7 vanliga misstag i GRC-arbetet och hur du undviker dem
- Advisory
Många organisationer arbetar redan med styrning, riskhantering och regelefterlevnad. Det finns policyer, riskanalyser, kontrollaktiviteter och rutiner för att uppfylla olika krav. Trots det kan det vara svårt att få arbetet att fungera som en sammanhängande helhet.
Ett vanligt problem är att organisationen fokuserar på att dokumentera risker och krav, men inte alltid säkerställer att arbetet leder till konkreta åtgärder och förbättringar.
Ett fungerande GRC-arbete handlar inte om att skapa fler dokument, utan om att koppla samman ansvar, risker, krav och kontroller på ett sätt som fungerar i praktiken.
I den här artikeln går vi igenom sju vanliga misstag inom GRC (Governance, Risk & Compliance) och hur organisationer kan undvika dem.
1. Otydligt ansvar för risker och kontroller
Ett av de största hindren för ett effektivt GRC-arbete är att ansvarsfördelningen är otydlig.
Organisationen kan ha identifierat viktiga risker och beslutat om åtgärder, men om ingen vet vem som ansvarar för genomförandet riskerar arbetet att stanna av.
Det kan exempelvis handla om en informationssäkerhetsrisk som IT-avdelningen har identifierat, men där det är oklart vem som ska besluta om åtgärder eller acceptera den kvarvarande risken.
Så undviker du misstaget:
- Utse tydliga riskägare och kontrollansvariga.
- Dokumentera vem som fattar beslut och vem som genomför åtgärder.
- Säkerställ att ansvariga har rätt mandat och resurser.
- Följ regelbundet upp att beslutade åtgärder genomförs.
En tydlig ansvarsfördelning gör det enklare att gå från identifierade risker till konkreta beslut.
2. Riskhantering och compliance arbetar i separata processer
I många organisationer hanteras riskhantering och regelefterlevnad av olika funktioner.
Det behöver inte vara ett problem i sig. Utmaningen uppstår när arbetet sker utan tillräcklig samordning.
En avdelning kan exempelvis genomföra riskbedömningar samtidigt som en annan granskar efterlevnaden av ett regelverk som berör samma process.
Resultatet kan bli dubbelarbete, motstridiga prioriteringar eller att viktiga samband förbises.
Så undviker du misstaget:
- Skapa gemensamma rutiner för informationsdelning.
- Identifiera krav och kontroller som överlappar.
- Samordna riskbedömningar där det är lämpligt.
- Säkerställ att relevanta funktioner involveras vid större förändringar.
Ett samordnat arbetssätt gör det lättare att se hur risker, krav och kontroller påverkar varandra.
Läs mer om GRC i praktiken och hur styrning, riskhantering och compliance kan samverka.
3. För stort fokus på dokumentation
Policyer, riskregister och kontrollbeskrivningar är viktiga delar av ett strukturerat GRC-arbete.
Men dokumentationen har begränsat värde om den inte återspeglar hur verksamheten faktiskt arbetar.
En organisation kan exempelvis ha en välformulerad policy för behörighetshantering, men ändå sakna fungerande rutiner för att regelbundet granska användarnas åtkomst.
Det innebär att kraven finns på papperet, men att riskerna inte nödvändigtvis hanteras i praktiken.
Så undviker du misstaget:
- Kontrollera att dokumenterade rutiner följs i vardagen.
- Använd stickprov och andra kontrollaktiviteter för att verifiera efterlevnad.
- Utbilda medarbetare i relevanta processer.
- Uppdatera dokumentationen när arbetssätten förändras.
Målet är inte att ha så många policyer som möjligt, utan att säkerställa att de bidrar till fungerande styrning och kontroll.
4. Riskanalyser genomförs men följs inte upp
En riskanalys är en viktig utgångspunkt för att förstå vilka hot och osäkerheter som kan påverka verksamheten.
Men riskbilden är inte statisk.
Nya system införs, leverantörer byts ut, verksamheten förändras och nya sårbarheter kan uppstå.
Om riskanalyser endast genomförs vid enstaka tillfällen riskerar organisationen att fatta beslut utifrån inaktuell information.
Ett annat problem är att identifierade risker dokumenteras utan att beslutade åtgärder följs upp.
Så undviker du misstaget:
- Fastställ när riskbedömningar ska uppdateras.
- Genomför nya bedömningar vid betydande verksamhetsförändringar.
- Dokumentera beslutade åtgärder och ansvariga.
- Följ upp att åtgärderna genomförs och har avsedd effekt.
- Rapportera viktiga risker till rätt beslutsnivå.
Riskhantering behöver vara en återkommande del av verksamhetens styrning, inte en isolerad aktivitet.
5. Regelefterlevnad behandlas som en checklista
Regelverk och standarder kan innehålla omfattande krav på styrning, riskhantering, säkerhet och uppföljning.
Det kan därför vara lockande att hantera compliance genom checklistor där varje krav markeras som uppfyllt eller inte uppfyllt.
Checklistor kan vara användbara, men de ger inte alltid hela bilden.
Att en rutin finns dokumenterad innebär exempelvis inte automatiskt att den fungerar eller att organisationen uppfyller samtliga tillämpliga krav.
Detta är särskilt viktigt för organisationer som omfattas av regelverk som GDPR, DORA eller den svenska cybersäkerhetslagen.
Så undviker du misstaget:
- Säkerställ att organisationen har identifierat de krav som faktiskt gäller.
- Koppla kraven till relevanta processer och kontroller.
- Kontrollera att åtgärderna fungerar i praktiken.
