Co je GRC?

V dnešním komplexním a rychle se vyvíjejícím obchodním prostředí čelí organizace rostoucímu tlaku na etický provoz, proaktivní řízení rizik a dodržování rostoucí řady předpisů. Řízení, rizika a dodržování předpisů – běžně označované jako GRC – se objevily jako strategický rámec, který umožňuje podnikům čelit těmto výzvám jednotným a strukturovaným způsobem.

GRC je více než jen sbírka zásad nebo softwarových nástrojů; je to komplexní filozofie a provozní model, který integruje řídicí struktury, postupy řízení rizik a povinnosti dodržování předpisů v celém podniku. Pojem byl poprvé představen skupinou Open Compliance and Ethics Group (OCEG) v roce 2007 a od té doby se stal široce přijímán napříč odvětvími.

Ve svém jádru GRC slaďuje obchodní cíle s riziky, která by mohla mít dopad na jejich dosažení, a zároveň zajišťuje dodržování vnějších předpisů i vnitřních politik. Podporuje transparentnost, odpovědnost a odolnost tím, že do každodenních podnikových procesů začleňuje povědomí o rizicích a dodržování předpisů. Při efektivní implementaci umožňuje GRC organizacím předvídat a reagovat na vyvíjející se rizika, zefektivnit provoz a chránit investice do lidí, procesů a technologií.

Aby bylo možné plně pochopit hodnotu a funkci GRC, je nezbytné porozumět odlišným rolím, které hrají jeho tři základní pilíře –řízení, řízení rizik a dodržovánípředpisů – a jak spolupracují na podpoře organizační integrity a výkonnosti.

Řízení

Řízení tvoří páteř jakéhokoli GRC frameworku. Odkazuje na struktury, zásady a procesy, které řídí, jak je organizace řízena a řízena. To zahrnuje vše od firemních pravidel a interních postupů až po způsob přiřazování odpovědností mezi týmy. Řádná správa zajišťuje, že všichni – od kontrolorů dodržování předpisů a vedoucích rizik až po podnikové uživatele a vedoucí pracovníky – chápou svou roli při pomoci organizaci dosáhnout jejích cílů a zároveň zůstat v etických a regulačních hranicích. Jde o vytvoření jasného rámce pro rozhodování, odpovědnost a dohled, aby organizace mohla fungovat efektivně, odpovědně a s důvěrou.

Řízení rizik

Řízení rizik je o porozumění tomu, co by mohlo být špatně – a co by mohlo jít správně – a činit informovaná rozhodnutí na ochranu a růst podniku. Každá organizace čelí nejistotě, ať už se jedná o změny na trhu, provozní škytavky, finanční tlaky nebo hrozby kybernetické bezpečnosti. Úlohou řízení rizik v rámci GRC je identifikovat tyto nejistoty, posoudit jejich potenciální dopad a zavést strategie, které buď zmírní nevýhodu, nebo kapitalizují na straně růstu.

Organizace obvykle čelí několika kategoriím rizika:

• Strategické riziko: Jedná se o rizika, která ohrožují dlouhodobou vizi nebo strategické cíle organizace. Mohou vzniknout špatným plánováním, změnou geopolitických nebo ekonomických podmínek nebo konkurenčními tlaky, které ztěžují udržení postavení na trhu nebo přizpůsobení se změnám.

• Operační riziko: Tento typ rizika vzniká selháním při každodenních obchodních činnostech. Může zahrnovat výpadky v procesech, lidské chyby, výpadky systému, narušení dodavatelského řetězce nebo environmentální události, jako je extrémní počasí nebo přírodní katastrofy – cokoliv, co přeruší normální provoz.

• Finanční riziko: Finanční rizika zahrnují potenciál peněžní ztráty. Důvodem by mohly být úvěrové problémy, problémy s likviditou, podvody nebo špatná správa finančních prostředků. Širší ekonomické podmínky, jako je inflace, volatilita úrokových sazeb nebo pokles trhu, mohou tato rizika zesílit a ovlivnit finanční stabilitu organizace.

• Riziko dodržování předpisů: Vyplývá to z porušení zákonů, předpisů, kodexů chování nebo zavedených standardů praxe v rámci odvětví nebo organizace. Nesoulad může vést k pokutám, právním krokům a poškození dobré pověsti.

• Informační technologie (IT) a rizikokybernetické bezpečnosti: S tím, jak se podniky stávají digitálnějšími, roste riziko narušení dat, kybernetických útoků a selhání systému. Tato rizika mohou ohrozit citlivé informace a narušit obchodní operace.

• Reputační riziko: Reputační riziko vzniká, když je veřejné vnímání organizace poškozeno – často v důsledku problémů v jakékoli jiné kategorii. Špatně řešené porušení předpisů, ekologický incident nebo narušení bezpečnosti dat se může rychle dostat do krize dobré pověsti a může mít dlouhodobé negativní dopady na důvěru zákazníků a hodnotu značky.

Z přehledu analytických zpráv vyplývá, že IT je v současnosti pro mnoho společností nejvyšším rizikem – většinou kvůli koncentraci služeb a technologií představujících riziko systémového selhání. Dodavatelský řetězec a geopolitika jsou na druhém a třetím místě a jsou poháněny omezeními obchodní politiky a sankcemi na celém světě.