過(guò)在一個(gè) Web 或基于云的門(mén)戶(hù)中存儲和跟蹤所有風(fēng)險管理數據和法律進(jìn)展，自動(dòng)遵守多種監管標準并數字化滿(mǎn)足法律要求。

GRC 軟件提供了一個(gè)可搜索的在線(xiàn)框架，用于：

• 識別和量化風(fēng)險領(lǐng)域
• 記錄風(fēng)險領(lǐng)域
• 訪(fǎng)問(wèn)圍繞這些領(lǐng)域的現行法規
• 創(chuàng )建和發(fā)布為降低風(fēng)險而創(chuàng )建的流程以及風(fēng)險應對計劃
• 記錄緩解策略的合規性
• 利益相關(guān)者溝通計劃

GRC 工具可幫助企業(yè)管理和減輕危險風(fēng)險，并優(yōu)化健康、有價(jià)值的風(fēng)險。在 1900 年代中期，現代風(fēng)險管理策略始于保險和金融衍生品。企業(yè)或個(gè)人將通過(guò)衍生品、通常涉及潛在貨幣收益或損失的合同來(lái)承擔或減輕金融風(fēng)險。保險假定支付一定數額的錢(qián)比失去財產(chǎn)的風(fēng)險要好。

GRC 軟件允許企業(yè)管理比財務(wù)或法律風(fēng)險更多的風(fēng)險，例如人力資源或技術(shù)威脅。它還采取更積極主動(dòng)的風(fēng)險管理方法——提前為問(wèn)題做準備——而不是像保險一樣主要是防御性的，并在假設問(wèn)題會(huì )出現的情況下付款。

在商業(yè)應用程序發(fā)展之前，公司存儲帶有任何相關(guān)法律信息的紙質(zhì)或計算機文檔，以證明其符合法規。這效率低得多，并且允許更多的人為錯誤，同時(shí)還存在物理?yè)p壞或重要數據丟失的風(fēng)險?，F在，GRC 軟件允許企業(yè)在單個(gè)門(mén)戶(hù)網(wǎng)站中跟蹤法規遵從性，這更好，因為所有數據都以數字形式提供。工作流引導企業(yè)完成合規流程的每個(gè)步驟，通常使用圖表和符號來(lái)清楚地描述已經(jīng)完成的任務(wù)和需要完成的任務(wù)。這使公司可以保留他們所遵守的所有法律要求的數字記錄，而不是通過(guò)文件柜進(jìn)行分類(lèi)。

GRC 工具的另一個(gè)功能包括在需要完成任務(wù)或業(yè)務(wù)遇到風(fēng)險時(shí)提醒企業(yè)和員工。好的GRC平臺不是被動(dòng)的；相反，它們會(huì )標記新的風(fēng)險并提醒用戶(hù)注意系統中記錄的任務(wù)截止日期。

GRC和風(fēng)險管理有什么區別？

由于風(fēng)險和合規市場(chǎng)和供應商已經(jīng)開(kāi)始交叉，GRC 和風(fēng)險管理技術(shù)幾乎沒(méi)有什么不同。風(fēng)險管理專(zhuān)家承認，這些差異充其量是微妙的，實(shí)際上不存在。

企業(yè)風(fēng)險管理側重于減輕和優(yōu)化風(fēng)險，其中包括合規性和審計。GRC 專(zhuān)注于幫助企業(yè)管理和記錄風(fēng)險管理、合規性和業(yè)務(wù)治理實(shí)踐。綜合風(fēng)險管理 (IRM) 通過(guò)擴大其范圍來(lái)增強 ERM。這可能意味著(zhù)技術(shù)或安全功能：Reciprocity 指出，Gartner 認為安全功能是 IRM 的一部分。

最佳 GRC 工具

審計委員會(huì )

AuditBoard 是一個(gè)具有四個(gè)模塊的企業(yè)平臺：

• SOXHUB 用于薩班斯-奧克斯利法案(SOX) 法規管理
• OpsAudit 內部審計
• 風(fēng)險管理的風(fēng)險監督
• CrossComply 用于合規管理

