治理、風(fēng)險和合規(guī)工具可自動執(zhí)行企業(yè)任務(wù)，例如確保合規(guī)性和降低技術(shù)和物理風(fēng)險，包括財務(wù)、人力資本、安全和財產(chǎn)風(fēng)險。遵守多個地方、地區(qū)、國家和/或國際法律標(biāo)準(zhǔn)要求企業(yè)跟蹤其業(yè)務(wù)的各個方面，這些方面可能會影響其遵守這些法規(guī)的能力。

GRC軟件有什么作用？

GRC 工具通過在一個 Web 或基于云的門戶中存儲和跟蹤所有風(fēng)險管理數(shù)據(jù)和法律進展，自動遵守多種監(jiān)管標(biāo)準(zhǔn)并數(shù)字化滿足法律要求。

GRC 軟件提供了一個可搜索的在線框架，用于：

• 識別和量化風(fēng)險領(lǐng)域
• 記錄風(fēng)險領(lǐng)域
• 訪問圍繞這些領(lǐng)域的現(xiàn)行法規(guī)
• 創(chuàng)建和發(fā)布為降低風(fēng)險而創(chuàng)建的流程以及風(fēng)險應(yīng)對計劃
• 記錄緩解策略的合規(guī)性
• 利益相關(guān)者溝通計劃

GRC 工具可幫助企業(yè)管理和減輕危險風(fēng)險，并優(yōu)化健康、有價值的風(fēng)險。在 1900 年代中期，現(xiàn)代風(fēng)險管理策略始于保險和金融衍生品。企業(yè)或個人將通過衍生品、通常涉及潛在貨幣收益或損失的合同來承擔(dān)或減輕金融風(fēng)險。保險假定支付一定數(shù)額的錢比失去財產(chǎn)的風(fēng)險要好。

GRC 軟件允許企業(yè)管理比財務(wù)或法律風(fēng)險更多的風(fēng)險，例如人力資源或技術(shù)威脅。它還采取更積極主動的風(fēng)險管理方法——提前為問題做準(zhǔn)備——而不是像保險一樣主要是防御性的，并在假設(shè)問題會出現(xiàn)的情況下付款。

在商業(yè)應(yīng)用程序發(fā)展之前，公司存儲帶有任何相關(guān)法律信息的紙質(zhì)或計算機文檔，以證明其符合法規(guī)。這效率低得多，并且允許更多的人為錯誤，同時還存在物理損壞或重要數(shù)據(jù)丟失的風(fēng)險。現(xiàn)在，GRC 軟件允許企業(yè)在單個門戶網(wǎng)站中跟蹤法規(guī)遵從性，這更好，因為所有數(shù)據(jù)都以數(shù)字形式提供。工作流引導(dǎo)企業(yè)完成合規(guī)流程的每個步驟，通常使用圖表和符號來清楚地描述已經(jīng)完成的任務(wù)和需要完成的任務(wù)。這使公司可以保留他們所遵守的所有法律要求的數(shù)字記錄，而不是通過文件柜進行分類。

GRC 工具的另一個功能包括在需要完成任務(wù)或業(yè)務(wù)遇到風(fēng)險時提醒企業(yè)和員工。好的GRC平臺不是被動的；相反，它們會標(biāo)記新的風(fēng)險并提醒用戶注意系統(tǒng)中記錄的任務(wù)截止日期。

GRC和風(fēng)險管理有什么區(qū)別？

由于風(fēng)險和合規(guī)市場和供應(yīng)商已經(jīng)開始交叉，GRC 和風(fēng)險管理技術(shù)幾乎沒有什么不同。風(fēng)險管理專家承認(rèn)，這些差異充其量是微妙的，實際上不存在。

企業(yè)風(fēng)險管理側(cè)重于減輕和優(yōu)化風(fēng)險，其中包括合規(guī)性和審計。GRC 專注于幫助企業(yè)管理和記錄風(fēng)險管理、合規(guī)性和業(yè)務(wù)治理實踐。綜合風(fēng)險管理 (IRM) 通過擴大其范圍來增強 ERM。這可能意味著技術(shù)或安全功能：Reciprocity 指出，Gartner 認(rèn)為安全功能是 IRM 的一部分。

最佳 GRC 工具

審計委員會

AuditBoard 是一個具有四個模塊的企業(yè)平臺：

• SOXHUB 用于薩班斯-奧克斯利法案(SOX) 法規(guī)管理
• OpsAudit 內(nèi)部審計
• 風(fēng)險管理的風(fēng)險監(jiān)督
• CrossComply 用于合規(guī)管理

