¿Qué es GRC?
Las siglas GRC hacen referencia a la Gobernanza, Riesgo y Cumplimiento de los procesos, la información, la legislación, los activos y las personas con los que cuenta una organización para lograr la consecución de sus objetivos. Además, con la correcta aplicación de un sistema de GRC, nos aseguraremos de que la consecución de los objetivos se consigue teniendo en cuenta el riesgo y buscando siempre la reducción del mismo.
Valores GRC
En realidad, los valores GRC se aplican en toda compañía desde antes de que se acuñara el término, por lo que puede parecer que su aplicación no supone novedades o cambios.
Sin embargo, para las empresas que se gestionan sin tener experiencia en este campo, la adopción de sus estándares puede ser toda una revolución. Esto es porque el desarrollo del conocimiento en el ámbito GRC ha sacado a la luz la posibilidad del desarrollo unificado de todos los aspectos del negocio de manera integral, aplicando nuevas formas de monitorizar los objetivos del negocio, utilizando nuevas soluciones tecnológicas que agilicen el proceso y permitiendo que todo quede registrado y tenga una trazabilidad.
Esto finalmente se traduce en una mejora continua y en una división de roles y funciones mucho mejor definidas y más efectivas.
El proceso para gestionar el ámbito de GRC en una empresa
Es un proceso continuo y cíclico que tiene 4 fases:
Aprendizaje
El aprendizaje es la primera fase en la implementación de un sistema GRC en una empresa que todavía no cuenta con una gestión unificada. Consiste en el estudio del contexto de la empresa, del alcance del sistema que se va a implantar.
En ocasiones una empresa puede decidir no aplicar los estándares GRC a una parte del negocio para reducir costes de implementación, o por no considerarla suficientemente importante para la consecución de los objetivos del negocio, esta práctica, aunque es común, no es recomendable.
En esta parte también es muy importante estudiar el estado actual de la empresa en cuanto a su sistema de gobierno de las personas, los procesos, los activos y los objetivos, y evaluar su nivel de madurez.
Alineamiento
Esta es una fase muy importante que muchas veces se pasa por alto y consiste en informar a todas las partes interesadas de la información, los procesos, los riesgos y los objetivos que les sean pertinentes.
Esta fase también se involucra a la alta dirección y su compromiso con la implementación y mantenimiento del sistema GRC, así como su compromiso con mantener los recursos que sean necesarios para el sistema.
Despliegue o implantación.
En esta fase se aplicarán los controles que hayan sido determinados como necesarios, siempre persiguiendo la disminución del riesgo y la consecución de objetivos.
Durante el despliegue se generará una gran cantidad de documentación y datos (políticas, procedimientos de actuación, registros de productividad…)
Durante el despliegue y dependiendo del tamaño de la organización, será muy aconsejable contar con alguna solución ITSM que facilite el cumplimiento de los estándares de GRC. Las soluciones ITSM son herramientas que gestionan la provisión de servicios informáticos dentro de una organización.
Revisión
Con la aplicación de esta fase nos aseguraremos conseguir la mejora continua de la gestión del negocio. Consiste en la revisión planificada de la documentación y los registros que el sistema genera de manera constante.
Además de las revisiones planificadas, cualquier cambio en los objetivos o estrategia de negocio o de cualquier otro tipo va a producir la necesidad de revisar todos los controles o procedimientos afectados.
Proceso para gestionar el ámbito de GRC
Diferencias entre un sistema GRC tradicional y un sistema GRC actual
Así y como conclusión, podemos observar las diferencias entre un sistema GRC tradicional y un sistema GRC actual.
En un sistema antiguo, los distintos departamentos y sus objetivos a corto, medio y largo plazo están limitados a su alcance departamental, sus procesos no tienen relaciones entre las distintas áreas del negocio y en el que la documentación una vez generada e informada es abandonada en un archivo; en este tipo de empresa la dirección ve obstaculizado su camino cada vez que debe ejercer la supervisión de los procesos globales.
Por el contrario, un sistema GRC elaborado siguiendo las pautas y directrices de las nuevas certificaciones conseguirá atacar todas esas debilidades, fomentando un trabajo coordinado, eficaz y ágil lo que en última instancia aportará valor a la organización.
¿Qué es GRC?. Ciberseguridad. Gobernanza, Riesgo y Cumplimiento
AUTOR: Juan Campos
https://www.linkedin.com/in/juan-campos-noblejas/
Information Security Consultant en Bidaidea Ciberseguridad.
