Nejlepší dodavatelé enterprise risk managementu (ERM) zahrnují RSA, MetricStream a ServiceNow. Každý z nich nabízí software pro sledování rizik ve velkém podniku. Hlavní rozdíl spočívá v tom, jak každý produkt propojuje práci s riziky s kontrolami, audity, souladem, bezpečností a každodenními operacemi.
Prvním bodem, který je třeba vyjasnit, je slovo „nejlepší“. Neznamená to, že jeden dodavatel vyhovuje každé společnosti. Software pro řízení podnikových rizik funguje nejlépe, když jeho data odpovídají způsobu, jakým je podnik veden. Silný produkt, který neodpovídá potřebám firmy, může stále vytvářet další práci.
Tři hlavní možnosti výběru dodavatele
RSA Archer je dlouholetým jménem v softwaru pro správu, rizika a soulad (GRC). Jeho nástroje jsou známé strukturovanými procesy řízení rizik a kontrol. Podporují činnosti, jako jsou hodnocení rizik, práce na politice, auditní úkoly a sledování problémů.
MetricStream se zaměřuje na podniková a provozní rizika. Jeho platforma pomáhá týmům identifikovat, hodnotit, monitorovat a reagovat na rizika napříč jednotlivými obchodními jednotkami. Pokrývá také související oblasti, jako je soulad, audit, kybernetická rizika a odolnost.
ServiceNow nabízí integrované řízení rizik, často označované jako IRM. Jeho přístup propojuje práci s riziky a souladem s IT, kybernetickou bezpečností a obchodními operacemi. Platforma dokáže propojit rizika s kontrolami, službami, úkoly a pracemi na nápravě.
Tato tři jména se objevují často, protože řeší širokou potřebu podniků. Nejedná se o jednoduché tabulky s dalšími obrazovkami. Jde o systémy pro správu sdílených záznamů, kroků kontroly, schvalování, důkazů, upozornění a reportů.
Rizikový záznam může popisovat problém s dodavatelem, slabiny v zabezpečení, selhání kontroly nebo změnu zákona. Systém poté může tento záznam propojit s vlastníkem, obchodním procesem, kontrolou a plánovanou akcí. Tato sdílená struktura pomáhá týmům pracovat se stejnými fakty.
Tato struktura má význam pro představenstvo. Rizikový report je užitečný pouze tehdy, když lze jeho detaily dohledat až k reálné práci. Vedoucí pracovníci mohou potřebovat vědět, která obchodní jednotka nese odpovědnost za riziko, která kontrola jej řeší, kdy bylo naposledy přezkoumáno a jaká akce je stále otevřená.
MetricStream klade silný důraz na rizikové programy a společné metody. Jeho produkty podporují hodnocení rizik, profily rizik, knihovny rizik a monitorování napříč několika typy rizik. To může vyhovovat organizacím, které potřebují centrální model rizik napříč mnoha funkcemi.
ServiceNow klade silný důraz na propojené pracovní postupy. Jeho nástroje IRM propojují práci s riziky a souladem s širší platformou ServiceNow. V podnikě, který již používá tuto platformu pro IT a servisní procesy, může toto propojení snížit vzdálenost mezi nalezením problému a přidělením práce.
RSA Archer je často vnímán skrz prizmati formálních GRC programů. Jeho hodnota spočívá ve strukturovaných záznamech a opakovatelných procesech pro rizika, soulad, audit a kontroly. Tento model může podpořit podniky s vyspělými potřebami governance a mnoha požadavky na revize.
Nicméně popisky produktů mohou skrývat velké rozdíly. „ERM“ může odkazovat na strategická rizika, provozní rizika, finanční rizika, rizika třetích stran, kybernetická rizika nebo na všechna tato rizika najednou. Dodavatelé mohou tyto funkce seskupovat různými způsoby. Nákupce porovnávající pouze názvy produktů může minout skutečné návrhy systémů.
Skutečným testem je model rizika
Nejužitečnější otázkou není, který dodavatel má nejdelší seznam funkcí. Otázkou je, jak software reprezentuje rizika uvnitř podniku.
