GRC降低企業經營風險

“基業常青”是每個企業經營者的夢想，但企業在經營過程中時時刻刻都會面臨各種風險，這些風險可能來自自然界，也可能來自人為誤操作。對于企業而言，不僅要實現眼前的盈利，更要未雨綢繆提前預防，以規避未來可能的風險。這也正是國家推行《企業內部基本控制規范》(也稱C-SOX法)的主要目的。從今年1月1日C-SOX正式開始實施，中國上市公司必須執行C-SOX，這也就意味著風險管控正在成為這些公司必須考慮的問題，而幫助企業實現C-SOX落地的IT治理、風險與合規性（GRC）解決方案開始風行也不足為奇。

“隨著美國薩班斯法和有中國版薩班斯法之稱的C-SOX的施行，GRC的話題正在引起越來越多人的關注。” 賽門鐵克IT管理、風險與合規部門區域產品管理總監Caroline Wong告訴記者。剛加入賽門鐵克不久的Caroline Wong擁有信息系統安全認證專家（CISSP）的頭銜，此前在eBay、Zynga公司任職，全面負責這些企業的信息安全工作。

據Caroline Wong介紹，一個典型的GRC實施過程可以分為四個階段：第一個是計劃，即確定企業將選擇什么樣的標準或者是什么樣的法規框架去實現合規，據此制定一套管控框架，通過技術和流程上的保障，在這個管控框架中實現合規；第二個是評估，即根據確定的標準評估在企業安全合規框架中所使用的技術和流程管控手段，是不是達到了前一階段制定的標準；第三個是報告，要把問題向各個利益相關方做充分的溝通，包括負責采取補救措施的部門主管和安全技術方面的采購決策負責人等 ；最后是補救，因為僅僅制定和評估標準是不夠的，一個負責安全的部門必須要能夠驅動相應的變化去提高整個企業的安全和合規水平。

“這個過程很復雜，完全手工幾乎無法完成，因此GRC解決方案必不可少。”Caroline Wong表示，GRC解決方案就是通過自動化、可視化等手段來幫助企業進行企業風險管理、合規管理以及內控，從而規避風險，同時驅動公司的業績以及公司的戰略實施。這也正是賽門鐵克可以為企業提供幫助的地方。

賽門鐵克今年剛剛發布了最新版的GRC——Symantec Control Compliance Suite 11。其中，包含眾多模塊，可以為GRC的四個階段提供幫助。比如，計劃階段的策略管理模塊幫助企業主管給CIO/CSO在制定策略上進行授權，而風險管理模塊則讓負責人對風險管理做出界定等。值得一提的是，該解決方案還新增了風險管理模塊（Risk Manager），它把技術問題轉化成與企業流程相關的風險問題，為利益相關方提供關于IT風險的定制化分析，并且可以基于業務關鍵性而非技術嚴重性，確定補救措施的優先級。Caroline Wong說，基于賽門鐵克新一代GRC解決方案，安全主管能夠依據IT風險指標為特定人群定制不同的風險報表，從而使企業中圍繞IT風險進行的溝通更為有效。

Caroline Wong特別強調，企業實施合規和風險管控對企業而言是一件好事，因為這并不僅僅是要花錢滿足各種法規的要求、應對各種審計，同時，也可以幫助企業改善經營業績。比如，可以降低公司的運營風險，提升公司美譽度、知名度，最終提升競爭力，更好地幫助企業達成經營目標。