2022年最佳治理、风险和合规 (GRC)软件和工具

治理、风险和合规工具可自动执行企业任务，例如确保合规性和降低技术和物理风险，包括财务、人力资本、安全和财产风险。遵守多个地方、地区、国家和/或国际法律标准要求企业跟踪其业务的各个方面，这些方面可能会影响其遵守这些法规的能力。

GRC软件有什么作用？

GRC 工具通过在一个 Web 或基于云的门户中存储和跟踪所有风险管理数据和法律进展，自动遵守多种监管标准并数字化满足法律要求。

GRC 软件提供了一个可搜索的在线框架，用于：

• 识别和量化风险领域
• 记录风险领域
• 访问围绕这些领域的现行法规
• 创建和发布为降低风险而创建的流程以及风险应对计划
• 记录缓解策略的合规性
• 利益相关者沟通计划

GRC 工具可帮助企业管理和减轻危险风险，并优化健康、有价值的风险。在 1900 年代中期，现代风险管理策略始于保险和金融衍生品。企业或个人将通过衍生品、通常涉及潜在货币收益或损失的合同来承担或减轻金融风险。保险假定支付一定数额的钱比失去财产的风险要好。

GRC 软件允许企业管理比财务或法律风险更多的风险，例如人力资源或技术威胁。它还采取更积极主动的风险管理方法——提前为问题做准备——而不是像保险一样主要是防御性的，并在假设问题会出现的情况下付款。 

在商业应用程序发展之前，公司存储带有任何相关法律信息的纸质或计算机文档，以证明其符合法规。这效率低得多，并且允许更多的人为错误，同时还存在物理损坏或重要数据丢失的风险。现在，GRC 软件允许企业在单个门户网站中跟踪法规遵从性，这更好，因为所有数据都以数字形式提供。工作流引导企业完成合规流程的每个步骤，通常使用图表和符号来清楚地描述已经完成的任务和需要完成的任务。这使公司可以保留他们所遵守的所有法律要求的数字记录，而不是通过文件柜进行分类。 

GRC 工具的另一个功能包括在需要完成任务或业务遇到风险时提醒企业和员工。好的GRC平台不是被动的；相反，它们会标记新的风险并提醒用户注意系统中记录的任务截止日期。 

GRC和风险管理有什么区别？

由于风险和合规市场和供应商已经开始交叉，GRC 和风险管理技术几乎没有什么不同。风险管理专家承认，这些差异充其量是微妙的，实际上不存在。 

企业风险管理侧重于减轻和优化风险，其中包括合规性和审计。GRC 专注于帮助企业管理和记录风险管理、合规性和业务治理实践。综合风险管理 (IRM) 通过扩大其范围来增强 ERM。这可能意味着技术或安全功能：Reciprocity 指出，Gartner 认为安全功能是 IRM 的一部分。

最佳 GRC 工具

审计委员会

AuditBoard 是一个具有四个模块的企业平台： 

• SOXHUB 用于萨班斯-奥克斯利法案(SOX) 法规管理
• OpsAudit 内部审计
• 风险管理的风险监督
• CrossComply 用于合规管理

AuditBoard 列出主要风险并显示每个风险缓解计划的状态；它使用图表来可视化问题和差距修复进度和审计计划。每次审核都会显示与审核相关的审核人、测试人员、截止日期和程序。

AuditBoard 提供培训材料和视频，称为 AuditBoard Academy，包括 SOXHUB、Workstream 和外部审计培训课程。它收到了关于其支持团队的特别热情的用户评论，客户认为这些评论非常有帮助。

关键区别

• SOXHUB 适用于希望专注于 SOX 合规性的企业
• 高度评价的客户支持团队
• AuditBoard Academy 提供多种培训课程 
• 用于集成和预建集成的 API

逻辑管理器

LogicManager 在风险和合规领域提供三种产品：GRC、IRM 或 ERM。LogicManager 客户将获得专门的风险管理顾问或分析师团队以及培训课程，以帮助他们学习该平台。LogicManager 功能包括：

• 风险识别
• 风险监控
• 风险缓解
• 一键合规

LogicManager 包含的工具可让团队了解监控以向高管报告，例如仪表板和带有热图和风险控制矩阵的报告。负责风险和合规活动的员工会收到自动化任务和警报。

关键区别

• 为每家使用 LogicManager 的公司配备专门的风险管理顾问
• 一键合规
• 仪表板和报告的热图和风险控制矩阵
• 为员工提供自动警报和任务

公制流

MetricStream 是面向企业的综合风险管理解决方案，提供六大风险相关模块，包括第三方管理、IT 和网络安全、审计和财务控制。 

MetricStream 为采用 ESG 方法进行风险管理的企业提供环境、社会和治理模块。这包括管理 ESG 框架的要求，例如全球报告倡议组织 (GRI) 以实现组织可持续性和运行供应商评估。 

