Martes de GRC: últimas tendencias en tecnología de gobierno, riesgo y cumplimiento
By s4pcademy
Todas las tendencias globales, como pandemias, guerras comerciales, iniciativas ambientales, cambios en el lugar de trabajo y el rápido aumento de la ciberseguridad, han impactado todos los procesos y sistemas de la organización y, por supuesto, también son absolutamente válidas para la Gobernanza, el Riesgo y el Cumplimiento. Pero también hay algunas corrientes subyacentes que impactan esta área más particularmente en términos de riesgo general y práctica de cumplimiento y, más cerca de mi enfoque, la tecnología de software GRC.
Enfoque integrado de GRC
Según muchos informes, el enorme impacto de la pandemia en las empresas puso de manifiesto la necesidad de un enfoque más holístico de GRC, que lo integre en la estrategia organizacional, induciendo la planificación comercial.
Sin embargo, dado que cada departamento o unidad de negocio tiene sus propios marcos y, a veces, incluso herramientas, los datos producidos no están conectados porque las aplicaciones no se comunican. Esta falta de sinergia impide que las organizaciones establezcan un enfoque integrado para GRC. De ahí la necesidad de un nuevo tipo de solución GRC que se integre con otras soluciones de software «adecuadas para el propósito» que generen datos para impulsar el riesgo, el cumplimiento y el rendimiento de auditoría.
… Pero lo mejor de su clase cuando y donde tiene sentido
Para mejorar la toma de decisiones, las organizaciones han comenzado a repensar su estrategia de GRC y adoptan un enfoque de tipo «GRC en red» seleccionando herramientas especializadas pero también proveedores de contenido y servicios que abordan requisitos específicos. Dado que esto entra en conflicto con el primer elemento de esta lista de enfoque integrado de GRC, ahora estamos viendo una solicitud para mantener estas herramientas especializadas, pero conectando los puntos y juntándolos en una única fuente de verdad de GRC donde los tomadores de decisiones pueden obtener la información. necesitan evaluar los impactos en el negocio. Y para mejorar la información de GRC con puntos de datos adicionales relevantes provenientes de fuentes internas o externas, no necesariamente relacionados directamente con los temas de GRC.
Integración entre sistemas…
De hecho, y continuando con el requisito de agregar puntos de datos, las empresas requieren capacidades de integración de sus soluciones GRC en una variedad de sistemas comerciales, incluido Finanzas para respaldar los procesos Lead to Cash y Source to Pay, pero también Recursos humanos para ¡Reclutar para jubilarse, o cadena de suministro para (apoyar el diseño para operar), y muchos más! No solo para la automatización del control o la revisión y el aprovisionamiento de accesos, sino también para enriquecer el riesgo y relacionarlo con el contexto organizacional.
… Especialmente con una herramienta de Inteligencia de Procesos
Las empresas también buscan diseñar y documentar visualmente cómo funcionan los procesos comerciales en un contexto de GRC para informar la toma de decisiones en cada paso del proceso. Con la intención de beneficiarse al ver dónde un proceso podría estar afectando el negocio y permitir que la organización identifique dónde puede necesitar hacer cambios.
Ilustración del modelado de procesos en SAP Signavio
GRC autónomo
La transformación digital es tanto un impulsor del camino de la empresa hacia más tecnología como una tendencia, ya que esta nueva tecnología no siempre se adopta. Con muchos proyectos de transformación digital en marcha, las organizaciones buscan aprovechar la tecnología adquirida para fines de GRC, así como lograr un verdadero GRC basado en excepciones donde los procesos se ejecutan automáticamente en segundo plano y solo las desviaciones se transmiten a las partes interesadas relevantes.
La tecnología, en particular la inteligencia artificial con capacidades de aprendizaje automático, procesamiento de lenguaje natural o análisis predictivo, ahora está lista para el horario estelar y se puede aplicar mucho más ampliamente a la disciplina GRC. No es nuevo, por supuesto, y muchas soluciones han incluido estas capacidades durante bastante tiempo, pero a menudo de forma aislada como un complemento. Estos ahora se pueden aprovechar por completo, juntos, para conducir a GRC autónomo.
Mucho más analítico GRC…
La disciplina GRC en sí misma está cambiando y también sus requisitos. No solo se aprovechan las capacidades analíticas para diseñar, administrar y optimizar los procesos comerciales y controlar el riesgo, sino que ahora también se integran a menudo en los flujos de trabajo y los controles con una intención simple: la cuantificación. Cuantificación de la exposición al riesgo, pero también del valor total de todas las estrategias de mitigación asociadas para garantizar una cobertura adecuada, y no una sobrecobertura, por ejemplo.
… Habilitación de la gestión proactiva de riesgos
Con las capacidades de automatización mencionadas anteriormente, las empresas también buscan pasar a un enfoque mucho más proactivo de la gestión de riesgos, para poder tomar medidas provocando cambios y no solo reaccionando al cambio cuando sucede. Para hacerlo, muchas empresas están investigando indicadores predictivos, simulaciones y escenarios, pero también la identificación temprana de riesgos emergentes.
Ilustración de un panel de gestión proactiva de riesgos del arte de lo posible
Curiosamente, ya me habían preguntado sobre esta tendencia hace algún tiempo, así que escribí un blog específico: Martes de GRC: Gestión proactiva de riesgos detallando lo que esto (actualmente) incluye para las empresas, tales como:
- Proporcionar una visión completa del riesgo: dónde está hoy y dónde debería estar mañana
- Riesgos emergentes que aumentan rápidamente, por lo tanto, las amenazas potenciales que aún no se han manifestado pero que realmente podrían poner en peligro sus operaciones, al nivel adecuado de autoridad
- Obtener tendencias de puntos de datos predictivos basados en indicadores prospectivos
- Etc.
Alineación de los riesgos de ciberseguridad con la gestión de riesgos en toda la empresa
Como nota final en este breve blog, quería resaltar una tendencia que es a la vez funcional y tecnológica. Según lo recomendado por el Instituto Nacional de Estándares y Tecnología (NIST), las empresas buscan ayudar a los ejecutivos de alto nivel y a los funcionarios corporativos a comprender los desafíos que enfrentan los profesionales de la seguridad cibernética brindándoles la información de impacto comercial que están acostumbrados a obtener para otros tipos de riesgos de toda la empresa.
Para hacerlo, buscan alinear aún más los riesgos de ciberseguridad con su marco de gestión de riesgos en toda la empresa.
Aquí nuevamente, es más que una tendencia, ¡es un tsunami! Como resultado, también he lanzado un libro dedicado GRC martes blog con más detalles y pensamientos que pueden ser de su interés: Martes de GRC: Gestión de riesgos cibernéticos y de toda la empresa: cerrar la brecha de visibilidad
¿Y usted, cuáles son las tendencias adicionales de GRC que está viendo y que quizás no haya mencionado en este blog? Espero leer sus pensamientos y comentarios en este blog o en Twitter. @TFrenehard
