GRC i praktiken - så får du styrning, riskhantering och compliance att samverka

Många organisationer har redan etablerade processer för styrning, riskhantering och regelefterlevnad. Det finns policyer, riskanalyser, interna kontroller och tydliga krav att förhålla sig till. Ändå kan det vara svårt att få en samlad bild av hur allt hänger ihop.

IT-avdelningen arbetar med informationssäkerhet, compliancefunktionen bevakar regelverk och ledningen fattar beslut om verksamhetens risker. Alla arbetar mot samma övergripande mål, men inte alltid tillsammans.

Det är här GRC kommer in i bilden.

GRC i praktiken handlar om att samordna organisationens styrning, riskhantering och regelefterlevnad så att ansvar, risker, krav och kontroller hänger ihop. Målet är att minska dubbelarbete, förbättra beslutsfattandet och skapa en mer effektiv verksamhet.

Men hur går man från separata processer till ett gemensamt arbetssätt?

Varför behöver GRC fungera som en helhet?

GRC står för Governance, Risk & Compliance och omfattar tre nära sammankopplade områden:

• Governance: Hur organisationen styrs och hur ansvar och beslut fördelas.
• Risk: Hur verksamhetens risker identifieras, bedöms och hanteras.
• Compliance: Hur organisationen säkerställer att relevanta lagar, regler och andra krav uppfylls.

När dessa områden hanteras var för sig kan det leda till överlappande arbetsuppgifter, otydligt ansvar och bristande uppföljning.

En risk kan exempelvis identifieras av IT-avdelningen, samtidigt som compliancefunktionen arbetar med ett regulatoriskt krav som berör samma område. Om informationen inte delas kan organisationen missa möjligheten att samordna åtgärderna.

Ett gemensamt GRC-arbete skapar förutsättningar för att se sambanden mellan verksamhetens mål, risker och krav.

Vill du först förstå grunderna? Läs vår guide Vad är GRC? En guide till Governance, Risk & Compliance.

1. Börja med att kartlägga hur organisationen arbetar idag

Det första steget mot ett mer samordnat GRC-arbete är att förstå nuläget.

Många organisationer har redan stora delar av arbetet på plats, men informationen kan vara utspridd mellan olika avdelningar, system och dokument.

Börja därför med att undersöka:

• Vilka processer finns för riskhantering och regelefterlevnad?
• Vilka policyer och interna kontroller används?
• Vem ansvarar för olika riskområden?
• Hur dokumenteras och följs identifierade risker upp?
• Vilka krav och kontroller överlappar varandra?
• Hur rapporteras resultat till ledningen?

Syftet är inte att skapa ytterligare administration, utan att identifiera var samordningen kan förbättras.

En kartläggning kan också visa om det finns brister mellan organisationens nuvarande arbetssätt och de krav som behöver uppfyllas.

En GAP-analys för reglerade verksamheter kan vara ett sätt att identifiera sådana skillnader och skapa underlag för förbättringar.

2. Skapa tydliga roller och ansvar inom GRC

Ett vanligt hinder för effektivt GRC-arbete är att ansvarsfördelningen är otydlig.

Vem ansvarar för att en risk hanteras? Vem säkerställer att en kontroll fungerar? Och vem fattar beslut om en risk ska accepteras?

När flera funktioner arbetar med samma område behöver ansvar och beslutsmandat vara tydliga.

En möjlig ansvarsfördelning är:

• Styrelse och ledning: Fastställer övergripande mål, riskaptit och prioriteringar samt följer upp resultat.
• Verksamhetsansvariga: Äger och hanterar risker inom sina respektive områden.
• Risk- och compliancefunktioner: Ger stöd, samordnar arbetet och följer upp relevanta krav och risker.
• IT- och informationssäkerhetsfunktioner: Bidrar med specialistkompetens och ansvarar för tilldelade säkerhetsåtgärder.
• Internrevision: Genomför oberoende granskningar av exempelvis styrning, riskhantering och interna kontroller.

Den exakta ansvarsfördelningen varierar beroende på organisationens storlek och verksamhet.

Det viktiga är att ansvar inte bara finns beskrivet i ett dokument, utan också fungerar i praktiken.

3. Samordna riskhantering och regulatoriska krav

Riskhantering och compliance behandlas ibland som två separata arbetsområden. Men i praktiken finns ofta tydliga kopplingar.

Ett regulatoriskt krav kan exempelvis innebära att organisationen behöver införa en viss process eller säkerhetsåtgärd. Samma åtgärd kan samtidigt bidra till att minska en identifierad verksamhetsrisk.

Ta exempelvis hantering av användarbehörigheter.

