O que é GRC?

Governance: as estruturas das atividades de uma organização e se elas estão ou não alinhadas aos objetivos de negócios. As atividades incluem processos, estruturas e políticas destinados a gerenciar e monitorar as atividades da empresa.

Risk: um processo contínuo de lidar com riscos, reduzir riscos por meio de controles e oferecer garantias de que os riscos são gerenciados de acordo com as políticas. Isso inclui medição dos riscos, avaliação, retenção, monitoramento e identificação.

Compliance: garantir que as atividades de uma organização operem de forma alinhada às leis e aos regulamentos.

• Estratégico: propriedade e governança eficazes dos riscos que afetam as estratégias de negócios.
• Operacional: qualquer coisa que possa interromper, alterar ou afetar as operações de uma empresa e seus processos.
• Tecnologia: inclui riscos cibernéticos, além de falhas em aplicativos, bancos de dados, infraestruturas e outros dispositivos conectados.
• Dados: quando as informações são suscetíveis a roubo ou corrupção. A proteção inclui manter os dados confidenciais e garantir a integridade e a disponibilidade deles.
• Cibernético: semelhante ao risco de tecnologia. Perda financeira, interrupção dos negócios ou danos gerais à reputação de uma organização causados por falhas na tecnologia da informação.
• Privacidade: o potencial de perda, divulgação não autorizada ou roubo de dados privados.
• Reputação: o potencial de uma organização de ser vista negativamente devido a um cliente descontente, violação de dados, falha do produto ou uma avaliação negativa.
• Terceiros: garantir que fornecedores, parceiros comerciais e todos os afiliados tenham uma boa postura contra riscos e não afetem a organização.
• Conformidade/regulatório: o nível em que a não conformidade pode afetar as obrigações regulatórias.

• As partes interessadas exigem um alto nível de transparência, responsabilização e desempenho.
• Os regulamentos mudam constantemente de maneira imprevisível.
• Os relacionamentos e riscos de terceiros estão crescendo exponencialmente, o que é um desafio para a gerência.
• A falta de identificação dos riscos causa impactos severos.
• Os ganhos de eficiência por meio de GRC são necessários para o crescimento dos negócios.

O GRC eficaz deve:

• Ser orientado por líderes do setor, como CISOs, CROs, CIOs, CFOs, CEOs, departamento jurídico etc.
• Ter uma cultura concentrada em riscos.
• Ser integrado a uma plataforma moderna, integrada e baseada na nuvem.
• Integrar-se facilmente a outras tecnologias do ecossistema para coletar dados.
  
• Facilitar o compartilhamento de dados para poder aproveitar dados comuns em várias áreas.
• Visar e tratar os riscos de negócios de toda a organização e de ecossistemas de terceiros.
• Criar fluxos de trabalho orientados aos negócios e baseados em processos para analisar e tratar riscos.
• Incorporar a inteligência de risco e os fluxos de trabalho nas ferramentas diárias/operacionais.
• Disponibilizar riscos e conformidade ao alcance de todos.
• Permitir o monitoramento contínuo de riscos e controles por meio do uso de indicadores automatizados de risco.
• Explicar o risco em termos comerciais por meio de painéis concentrados nos negócios.
• Fazer tudo isso de forma contínua para departamentos e grupos funcionais de toda a empresa e com os fornecedores, para fornecer uma visão holística e em tempo real do risco.

• Os custos podem aumentar
• Há uma falta de visibilidade dos possíveis riscos
• Um processo demorado para gerar relatórios no nível da diretoria cria dados obsoletos, o que resulta na incapacidade dos executivos e da diretoria de dar orientações e fazer análises adequadas
• Os riscos de terceiros não são tratados adequadamente
• Há dificuldade em medir o desempenho ajustado ao risco
• Há muitas realizações negativas que geram:
  
  1. Descobertas da auditoria
  2. Penalidades de conformidade
  3. Custos de correção de violações
  4. Clientes perdidos
  5. Reputação prejudicada
• Sem uma linguagem compartilhada, as pessoas perdem tempo com problemas de baixa prioridade
• A produtividade sofre devido aos processos demorados
• Experiências de usuário incômodas e desconhecidas são prejudiciais aos negócios, criando funcionários desmotivados na linha de frente
• Incapacidade de colaborar com eficiência entre departamentos

O GRC eficaz estabelece uma abordagem para garantir que as pessoas adequadas obtenham as informações necessárias quando necessário, que os objetivos sejam estabelecidos e que os controles corretos sejam implementados para lidar com situações incertas e agir. Um processo de GRC feito corretamente gera os seguintes benefícios:

• Redução de custos por meio da automação e pela redução da probabilidade de penalidades por descobertas de auditoria, violações de conformidade e falhas.
• Redução do risco apresentado pelos fornecedores.
• Maior capacidade de adaptação às mudanças dos modelos de negócios, aos riscos associados à transformação digital ou aos novos regulamentos.
• Menor impacto sobre as operações: os ganhos de eficiência permitem que as organizações façam mais com menos.
• Maior capacidade de ampliar os negócios.
• Maior capacidade de coletar informações de qualidade com rapidez e eficiência de funcionários e fornecedores.
  
• Maior acesso às informações de risco de toda a empresa com um só repositório.
  
• Maior capacidade de repetir processos de maneira consistente.
• Maior produtividade, eliminando tarefas repetitivas e redundantes.
• Comunicação eficaz com as partes interessadas em todo o negócio, com os executivos e com a diretoria.
• Tomada de decisões estratégicas com dados de riscos em tempo real e a capacidade de calcular o impacto sobre os negócios.
• Vantagem competitiva: os clientes sabem que há um plano em vigor para lidar com os riscos, o que deve reduzir a probabilidade de uma violação e proteger melhor os dados deles.

Embora não haja uma solução de GRC única e ideal para todos os casos que possa garantir um processo eficaz de governança, risco e conformidade em todas as organizações, a maioria das soluções de GRC compartilha componentes comuns. Abaixo, há algumas funções e fatores essenciais encontrados na maioria das plataformas de GRC.

• Controles
  
• Fluxos de trabalho
• Repositórios centrais de dados
• CMDB para gerar impacto nos negócios
• Indicadores de risco
• Ciclo de vida das políticas
• Biblioteca de documentos das autoridades
• Tecnologia móvel
• Chatbots
• Integrações OOTB a terceiros

• Gerenciamento de políticas
• Conformidade regulatória
• Gerenciamento de riscos digitais e de tecnologia
• Gerenciamento de riscos de terceiros
• Gerenciamento de auditorias
• Gerenciamento de resiliência e continuidade
• Gerenciamento de privacidade