System SAP GRC – filary stabilizujące bezpieczeństwo procesów w organizacji

Rozwój technologii cyfrowych i wzrost ilości danych wymuszają na przedsiębiorcach wdrożenie rozwiązań, które wspierają realizację celów z uwzględnieniem ryzyk, które często są w planach pomijane, a mają kluczowe znaczenie w ich realizacji. Przedsiębiorstwa podejmują próbę zarządzania ryzykiem strategicznym, operacyjnym i informatycznym w sposób zintegrowany. Jednak zaledwie 25%^[1] z nich postrzega zarządzanie ryzykiem jako ważne narzędzie strategiczne. Wynika z tego jednoznacznie, że niezbędne jest uświadamianie przedsiębiorcom potrzeby wdrażania elastycznych strategii GRC – Governance, Risk management and Compliance w organizacjach, które pozwolą zminimalizować ryzyko i działać prewencyjnie.

Główne obszary SAP GRC

GRC stanowi strategię, która osadza ryzyka organizacji i działania kontrolne na wspólnej platformie technologicznej obejmującej całą organizację. Dzięki temu możliwa jest skuteczna automatyzacja i zarządzanie ładem korporacyjnym, ryzykiem i jego ograniczeniami, oraz zgodnością. Czym wyróżniają się poszczególne obszary GRC?

https://blogs.sap.com/2019/06/13/sap-enterprise-threat-detection-2.0-is-now-available/

Governance – zarządzanie i nadzór

Governance oznacza nadzór i zarządzanie, i jest to coś więcej niż określone polityki, procedury i przepisy, to wskazywanie jak je wdrożyć i spełnić ich wymagania w codziennych operacjach realizowanych w organizacji. Celem zarządzania jest wsparcie w łączeniu silosów organizacyjnych. Efektem tego jest działanie zgodne z celami strategicznymi w całym przedsiębiorstwie, z zachowaniem zgodności z zasadami procedur, poszanowaniem wartości firmy i etyki biznesowej. Wdrożenie zarządzania zgodne z praktykami, które proponuje SAP GRC wspiera wydajne i skoordynowane środowisko pracy. Natomiast dzięki skoncentrowaniu na odpowiedzialności i zarządzaniu zasobami, gwarantuje niezbędne mechanizmy kontroli, a co za tym idzie ład, u w organizacji.

Risk – ryzyko

Risk oznacza ryzyko, które stanowi wszystko to, co może prowadzić do niekorzystnego wyniku w obrębie każdego aspektu w organizacji. Wszystkie zewnętrzne zagrożenia są identyfikowane, szacowane i podejmowana jest próba ich kontroli. Te wewnętrzne natomiast wynikają często z mankamentów występujących w strukturach operacyjnych, proceduralnych lub technicznych. Ryzyko wiąże się również z zagrożeniami wynikającymi ze stosowanymi na szeroką skalę i coraz bardziej agresywnymi w skutkach naruszeniami cyberbezpieczeństwa oraz bezpieczeństwa zasobów informacyjnych. Jednak najczęstszym scenariuszem jest kwestia ludzkiego błędu wynikającego z braku wewnętrznej kontroli. Dlatego istotne jest opracowanie zbioru procedur i zasad, które wpłyną na kontrolę, monitoring oraz zminimalizowanie ryzyka, jak również przygotują przedsiębiorstwo na ich wystąpienie.

Efektywne zarządzanie ryzykiem decyduje o powodzeniu realizacji strategii organizacji i pozwala na osiągnięcie zamierzony celów. Dlatego, aby zrobić to dobrze, warto znać podstawowe kategorie ryzyka korporacyjnego. Ich analiza wpływa bezpośrednio na efektywniejsze przewidywanie, łagodzenie i przede wszystkim zapobieganie ryzykom za pomocą wdrożonych procesów GRC.