En organisation kan behöva säkerställa att endast behöriga personer har tillgång till känslig information.

Detta berör flera delar av GRC:

Governance: Vem ansvarar för att besluta om behörigheter och hur ska processen styras?

Risk: Vilka konsekvenser kan obehörig åtkomst få och vilka säkerhetsåtgärder behövs?

Compliance: Vilka relevanta krav gäller för åtkomstkontroll och hantering av information?

Genom att hantera dessa frågor tillsammans kan organisationen skapa en gemensam kontrollprocess i stället för flera parallella.

Det är också viktigt att identifiera vilka krav som faktiskt gäller för verksamheten. Exempelvis kan GDPR, DORA och den svenska cybersäkerhetslagen vara relevanta för olika organisationer, men deras tillämpningsområden och skyldigheter skiljer sig åt.

4. Skapa ett gemensamt riskregister och en tydlig kontrollstruktur

Ett praktiskt sätt att samordna GRC-arbetet är att skapa en gemensam överblick över organisationens risker, krav och kontroller.

Det kan göras med hjälp av ett riskregister och en kontrollförteckning där informationen kopplas samman.

Ett riskregister kan exempelvis innehålla:

• Identifierad risk och beskrivning.
• Vilken verksamhetsprocess eller informationstillgång som påverkas.
• Bedömning av sannolikhet och konsekvens.
• Ansvarig riskägare.
• Beslutade åtgärder och kontroller.
• Status och datum för nästa uppföljning.

För varje relevant kontroll kan organisationen även dokumentera vilket syfte den har, vem som ansvarar för den och hur det ska verifieras att den fungerar.

På så sätt blir det lättare att se om en kontroll bidrar till att hantera flera risker eller uppfylla flera krav.

Exempel: En dokumenterad process för leverantörsgranskning kan bidra till att hantera operativa risker, informationssäkerhetsrisker och relevanta avtalsmässiga eller regulatoriska krav.

Det innebär inte att alla krav är identiska, men det kan minska behovet av separata granskningar och upprepade informationsinsamlingar.

5. Gör GRC till en del av verksamhetens vardag

Ett GRC-arbete blir inte effektivt enbart genom att organisationen inför nya dokument eller system.

Processerna behöver också användas i det dagliga arbetet.

Det kan exempelvis innebära att:

• Riskbedömningar genomförs inför större verksamhetsförändringar.
• Nya leverantörer granskas innan avtal ingås.
• Säkerhetskrav inkluderas när nya IT-system införs.
• Identifierade avvikelser får tydliga ansvariga och tidsfrister.
• Ledningen regelbundet får information om viktiga risker och åtgärder.

Ett exempel är när en organisation planerar att införa en ny AI-tjänst.

I stället för att låta IT, juridik och compliance granska tjänsten helt separat kan organisationen samordna bedömningen.

IT och informationssäkerhet kan utvärdera tekniska risker, juridik och compliance kan bedöma tillämpliga krav och verksamhetsansvariga kan ta ställning till nyttan och den kvarvarande risken.

Det ger ett mer samlat beslutsunderlag.

6. Följ upp att kontrollerna faktiskt fungerar

En av de viktigaste delarna i GRC är uppföljning.

Det räcker inte att organisationen har dokumenterade policyer och rutiner. Den behöver också säkerställa att de efterlevs och fungerar som avsett.

Det kan göras genom exempelvis:

• Regelbundna riskuppföljningar.
• Kontrolltester och stickprov.
• Internrevisioner.
• Uppföljning av incidenter och avvikelser.
• Rapportering till ledning och styrelse.

En organisation kan exempelvis ha en rutin som säger att användarbehörigheter ska granskas regelbundet.

Men hur säkerställs att granskningen verkligen genomförs? Finns det dokumentation som visar vilka behörigheter som kontrollerats och vilka eventuella brister som har åtgärdats?

Den typen av frågor hjälper organisationen att gå från dokumenterade krav till fungerande kontroller.

Läs mer om hur en internrevision går till – steg för steg.

Ett praktiskt exempel på GRC – när ett företag anlitar en ny IT-leverantör

För att tydliggöra hur GRC fungerar kan vi ta ett exempel.

Ett företag planerar att anlita en extern IT-leverantör som ska hantera affärskritisk information.

Utan ett samordnat GRC-arbete finns risken att inköp, IT, juridik och informationssäkerhet gör separata bedömningar utan att resultaten kopplas samman.

Med ett gemensamt arbetssätt kan processen se ut så här:

Steg 1 – Styrning

Organisationen fastställer vem som får godkänna leverantören, vilka krav som gäller och vem som ansvarar för den löpande relationen.