- Dokumentera relevanta underlag som visar hur kraven uppfylls.
- Följ upp förändringar i regelverk och verksamhet.
Ett fungerande compliancearbete handlar om mer än att bocka av krav. Det handlar om att kunna visa hur organisationen arbetar för att uppfylla dem.
6. Ledningen får inte tillräckligt bra beslutsunderlag
GRC handlar inte enbart om operativa processer. Det är också ett stöd för organisationens ledning och styrelse.
Om rapporteringen består av stora mängder detaljerad information utan tydliga slutsatser kan det vara svårt att förstå vilka risker som behöver prioriteras.
Samtidigt kan alltför övergripande rapporter göra att viktiga problem inte uppmärksammas.
Så undviker du misstaget:
- Anpassa rapporteringen efter mottagarens ansvar och behov.
- Lyft fram de mest betydande riskerna och deras möjliga konsekvenser.
- Visa status för beslutade åtgärder och identifierade avvikelser.
- Tydliggör vilka beslut som behöver fattas.
- Följ utvecklingen över tid med relevanta nyckeltal.
En bra GRC-rapport ska inte bara beskriva vad som har hänt, utan också hjälpa ledningen att förstå vad som behöver göras.
7. Brister identifieras men leder inte till förbättringar
Organisationer kan lägga mycket tid på riskbedömningar, kontrolltester och internrevisioner.
Men om resultaten inte leder till åtgärder riskerar samma brister att återkomma.
En internrevision kan exempelvis identifiera att en säkerhetsrutin inte följs. Om organisationen enbart uppdaterar dokumentationen utan att undersöka varför problemet uppstod finns risken att avvikelsen återkommer.
Så undviker du misstaget:
- Prioritera identifierade avvikelser utifrån deras betydelse.
- Undersök bakomliggande orsaker.
- Ta fram konkreta åtgärdsplaner.
- Utse ansvariga och fastställ tidsfrister.
- Kontrollera att genomförda åtgärder har önskad effekt.
Kontinuerlig förbättring är en central del av ett långsiktigt GRC-arbete.
Internrevisioner kan bidra med oberoende bedömningar av hur organisationens styrning, riskhantering och kontroller fungerar.
Läs även vår artikel om vanliga misstag vid internrevision.
Hur kan organisationer förbättra sitt GRC-arbete?
För att undvika dessa misstag behöver organisationen skapa ett arbetssätt där styrning, riskhantering och regelefterlevnad fungerar tillsammans.
Det innebär inte nödvändigtvis att fler processer eller nya system behöver införas.
I många fall handlar det om att förbättra samordningen mellan befintliga funktioner och säkerställa att informationen används på rätt sätt.
En bra utgångspunkt är att ställa fem frågor:
- Vet vi vilka våra viktigaste risker och krav är?
- Är det tydligt vem som ansvarar för att hantera dem?
- Har vi fungerande kontroller och rutiner?
- Följer vi upp att beslutade åtgärder genomförs?
- Får ledningen tillräcklig information för att fatta välgrundade beslut?
Om svaren är otydliga kan det vara ett tecken på att organisationens GRC-arbete behöver utvecklas.
En GAP-analys för reglerade verksamheter kan vara ett sätt att identifiera skillnader mellan nuläget och relevanta krav samt prioritera förbättringsåtgärder.
Vanliga frågor om misstag inom GRC
Vilket är det vanligaste misstaget inom GRC?
Det finns inget enskilt misstag som är vanligast i alla organisationer. Otydlig ansvarsfördelning, bristande samordning och otillräcklig uppföljning är dock exempel på problem som kan försvaga GRC-arbetet.
Hur vet man om organisationens GRC-arbete fungerar?
Organisationen kan följa upp exempelvis riskägarskap, genomförda kontroller, öppna avvikelser och status för beslutade åtgärder. Det viktiga är att bedöma om arbetet faktiskt bidrar till att hantera risker och uppfylla relevanta krav.
Hur kan GRC minska dubbelarbete?
Genom att samordna riskbedömningar, kontrollaktiviteter och dokumentation kan organisationen identifiera områden där samma information eller kontroll kan användas för flera syften.
Behöver man ett digitalt GRC-system?
Nej. Ett digitalt GRC-system kan förenkla dokumentation och uppföljning, men tydliga roller, fungerande processer och kontinuerlig förbättring är viktigare än valet av verktyg.
Vilken roll har internrevision inom GRC?
Internrevision kan ge en oberoende bedömning av hur organisationens styrning, riskhantering och interna kontroller fungerar. Resultaten kan användas som underlag för förbättringar och ledningens uppföljning.
Ett fungerande GRC-arbete kräver mer än dokumentation
GRC handlar om att skapa en helhet där styrning, riskhantering och regelefterlevnad samverkar.
Vanliga misstag uppstår när ansvar är otydligt, processer hanteras separat eller identifierade risker och avvikelser inte följs upp.
Genom att tydliggöra ansvar, samordna kontroller och arbeta med kontinuerlig förbättring kan organisationer skapa bättre överblick och mer effektiva processer.
Ett framgångsrikt GRC-arbete mäts inte i antalet policyer eller riskanalyser, utan i hur väl organisationen använder dem för att fatta beslut och hantera sina risker.
På Securance hjälper vi organisationer att utveckla sitt arbete med styrning, riskhantering och regelefterlevnad genom rådgivning, analyser och oberoende granskningar.
Vill ni få bättre kontroll över ert GRC-arbete? Kontakta Securance för att diskutera hur vi kan hjälpa er.