• Pierwszym, mającym szerokie pole działania i różnorodność, jest ryzyko wynikowe związane z wydajnością, zwane też operacyjnym. Powstaje ono w wyniku nieumyślnych bądź celowych błędów w procesach, strukturach, systemach, produktach lub ludziach, zaangażowanych w każdy aspekt działalności biznesowej.
• Kolejnym ryzykiem jest brak zgodności. Wynika ono bezpośrednio z naruszenia prawa, regulacji, kodeksów postępowania lub ustalonych standardów postępowania w branży, lub organizacji. Potencjalnymi skutkami w przypadku zaistnienia takich nieprawidłowości są najczęściej sankcje prawne, straty finansowe i utrata wiarygodności.
• Ryzyko IT natomiast związane jest z szeroko rozumianym IT, które biorąc pod uwagę cyfrową transformację i automatyzację, wymaga stosowania adekwatnych narzędzi. Jest ono elementem hierarchii ryzyka firmy, zwanego ERM (Enterprise Risk Management).  W tym przypadku można wyróżnić główne obszary ryzyka między innymi – związane z bezpieczeństwem informacji, cyberbezpieczeństwem, bezpieczeństwem fizycznym infrastruktury IT, ciągłością biznesową, zapewnieniem zgodności na poziomie rozwiązań IT, czy finansami IT.
• Każda z decyzji podejmowanych przez przedsiębiorstwo, począwszy od wdrażania nowych technologii, przez modernizację firmy po zaciąganie kredytów, oznacza ryzyko utraty kapitału. Właśnie w takim przypadku mamy do czynienia z ryzykiem finansowym, związanym ze strukturą kapitałową organizacji. Zaliczane do niego jest ryzyko inwestycyjne, rynkowe, kredytowe, płynności, operacyjne, systemowe i ryzyko zgodności.
• Ostatnim w hierarchii  jest ryzyko utraty reputacji. Jego występowanie może wynikać z negatywnego wpływu powyżej wymienionych kategorii, decyzji biznesowych, które prowadzą do gorszego postrzegania organizacji przez opinię publiczną, klientów, kontrahentów, a nawet pracowników. Ryzyko utraty reputacji jest jednym z najbardziej destrukcyjnych dla marki lub firmy.

Compliance – Zgodność

Compliance management jako zarządzanie zgodnością z przepisami i aktami prawnymi specyficznymi dla ekosystemu, w którym organizacja prowadzi działalność, skoncentrowane jest na systemowym spełnieniu wymagań przepisów prawnych i zapobieganiu nieprawidłowościom w organizacji. Polegają one najczęściej na łamaniu przepisów prawa, przyjętych norm i standardów oraz na działaniu niezgodnym z etyką organizacji. W odniesieniu do powyższego, zarządzanie zgodnością ma na celu chronić organizację i jej kierownictwo przed stratami finansowymi, odpowiedzialnością za niepożądane zachowania pracowników i współpracowników oraz zabezpieczać przed utratą szeroko rozumianej reputacji. Zgodność jest jednym z tych zagrożeń, któremu można w prosty sposób zapobiec, jeśli jest właściwie zarządzane. Do utrzymania solidnej i aktualnej strategii zgodności, zarządzania danymi, analizy predykcyjnej oraz uzyskiwania wiedzy w czasie rzeczywistym niezbędne jest wdrożenie nowoczesnego rozwiązania SAP GRC.

Co zyska firma, wdrażając główne obszary GRC?

Zdrowym rozwiązaniem dla organizacji jest etapowe wdrażanie GRC. W zależności od zapotrzebowania wynikającego z analizy, po wdrożeniu modułów SAP GRC Access Control, z powodzeniem można i nawet należy rozwijać kolejne obszary, takie jak Process Control, Risk Management, czy nawet SAP Enterprise Threat Detection.

Bez względu na tempo wprowadzania SAP GRC do organizacji, ostatecznie podjęte działania przynoszą pozytywne efekty.  Zalicza się do nich lepsza świadomość kierownictwa w zakresie zagrożeń (ryzyk) wewnątrz samej organizacji oraz możliwych do wystąpienia w jej otoczeniu, lepsza kontrola i zapobieganie negatywnym skutkom wystąpienia tych ryzyk, ochrona wrażliwych informacji, optymalizacja pracy użytkowników w systemie SAP, oszczędności budżetowe wynikające z automatyzacji procesów w obszarze kontroli, skuteczne audyty, podniesienie bezpieczeństwa w firmie poprzez budowanie zasad ładu korporacyjnego.

https://blogs.sap.com/2016/02/10/new-ways-needed-to-fight-against-targeted-attacks-and-advanced-malware-sap-enterprise-threat-detection-integrated-with-trend-micro/

^[1] Gartner, “How to Engage Your Board of Directors on IRM,” April18, 2017, ID: G00318004.