Steg 2 – Riskbedömning

Relevanta risker identifieras, exempelvis driftavbrott, informationsläckage eller beroende av en enskild leverantör.

Steg 3 – Krav och compliance

Organisationen undersöker vilka avtalsmässiga, regulatoriska och interna krav som behöver uppfyllas.

Steg 4 – Kontroller och åtgärder

Lämpliga säkerhetskrav, avtalsvillkor och uppföljningsrutiner fastställs utifrån riskbedömningen.

Steg 5 – Uppföljning

Leverantörens prestation, identifierade risker och efterlevnad av relevanta krav följs upp under avtalsperioden.

Resultatet blir en mer sammanhängande process där organisationen kan fatta beslut med bättre förståelse för både risker och krav.

Behöver företag ett GRC-system?

Ett digitalt GRC-system kan underlätta arbetet genom att samla riskregister, kontrollaktiviteter, krav och uppföljning på ett ställe.

Det kan också göra det enklare att tilldela ansvar, hantera påminnelser och skapa rapporter.

Men ett GRC-system är inte en förutsättning för ett fungerande GRC-arbete.

För mindre organisationer kan tydliga processer och enklare verktyg vara tillräckliga.

Det viktigaste är att informationen är tillförlitlig, att ansvarsfördelningen fungerar och att arbetet följs upp.

Tekniken kan stödja GRC-arbetet, men kan inte ersätta tydlig styrning och fungerande processer.

Hur vet man om GRC-arbetet fungerar?

Ett effektivt GRC-arbete behöver kunna följas upp.

Det finns ingen enskild indikator som visar om organisationens GRC-arbete fungerar bra, men några relevanta frågor är:

• Har viktiga risker identifierade ägare och beslutade åtgärder?
• Genomförs planerade kontroller inom utsatt tid?
• Hur många identifierade avvikelser är fortfarande öppna?
• Kan organisationen visa att relevanta krav uppfylls?
• Får ledningen tillräckligt bra information för att fatta beslut?
• Minskar dubbelarbete mellan olika funktioner?

Organisationen kan använda dessa frågor för att ta fram relevanta nyckeltal och följa utvecklingen över tid.

Det är dock viktigt att inte enbart mäta hur många kontroller som genomförs, utan också om de bidrar till att hantera risker och uppfylla sina syften.

Vanliga frågor om GRC i praktiken

Hur implementerar man GRC i en organisation?

Börja med att kartlägga befintliga processer för styrning, riskhantering och regelefterlevnad. Identifiera därefter relevanta risker och krav, tydliggör ansvar, samordna kontroller och skapa rutiner för regelbunden uppföljning.

Vem ansvarar för GRC?

Det övergripande ansvaret för organisationens styrning ligger hos styrelse och ledning. Det operativa GRC-arbetet fördelas vanligtvis mellan verksamhetsansvariga, risk- och compliancefunktioner samt andra relevanta specialistfunktioner.

Vad är skillnaden mellan GRC och internrevision?

GRC är ett samlat arbetssätt för styrning, riskhantering och regelefterlevnad. Internrevision är en oberoende granskningsfunktion som kan bedöma hur väl organisationens styrning, riskhantering och kontroller fungerar.

Kan mindre företag arbeta med GRC?

Ja. GRC behöver anpassas efter organisationens storlek, komplexitet och riskbild. Mindre företag kan börja med tydliga ansvarsområden, ett gemensamt riskregister och enkla rutiner för uppföljning.

Hur kan GRC minska dubbelarbete?

Genom att kartlägga överlappande krav och risker kan organisationen samordna kontroller, dokumentation och uppföljning. En kontroll kan ibland bidra till att hantera flera risker eller uppfylla flera krav samtidigt.

Från separata processer till ett samordnat GRC-arbete

GRC i praktiken handlar om att få styrning, riskhantering och regelefterlevnad att fungera tillsammans.

Genom att tydliggöra ansvar, samordna risker och krav samt skapa gemensamma processer för uppföljning kan organisationer få bättre överblick och minska onödigt dubbelarbete.

Det viktigaste är inte att införa så många nya processer som möjligt, utan att få de befintliga att fungera tillsammans.

Ett välfungerande GRC-arbete gör det enklare att förstå vilka risker organisationen står inför, vilka krav som gäller och vilka beslut som behöver fattas.

På Securance hjälper vi organisationer att utveckla sitt arbete med styrning, riskhantering och regelefterlevnad genom rådgivning, analyser och oberoende granskningar.

Vill ni få bättre struktur och överblick över ert GRC-arbete? Kontakta Securance för att diskutera hur vi kan hjälpa er.