Model rizika stanovuje základní pravidla. Definuje obchodní jednotky, procesy, aktiva, kontroly, vlastníky, hodnocení a data revizí. Také určuje, jak se rizika pohybují od identifikace přes hodnocení, léčbu a monitorování až po reporting.
Například kybernetické riziko může ovlivnit klíčovou službu. Tato služba může záviset na procesu, systému a poskytovateli třetí strany. Užitečný systém ERM dokáže ukázat tyto vazby. Dokáže také ukázat kontrolu, která riziko řeší, a vlastníka akce, pokud kontrola selže.
Zde hraje roli architektura podniku. Software ERM musí být propojen s identity systémy, nástroji pro služby, záznamy o auditech, bezpečnostními nástroji a datovými zdroji. Potřebuje také jasná pravidla pro vlastnictví dat. Bez těchto pravidel mohou týmy vytvářet duplicitní záznamy nebo se neshodnout na tom, která hodnota je správná.
Důležitý je také design pracovních toků. Systém může podporovat automatické připomínky a kroky schvalování. Automatice však nevyřeší nejasné vlastnictví. Pokud žádný tým nenese odpovědnost za riziko, rychlejší pracovní tok pouze rychleji posune problém dál.
Stejná obava platí i pro umělou inteligenci. Dodavatelé nyní popisují funkce AI pro shrnutí, analýzu rizik, revize kontrol a doporučení. Tyto funkce mohou snížit čas potřebný ke čtení nebo pomoci uživatelům třídit velké množství záznamů. Neodstraňují však potřebu kvalitních dat, lidského přezkumu a jasných pravidel pro schvalování.
Tohle je limit, který stojí za to uvést zcela jasně: tvrzení dodavatelů nezaručují výsledek pro každou organizaci. Platforma může nabízet silné funkce, ale hodnota závisí na kvalitě dat, propojení systémů, designu procesů, přijetí uživateli a governance. Veřejné informace o produktech nemohou ukázat, jak dobře bude dané nastavení fungovat v konkrétním podniku.
Praktický způsob jejich srovnání
Srovnání se stává jasnějším, když hodnocení následuje reálnou práci.
Zaprvé potřebuje podnik sdílený pohled na rizika. To zahrnuje typy rizik, která mají význam, lidi, kteří za ně nesou odpovědnost, a důkazy potřebné pro revizi.
Zadruhé potřebuje podnik vidět, jak každá platforma zachází s kontrolami. Kontrola je ověření nebo akce, která pomáhá snížit riziko. Systém by měl zobrazit vlastníka kontroly, stav testu, související důkazy a otevřené problémy.
Dalším bodem je integrace. ServiceNow může mít přirozenou shodu tam, kde IT a servisní pracovní postupy již běžně běží na této platformě. MetricStream může vyhovovat týmům hledajícím širokou strukturu rizik a GRC. RSA Archer může vyhovovat formálním programům, které potřebují detailní záznamy a opakovatelné procesy governance.
Jedná se o obecné vzorce, nikoliv o pevná pořadí. Edice produktů, integrace, ceny a strategie dodavatelů se v čase mění. Tržní žebříčky také využívají různé metody. Některé měří hloubku produktu. Jiné měří tržní přítomnost, názory zákazníků nebo širší platformu dodavatele.
Ústřední poučka je jednoduchá. Software ERM je systémem záznamů pro rizika, ale je také systémem pro práci. Jeho kvalita závisí na tom, zda mohou být informace o rizicích převedeny do jasných akcí.
Názor inženýrů EuroOp je takový, že nejsilnějším podnikovým vzorcem je propojený model rizik s jasným vlastnictvím. RSA Archer, MetricStream a ServiceNow všechny řeší tuto potřebu různými způsoby. Správné srovnávání začíná strukturou rizik podniku, propojením dat a procesem revizí.
To je praktické ponaučení za EuroOp Insights: jeden aplikovaný vzorec R&D a jedna užitečná lekce z pipeline za produkty EuroOp. U podnikových systémů mají sdílená data a jasné vlastnictví často stejný význam jako značka softwaru.