AuditBoard 列出主要風(fēng)險并顯示每個(gè)風(fēng)險緩解計劃的狀態(tài)；它使用圖表來(lái)可視化問(wèn)題和差距修復進(jìn)度和審計計劃。每次審核都會(huì )顯示與審核相關(guān)的審核人、測試人員、截止日期和程序。

AuditBoard 提供培訓材料和視頻，稱(chēng)為 AuditBoard Academy，包括 SOXHUB、Workstream 和外部審計培訓課程。它收到了關(guān)于其支持團隊的特別熱情的用戶(hù)評論，客戶(hù)認為這些評論非常有幫助。

關(guān)鍵區別

• SOXHUB 適用于希望專(zhuān)注于 SOX 合規性的企業(yè)
• 高度評價(jià)的客戶(hù)支持團隊
• AuditBoard Academy 提供多種培訓課程
• 用于集成和預建集成的 API

邏輯管理器

LogicManager 在風(fēng)險和合規領(lǐng)域提供三種產(chǎn)品：GRC、IRM 或 ERM。LogicManager 客戶(hù)將獲得專(zhuān)門(mén)的風(fēng)險管理顧問(wèn)或分析師團隊以及培訓課程，以幫助他們學(xué)習該平臺。LogicManager 功能包括：

• 風(fēng)險識別
• 風(fēng)險監控
• 風(fēng)險緩解
• 一鍵合規

LogicManager 包含的工具可讓團隊了解監控以向高管報告，例如儀表板和帶有熱圖和風(fēng)險控制矩陣的報告。負責風(fēng)險和合規活動(dòng)的員工會(huì )收到自動(dòng)化任務(wù)和警報。

關(guān)鍵區別

• 為每家使用 LogicManager 的公司配備專(zhuān)門(mén)的風(fēng)險管理顧問(wèn)
• 一鍵合規
• 儀表板和報告的熱圖和風(fēng)險控制矩陣
• 為員工提供自動(dòng)警報和任務(wù)

公制流

MetricStream 是面向企業(yè)的綜合風(fēng)險管理解決方案，提供六大風(fēng)險相關(guān)模塊，包括第三方管理、IT 和網(wǎng)絡(luò )安全、審計和財務(wù)控制。

MetricStream 為采用 ESG 方法進(jìn)行風(fēng)險管理的企業(yè)提供環(huán)境、社會(huì )和治理模塊。這包括管理 ESG 框架的要求，例如全球報告倡議組織 (GRI) 以實(shí)現組織可持續性和運行供應商評估。

關(guān)鍵區別

• 最適合那些將 ESG 方法用于 GRC 的企業(yè)
• 第三方管理
• IT 和網(wǎng)絡(luò )合規解決方案
• SOX 合規性解決方案

賽360

SAI360是一款基于云端的企業(yè)GRC解決方案。它提供合規性學(xué)習內容、預加載框架和控制庫。SAI360 有一個(gè) FastTrack GRC 選項對于希望盡快啟動(dòng)其綜合風(fēng)險管理計劃的公司，提供開(kāi)箱即用的模板和更快的最終用戶(hù)培訓。

SAI360 提供可配置的儀表板以及開(kāi)箱即用的儀表板。企業(yè)可以創(chuàng )建和修改流程以自動(dòng)化其審計和合規性任務(wù)。企業(yè)還可以查看其內部審計的儀表板，其中包括跟蹤審計狀態(tài)和滿(mǎn)意審計百分比的圖表。

關(guān)鍵區別

• 過(guò)程建模
• 可定制和開(kāi)箱即用的儀表板
• 框架包括用于與其他系統集成的 API
• 用于直接進(jìn)入風(fēng)險管理部署的 FastTrack 選項

SAP GRC?

