公司治理、风险管理及合规审查

概述

公司治理是高级管理团队的责任，它关注创建组织内部的透明度，采用某种机制来保证组织内所有成员都遵守确定的流程和方针。恰当的治理策略能够监测和记录当前的商业活动，采取措施和步骤来保证匹配确定的方针，并且能够在误解、曲解或未遵守原则时提供矫正措施。
风险管理 是组织识别潜在的风险、根据组织的商业目标区分风险的优先级、判断其抗风险度的一个流程。风险管理通过组织的内部控制来管理和减轻风险。
合规审查 通过记录和检测控制项，来确认其匹配法律规定、行业规范以及组织的内部政策。
非常重要的一点是，在 GRC 的领域中，如果并不具备第一个(公司治理), 那么后面两个(风险管理、合规审查)就显得毫无用处并且很有可能无法真正达到。类似地，如果不具备第二个(风险管理)，那么合规审查也变得毫无用处并且很有可能无法真正达到。这就是为什么这个词的缩写为G + R + C，而并非其它的顺序。公司治理、风险管理及合规审查高度相关，但是他们是明显不同的活动，来解决针组织内不同类型要素的不同问题。
给出GRC 的精确定义是非常具有挑战性的。根据 GRC 行业分析师Michael Rasmussen的说法，精确定义GRC 的挑战之处在于，组成 GRC 的三个词的每一个在(不同)组织中都具有很多不同的含义。它们包括：企业治理、IT治理、财务风险、战略风险、运营风险、IT风险、公司规范、SOX 法规、劳动法规、隐私法规… …。
创建 GRC 系统的最初兴趣来源于SOX 法案，然而现在对GRC 的需求已经发生变化。现在 GRC 被认为是实现企业风险管理（ERM）的手段。特别地，这代表了把风险管理仅仅看作执行或合规的行为，到被认为可以提高决策制定和战略计划科学性以增加商业价值的转变。

GRC 产品供应商

由于市场的不断变化，任何供应商分析都往往很快会变得过时。