“互聯網+”時代的GRC實踐

趙彬

云計算、移動互聯網，使得企業內部的管理層級趨向扁平化，也使得企業外部的商業環境更加復雜。隨著云計算、移動互聯網、大數據等新技術的普及應用，大型企業在信息化建設上普遍呈現出“應用集中化、管理集中化、人員分散化”的趨勢。這三大趨勢也給企業在企業GRC（管控、風險管理和合規遵從）等方面帶來了新的挑戰，如面臨更加復雜、混亂的經營、競爭環境，更多的不確定性帶來更多的風險和機會。

企業內部和外部的利益相關者不僅要求企業提高業績，還要求企業的業務運營更加透明化。企業需要積極、審慎地應用云計算、移動辦公、大數據等技術。

關注云計算帶來的

合規與安全問題

云計算已逐漸被認為是一種性價比較高的企業應用交付方式，甚至成為業務流程外包的交付方式。在云計算環境中，數據和應用與基礎設施是分離的，將數據和應用遷移到云上會影響組織遵從某些法規和標準的能力。從信息安全管理和企業風險控制的角度來看，企業要想更好地利用云計算平臺，必須有云的安全策略、治理策略和合規策略。

云安全需要解決很多問題。例如，如何確保本地數據中心的資源安全，如何確保向公有云遷移后的大量應用的安全，如何確保存儲在多家云服務商的數據中心的數據的安全，如何保護公有云和私有云的虛擬化基礎，如何確保接入云基礎設施的移動設備的安全。

一旦涉及信息安全和治理，混合云環境還會帶來更多的挑戰。比如，如何實現多租戶的隔離和共享，怎么建立科學的異常事件預警、響應機制，怎么合理進行權限設置以給用戶提供有限的可見度，如何處理數據的安全和合規等問題。企業在構建基于云計算的信息系統時，最好能夠將云計算整合到現有企業IT治理體系中。

應對移動辦公帶來的

合規挑戰

移動互聯網和智能終端的普及使得隨時隨地辦公成為可能，辦公設備也變得更加多種多樣。這也使得BYOD（攜帶自己的設備辦公）日益盛行。企業員工可以在任意地點登錄企業郵箱，利用在線辦公系統完成收發郵件、處理流程和溝通業務等操作。這不僅增加了員工工作的靈活性，還滿足了員工對辦公設備的個性化需求。不過對于企業來說，BYOD在降低辦公設備的采購、運營成本的同時，也帶來了新的IT管理難題，如面臨設備歸屬、數據隱私、數據安全等問題。

對于企業來說，要解決由于BYOD帶來的數據安全問題，行之有效的辦法就是制定數據安全責任制度，采用各種控制措施將企業數據和個人數據充分隔離，并制定使用終端設備的規范。只有這樣，才能真正做到既有效保護企業數據，又不侵犯員工隱私。

為了從根本上解決移動辦公的安全問題，企業還需要采取以下幾個措施：第一，重視對員工的教育與培訓；第二，部署適用的移動設備管理（MDM）系統、企業移動管理（EMM）系統；第三，重視移動信息化治理措施的落實。

利用大數據提升GRC智能

企業在運營與管理過程中會產生大量的過程數據和信息（如文檔、日志等）；企業在應對日益復雜的業務環境過程中，還需要處理多種多樣的數據和信息。企業運營管理所需處理的數據已經不再局限于具有靜態結構和有限交互路徑的數據，而是來源復雜多樣的數據，其中包括社交媒體數據、電子郵件數據、傳感器數據、商業應用數據、檔案和文件。企業獲取和分析數據的方法亟待更新。

大數據可以被視為海量、快速增長和多樣化的信息資產，也被業界認為是一個真正的游戲規則改變者。在一些關鍵領域，特別是操作和合規風險管理領域，由大數據技術支撐的分享模型將支持風險人員輕松進行日常決策。引入大數據分析技術、風險模型服務，以及文本分析、流程挖掘和先進流程倉庫等技術，能夠幫助企業實現合規智能、風險智能和流程智能。通過對風險模型和工具進行模擬和優化，企業可強化對數據的分析和洞察，從而在流程執行之前、期間和之后對方案進行優化和完善，最大程度地優化業務流程和決策效果。

相較于采用商業智能，采用大數據分析技術能進一步提高風險模型的預測能力和穩定性。具體來說，大數據分析能夠在如下三個方面重塑組織的風險管理：其一，大數據技術可幫助企業重新塑造風險管理理念；其二，大數據技術可幫助企業變革風險管理體制；其三，大數據技術可幫助企業分享系統數據。