الأجزاء الثلاثة
- الحوكمة: من يقرر، ومن يُسأل، والسياسات التي تحوّل توجهات الإدارة إلى قواعد.
- إدارة المخاطر: اكتشاف ما قد يضر الشركة، وتقييمه، وتقرير ما يجب فعله.
- الامتثال: معرفة القوانين والمعايير والعقود السارية، والوفاء بها، والقدرة على إثبات ذلك.
لماذا تجتمع معاً
حين تُعالج منفصلة، تخلق الأجزاء الثلاثة عملاً مكرراً: يوثَّق الضابط نفسه ثلاث مرات لثلاث عمليات تدقيق، ويراجع المخاطرَ أشخاصٌ لا يرون السياسات أبداً.
وحين تُعالج معاً، تستجيب مجموعة واحدة من الضوابط لعدة التزامات. فالخطر يبرر الضابط، والسياسة تفرضه، والدليل نفسه يخدم كل تدقيق.
من أين تبدأ
- حدد النطاق: الأنشطة والمواقع والأنظمة المعنية.
- أدرج التزاماتك: القوانين والمعايير وعقود العملاء.
- قيّم مخاطرك وسجّلها في سجل المخاطر.
- اكتب السياسات التي تتطلبها التزاماتك ومخاطرك، واحصل على اعتمادها.
- أجرِ تحليلاً للفجوات لترى ما ينقص، ثم خطط للعمل مع مسؤولين ومواعيد.
- راجع بانتظام: فالمخاطر والضوابط والوثائق كلها تتقادم.
من المسؤول عن GRC
تبقى الإدارة هي المسؤولة. ويقع العمل اليومي عادة على مسؤول الأمن أو الامتثال أو الجودة، ولكل خطر وكل ضابط مالك مسمّى في الأعمال. وباتت لوائح مثل NIS2 وDORA تجعل هيئات الإدارة مسؤولة صراحة.
أسئلة
- ماذا تعني GRC؟
- الحوكمة والمخاطر والامتثال: كيف تدير الشركة نفسها، وتدير مخاطرها، وتفي بالتزاماتها.
- هل GRC للشركات الكبيرة فقط؟
- لا. فالشركات الصغيرة تتلقى استبيانات العملاء نفسها وتخضع لكثير من القوانين نفسها. وهي تحتاج إلى وثائق أقل وعمليات أبسط، لا إلى لا شيء.
- ما الفرق بين GRC ونظام إدارة أمن المعلومات؟
- GRC هي التخصص بأكمله. أما نظام إدارة أمن المعلومات فيطبقها على أمن المعلومات، كما يعرّفه معيار ISO/IEC 27001.