关键区别

• 最适合那些将 ESG 方法用于 GRC 的企业
• 第三方管理
• IT 和网络合规解决方案
• SOX 合规性解决方案

赛360

SAI360是一款基于云端的企业GRC解决方案。它提供合规性学习内容、预加载框架和控制库。SAI360 有一个 FastTrack GRC 选项对于希望尽快启动其综合风险管理计划的公司，提供开箱即用的模板和更快的最终用户培训。 

SAI360 提供可配置的仪表板以及开箱即用的仪表板。企业可以创建和修改流程以自动化其审计和合规性任务。企业还可以查看其内部审计的仪表板，其中包括跟踪审计状态和满意审计百分比的图表。 

关键区别

• 过程建模
• 可定制和开箱即用的仪表板 
• 框架包括用于与其他系统集成的 API 
• 用于直接进入风险管理部署的 FastTrack 选项

SAP GRC 

SAP Governance, Risk, & Compliance 有 10 个模块，包括流程控制、审计管理和业务完整性筛选。商业诚信筛查模块提供交易数据的实时扫描，让用户更容易发现欺诈行为。SAP 的 Watch List Screening 模块允许企业为第三方合作伙伴筛选具有标志或法律授权的个人或公司。

SAP 还拥有网络安全、数据保护和隐私模块，其中包括内置的安全信息和事件管理(SIEM) 解决方案以及威胁检测。用户可以分析日志数据的异常和可能的威胁。SAP 的身份和访问治理模块包括企业访问控制和单点登录，以提高安全性。

关键区别

• 适用于本地或云环境的 SIEM 工具
• 金融交易数据实时扫描
• 第三方供应商和业务合作伙伴筛选
• 国际商务贸易服务模块

ServiceNow GRC

ServiceNow Governance, Risk, and Compliance 是一种企业工具，它从漏洞扫描程序收集数据、确定漏洞的优先级并显示哪些团队成员是负责处理风险。ServiceNow GRC 告诉企业漏洞的风险是否在他们预定的可接受范围内，或者其估计成本是否不可接受。

运营弹性管理功能显示高风险、失败的控制和服务中断；用户可以将其与 ServiceNow 的业务连续性和供应商风险管理模块集成。在运营弹性仪表板中，系统管理员可以查看有关服务详细信息、技术、设施、人员或供应商的数据，具体取决于他们在组织中的角色。

关键区别

• 运营弹性管理
• 响应迅速的支持团队
• 供应商风险管理
• 业务连续性管理
• 隐私风险与合规管理

标准融合

StandardFusion 是一个 GRC 和集成风险管理平台，主要为 Infosec 团队设计。其审计管理解决方案包括内部和外部审计选项，其合规管理涵盖超过六大监管标准：

• 国际标准化组织 (ISO)
• 服务组织控制 (SOC) 2 
• 美国国家标准与技术研究院 (NIST)
• 健康保险流通与责任法案 (HIPAA)
• 通用数据保护条例 (GDPR)
• 支付卡行业数据安全标准 (PCI-DSS)

StandardFusion 提供信息安全问卷，无论是定制的还是开箱即用的模板，客户可以将其提供给他们的供应商和其他第三方。供应商模块还包括集中式联系人管理和供应商识别，以跟踪影响企业的所有第三方。

关键区别

• 大量法规的合规管理
• 内外部审计管理
• 供应商和第三方风险评估和问卷 
• 每个风险和资产的详细数据

如何选择 GRC 工具

如果您的企业正在购买 GRC 解决方案，请考虑以下问题：

您的业​​务应关注风险和合规的哪些组成部分？

如果您主要关注 GRC 领域中的一项功能，请寻找擅长其中的软件：例如，审计、法规遵从性或安全性。确保执行团队成员也参与该重点领域。 

该工具的可定制性是否适合您的团队规模？ 

一些 GRC 软件是为大型企业设计的，它的可配置性很强，这对于有带宽定制它的团队来说是一个优势。但较小的团队，尤其是那些没有专门的风险管理或 IT 实施团队的团队，可能需要更多开箱即用的功能。

供应商在部署过程中的参与程度如何？

 一些供应商指派专门的分析师或技术团队来帮助公司启动平台。如果您认为在实施方面需要很多帮助，那么您将需要选择一个与企业合作一段时间的提供商，因为他们需要时间来部署和学习 GRC 平台。