Что такое GRC
Коротко
GRC — это управление в трёх связанных областях: корпоративное управление, риски и соответствие требованиям. На практике это одна система, в которой видно, какие правила действуют в компании, какие риски за ними стоят, кто отвечает за каждое обязательство и чем подтверждается, что оно выполнено.
Что стоит за тремя буквами
GRC расшифровывается как governance, risk и compliance — управление, риски и соответствие. Смысл не в трёх словах, а в их связи. Правило без риска, который оно закрывает, превращается в бумагу. Риск без ответственного не закрывается никогда. Контроль без доказательства исполнения не переживает первую проверку.
Поэтому GRC — это не отдел и не должность, а порядок работы: у каждого требования есть владелец, у каждого риска — оценка и меры, у каждого контроля — документ, которым его подтверждают. Когда эти три вещи лежат в разных таблицах и почтовых ящиках, компания узнаёт о проблеме от контрагента, аудитора или регулятора, а не от себя.
Из чего состоит GRC
- Управление — кто принимает решения, какие правила действуют в компании и как они доведены до сотрудников: политики, регламенты, матрица ответственности.
- Риски — что может помешать компании: срыв поставки, утечка данных, штраф, потеря ключевого клиента. Каждый риск получает оценку и меры, а не просто запись в реестре.
- Соответствие — требования закона, регулятора, заказчика или собственных правил компании и доказательства того, что они выполнены: проверки, отчёты, записи обучения, результаты аудита.
- Контроль — регулярные действия, которые показывают, что правило работает: сверка, проверка доступа, тест восстановления данных. Именно контроль связывает правило с доказательством.
- Отчётность для руководства — сводка, где видно, какие обязательства под угрозой и что с этим делают, без чтения сотни файлов.
Чем GRC отличается от комплаенса
Комплаенс — часть GRC, отвечающая за соответствие внешним и внутренним требованиям. Он отвечает на вопрос «что мы обязаны делать и чем это подтвердим». GRC шире: он добавляет к этому управление рисками и решения о том, какие правила компания вообще вводит и кто за них отвечает.
Разница видна на практике. Компания может пройти проверку по документам и при этом не знать, что ключевой поставщик работает без резервного варианта. Комплаенс закрыт, риск — нет. GRC нужен, чтобы такие расхождения были видны заранее.
Когда GRC становится нужен бизнесу
Пока компания небольшая и решений немного, правила держатся в голове собственника. Система нужна, когда появляются обязательства, которые нельзя держать в голове: несколько контрагентов с проверками, требования крупного заказчика к поставщику, работа с персональными данными, сертификация, кредиторы и инвесторы.
Первый признак, что порядок пора собирать: на один и тот же вопрос разные отделы отвечают по-разному, а доказательства приходится искать по почте и таблицам. Второй — обязательство вспоминают, только когда наступает срок или приходит запрос.
Частые вопросы
GRC — это программа или подход?
И то и другое. Подход — сводить правила, риски и контроль в одну картину с ответственными. Программа — инструмент, где эта картина живёт: реестр рисков, реестр требований, календарь контролей и доказательства. Без подхода программа остаётся пустой формой.
Нужен ли GRC компании без отдела комплаенса?
Нужен, если у компании есть обязательства перед заказчиками, регуляторами или кредиторами, которые нужно подтверждать. В небольшой компании роль системы выполняют несколько простых реестров и один ответственный, а не штат специалистов.
Кто отвечает за GRC в компании?
Ответственность распределена: за каждое требование и каждый риск закреплён владелец из бизнеса, а сводит картину и следит за сроками один человек или небольшая функция. Если владельца нет, обязательство не выполняется.
Чем это отличается от внутреннего аудита?
Аудит проверяет со стороны и фиксирует, что нашёл. GRC — это текущая работа: правила, оценка рисков, контроль и доказательства на каждый день. Аудит пользуется тем, что собрано в системе, и проверяет, работает ли она.
С чего начать, если системы нет
С перечня обязательств: перед кем компания отвечает и чем подтверждает исполнение. Дальше к каждому обязательству прикрепляют владельца, риск и контроль, а лишние бумаги убирают. Начинать с покупки программы до этого перечня смысла нет.
Читать в журнале
Когда правила и риски нужно свести в одну картину
Чтобы видеть, какие обязательства под угрозой и что с этим делать
Правила, риски и доказательства живут в разных отделах, и собственник узнаёт о проблеме последним. Собрать их в одну картину проще, когда видно, где компания теряет деньги и время.
Я собираю цифры бизнеса на одном экране: выручка, заявки, деньги, маржа и отклонения от заданных границ. Так обязательства и риски видно рядом с деньгами, а не в отдельной папке.