AuditBoard 列出主要風(fēng)險并顯示每個風(fēng)險緩解計劃的狀態(tài)；它使用圖表來可視化問題和差距修復(fù)進度和審計計劃。每次審核都會顯示與審核相關(guān)的審核人、測試人員、截止日期和程序。

AuditBoard 提供培訓(xùn)材料和視頻，稱為 AuditBoard Academy，包括 SOXHUB、Workstream 和外部審計培訓(xùn)課程。它收到了關(guān)于其支持團隊的特別熱情的用戶評論，客戶認(rèn)為這些評論非常有幫助。

關(guān)鍵區(qū)別

• SOXHUB 適用于希望專注于 SOX 合規(guī)性的企業(yè)
• 高度評價的客戶支持團隊
• AuditBoard Academy 提供多種培訓(xùn)課程
• 用于集成和預(yù)建集成的 API

邏輯管理器

LogicManager 在風(fēng)險和合規(guī)領(lǐng)域提供三種產(chǎn)品：GRC、IRM 或 ERM。LogicManager 客戶將獲得專門的風(fēng)險管理顧問或分析師團隊以及培訓(xùn)課程，以幫助他們學(xué)習(xí)該平臺。LogicManager 功能包括：

• 風(fēng)險識別
• 風(fēng)險監(jiān)控
• 風(fēng)險緩解
• 一鍵合規(guī)

LogicManager 包含的工具可讓團隊了解監(jiān)控以向高管報告，例如儀表板和帶有熱圖和風(fēng)險控制矩陣的報告。負(fù)責(zé)風(fēng)險和合規(guī)活動的員工會收到自動化任務(wù)和警報。

關(guān)鍵區(qū)別

• 為每家使用 LogicManager 的公司配備專門的風(fēng)險管理顧問
• 一鍵合規(guī)
• 儀表板和報告的熱圖和風(fēng)險控制矩陣
• 為員工提供自動警報和任務(wù)

公制流

MetricStream 是面向企業(yè)的綜合風(fēng)險管理解決方案，提供六大風(fēng)險相關(guān)模塊，包括第三方管理、IT 和網(wǎng)絡(luò)安全、審計和財務(wù)控制。

MetricStream 為采用 ESG 方法進行風(fēng)險管理的企業(yè)提供環(huán)境、社會和治理模塊。這包括管理 ESG 框架的要求，例如全球報告倡議組織 (GRI) 以實現(xiàn)組織可持續(xù)性和運行供應(yīng)商評估。

關(guān)鍵區(qū)別

• 最適合那些將 ESG 方法用于 GRC 的企業(yè)
• 第三方管理
• IT 和網(wǎng)絡(luò)合規(guī)解決方案
• SOX 合規(guī)性解決方案

賽360

SAI360是一款基于云端的企業(yè)GRC解決方案。它提供合規(guī)性學(xué)習(xí)內(nèi)容、預(yù)加載框架和控制庫。SAI360 有一個 FastTrack GRC 選項對于希望盡快啟動其綜合風(fēng)險管理計劃的公司，提供開箱即用的模板和更快的最終用戶培訓(xùn)。

SAI360 提供可配置的儀表板以及開箱即用的儀表板。企業(yè)可以創(chuàng)建和修改流程以自動化其審計和合規(guī)性任務(wù)。企業(yè)還可以查看其內(nèi)部審計的儀表板，其中包括跟蹤審計狀態(tài)和滿意審計百分比的圖表。

關(guān)鍵區(qū)別

• 過程建模
• 可定制和開箱即用的儀表板
• 框架包括用于與其他系統(tǒng)集成的 API
• 用于直接進入風(fēng)險管理部署的 FastTrack 選項

SAP GRC?

