مقاربة GRC مقابل الامتثال التقليدي: ما الفرق؟

المقارنة#

نموذج الخطوط الثلاثة#

نشره معهد المدققين الداخليين (IIA) سنة 2020، ويوضح من يفعل ماذا:

• جهاز الحكامة (مجلس الإدارة) يقدم الحساب للأطراف المعنية ويشرف.
• الإدارة تضطلع بأدوار الخط الأول (المصالح التي تدبر المخاطر يومياً) والخط الثاني (تدبير المخاطر والامتثال، اللذان يقدمان الخبرة والمراقبة).
• التدقيق الداخلي، في الخط الثالث، يقدم ضماناً مستقلاً.

ويركز نموذج 2020 على التعاون بين هذه الخطوط بدل الحدود الصارمة.

مستويات النضج#

1. رد الفعل: يُعالَج الامتثال لحظة المراقبة أو الحادث.
2. الهيكلة: لكل وظيفة مساطرها، لكن دون ربط بينها.
3. التنسيق: يوجد مرجع مشترك للمخاطر والالتزامات.
4. الاندماج: تغذي المخاطر والامتثال والمراقبة القرارات الاستراتيجية.
5. التحسين المستمر: تتطور المنظومة باستمرار بفضل مؤشرات موثوقة ومشتركة.

متى يجب الانتقال إلى مقاربة GRC؟#

• حين تُطبَّق عدة سلطات أو مرجعيات في الوقت نفسه: القانون 09.08، القانون الأوروبي للذكاء الاصطناعي، ISO 27001، متطلبات قطاعية.
• حين تشتكي المصالح من طلبها عدة مرات لآليات المراقبة نفسها.
• حين لا تتوفر الإدارة على رؤية شاملة للمخاطر الكبرى.
• حين يطلب عملاء أو شركاء دوليون أدلة على التحكم في المخاطر.

البداية دون إعادة بناء كل شيء#

لا حاجة لشراء برنامج معلوماتي للبدء. فمرجع مشترك، ولو في جدول بيانات، يربط كل خطر بالالتزامات وآليات المراقبة المقابلة، مع مسؤول معيَّن لكل منها، يشكّل بالفعل خطوة حقيقية نحو الاندماج. اطلع على إطار COSO ERM.