SAP?Governance, Risk, & Compliance 有 10 個(gè)模塊，包括流程控制、審計管理和業(yè)務(wù)完整性篩選。商業(yè)誠信篩查模塊提供交易數據的實(shí)時(shí)掃描，讓用戶(hù)更容易發(fā)現欺詐行為。SAP 的 Watch List Screening 模塊允許企業(yè)為第三方合作伙伴篩選具有標志或法律授權的個(gè)人或公司。

SAP 還擁有網(wǎng)絡(luò )安全、數據保護和隱私模塊，其中包括內置的安全信息和事件管理(SIEM) 解決方案以及威脅檢測。用戶(hù)可以分析日志數據的異常和可能的威脅。SAP 的身份和訪(fǎng)問(wèn)治理模塊包括企業(yè)訪(fǎng)問(wèn)控制和單點(diǎn)登錄，以提高安全性。

關(guān)鍵區別

• 適用于本地或云環(huán)境的 SIEM 工具
• 金融交易數據實(shí)時(shí)掃描
• 第三方供應商和業(yè)務(wù)合作伙伴篩選
• 國際商務(wù)貿易服務(wù)模塊

ServiceNow GRC

ServiceNow Governance, Risk, and Compliance 是一種企業(yè)工具，它從漏洞掃描程序收集數據、確定漏洞的優(yōu)先級并顯示哪些團隊成員是負責處理風(fēng)險。ServiceNow GRC 告訴企業(yè)漏洞的風(fēng)險是否在他們預定的可接受范圍內，或者其估計成本是否不可接受。

運營(yíng)彈性管理功能顯示高風(fēng)險、失敗的控制和服務(wù)中斷；用戶(hù)可以將其與 ServiceNow 的業(yè)務(wù)連續性和供應商風(fēng)險管理模塊集成。在運營(yíng)彈性?xún)x表板中，系統管理員可以查看有關(guān)服務(wù)詳細信息、技術(shù)、設施、人員或供應商的數據，具體取決于他們在組織中的角色。

關(guān)鍵區別

• 運營(yíng)彈性管理
• 響應迅速的支持團隊
• 供應商風(fēng)險管理
• 業(yè)務(wù)連續性管理
• 隱私風(fēng)險與合規管理

標準融合

StandardFusion 是一個(gè) GRC 和集成風(fēng)險管理平臺，主要為 Infosec 團隊設計。其審計管理解決方案包括內部和外部審計選項，其合規管理涵蓋超過(guò)六大監管標準：

• 國際標準化組織 (ISO)
• 服務(wù)組織控制 (SOC) 2
• 美國國家標準與技術(shù)研究院 (NIST)
• 健康保險流通與責任法案 (HIPAA)
• 通用數據保護條例 (GDPR)
• 支付卡行業(yè)數據安全標準 (PCI-DSS)

StandardFusion 提供信息安全問(wèn)卷，無(wú)論是定制的還是開(kāi)箱即用的模板，客戶(hù)可以將其提供給他們的供應商和其他第三方。供應商模塊還包括集中式聯(lián)系人管理和供應商識別，以跟蹤影響企業(yè)的所有第三方。

關(guān)鍵區別

• 大量法規的合規管理
• 內外部審計管理
• 供應商和第三方風(fēng)險評估和問(wèn)卷
• 每個(gè)風(fēng)險和資產(chǎn)的詳細數據

如何選擇 GRC 工具

如果您的企業(yè)正在購買(mǎi) GRC 解決方案，請考慮以下問(wèn)題：

您的業(yè)??務(wù)應關(guān)注風(fēng)險和合規的哪些組成部分？

如果您主要關(guān)注 GRC 領(lǐng)域中的一項功能，請尋找擅長(cháng)其中的軟件：例如，審計、法規遵從性或安全性。確保執行團隊成員也參與該重點(diǎn)領(lǐng)域。

該工具的可定制性是否適合您的團隊規模？?

一些 GRC 軟件是為大型企業(yè)設計的，它的可配置性很強，這對于有帶寬定制它的團隊來(lái)說(shuō)是一個(gè)優(yōu)勢。但較小的團隊，尤其是那些沒(méi)有專(zhuān)門(mén)的風(fēng)險管理或 IT 實(shí)施團隊的團隊，可能需要更多開(kāi)箱即用的功能。

供應商在部署過(guò)程中的參與程度如何？

一些供應商指派專(zhuān)門(mén)的分析師或技術(shù)團隊來(lái)幫助公司啟動(dòng)平臺。如果您認為在實(shí)施方面需要很多幫助，那么您將需要選擇一個(gè)與企業(yè)合作一段時(shí)間的提供商，因為他們需要時(shí)間來(lái)部署和學(xué)習 GRC 平臺。