SAP?Governance, Risk, & Compliance 有 10 個模塊，包括流程控制、審計管理和業(yè)務(wù)完整性篩選。商業(yè)誠信篩查模塊提供交易數(shù)據(jù)的實時掃描，讓用戶更容易發(fā)現(xiàn)欺詐行為。SAP 的 Watch List Screening 模塊允許企業(yè)為第三方合作伙伴篩選具有標(biāo)志或法律授權(quán)的個人或公司。

SAP 還擁有網(wǎng)絡(luò)安全、數(shù)據(jù)保護和隱私模塊，其中包括內(nèi)置的安全信息和事件管理(SIEM) 解決方案以及威脅檢測。用戶可以分析日志數(shù)據(jù)的異常和可能的威脅。SAP 的身份和訪問治理模塊包括企業(yè)訪問控制和單點登錄，以提高安全性。

關(guān)鍵區(qū)別

• 適用于本地或云環(huán)境的 SIEM 工具
• 金融交易數(shù)據(jù)實時掃描
• 第三方供應(yīng)商和業(yè)務(wù)合作伙伴篩選
• 國際商務(wù)貿(mào)易服務(wù)模塊

ServiceNow GRC

ServiceNow Governance, Risk, and Compliance 是一種企業(yè)工具，它從漏洞掃描程序收集數(shù)據(jù)、確定漏洞的優(yōu)先級并顯示哪些團隊成員是負(fù)責(zé)處理風(fēng)險。ServiceNow GRC 告訴企業(yè)漏洞的風(fēng)險是否在他們預(yù)定的可接受范圍內(nèi)，或者其估計成本是否不可接受。

運營彈性管理功能顯示高風(fēng)險、失敗的控制和服務(wù)中斷；用戶可以將其與 ServiceNow 的業(yè)務(wù)連續(xù)性和供應(yīng)商風(fēng)險管理模塊集成。在運營彈性儀表板中，系統(tǒng)管理員可以查看有關(guān)服務(wù)詳細(xì)信息、技術(shù)、設(shè)施、人員或供應(yīng)商的數(shù)據(jù)，具體取決于他們在組織中的角色。

關(guān)鍵區(qū)別

• 運營彈性管理
• 響應(yīng)迅速的支持團隊
• 供應(yīng)商風(fēng)險管理
• 業(yè)務(wù)連續(xù)性管理
• 隱私風(fēng)險與合規(guī)管理

標(biāo)準(zhǔn)融合

StandardFusion 是一個 GRC 和集成風(fēng)險管理平臺，主要為 Infosec 團隊設(shè)計。其審計管理解決方案包括內(nèi)部和外部審計選項，其合規(guī)管理涵蓋超過六大監(jiān)管標(biāo)準(zhǔn)：

• 國際標(biāo)準(zhǔn)化組織 (ISO)
• 服務(wù)組織控制 (SOC) 2
• 美國國家標(biāo)準(zhǔn)與技術(shù)研究院 (NIST)
• 健康保險流通與責(zé)任法案 (HIPAA)
• 通用數(shù)據(jù)保護條例 (GDPR)
• 支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn) (PCI-DSS)

StandardFusion 提供信息安全問卷，無論是定制的還是開箱即用的模板，客戶可以將其提供給他們的供應(yīng)商和其他第三方。供應(yīng)商模塊還包括集中式聯(lián)系人管理和供應(yīng)商識別，以跟蹤影響企業(yè)的所有第三方。

關(guān)鍵區(qū)別

• 大量法規(guī)的合規(guī)管理
• 內(nèi)外部審計管理
• 供應(yīng)商和第三方風(fēng)險評估和問卷
• 每個風(fēng)險和資產(chǎn)的詳細(xì)數(shù)據(jù)

如何選擇 GRC 工具

如果您的企業(yè)正在購買 GRC 解決方案，請考慮以下問題：

您的業(yè)??務(wù)應(yīng)關(guān)注風(fēng)險和合規(guī)的哪些組成部分？

如果您主要關(guān)注 GRC 領(lǐng)域中的一項功能，請尋找擅長其中的軟件：例如，審計、法規(guī)遵從性或安全性。確保執(zhí)行團隊成員也參與該重點領(lǐng)域。

該工具的可定制性是否適合您的團隊規(guī)模？?

一些 GRC 軟件是為大型企業(yè)設(shè)計的，它的可配置性很強，這對于有帶寬定制它的團隊來說是一個優(yōu)勢。但較小的團隊，尤其是那些沒有專門的風(fēng)險管理或 IT 實施團隊的團隊，可能需要更多開箱即用的功能。

供應(yīng)商在部署過程中的參與程度如何？

一些供應(yīng)商指派專門的分析師或技術(shù)團隊來幫助公司啟動平臺。如果您認(rèn)為在實施方面需要很多幫助，那么您將需要選擇一個與企業(yè)合作一段時間的提供商，因為他們需要時間來部署和學(xué)習(xí) GRC 平臺。