A legfontosabb ERM (vállalati kockázatkezelési) szolgáltatók közé tartozik az RSA, a MetricStream és a ServiceNow. Mindegyikük olyan szoftvert kínál, amely segít nyomon követni a kockázatokat egy nagyvállalat szintjén. A fő különbség abban rejlik, hogy minden termék hogyan kapcsolja össze a kockázati munkát az irányítóelemekkel, auditokkal, megfeleléssel, biztonsággal és a mindennapi műveletekkel.
Az első tisztázandó pont a „legjobb” szó jelentése. Ez nem azt jelenti, hogy egyetlen szolgáltató is megfelel minden cégnek. A vállalati kockázatkezelő szoftverek akkor működnek a legjobban, ha az adataik illeszkednek ahhoz a módhoz, ahogy a vállalkozás működik. Egy erős termék rossz illeszkedése esetén is extra munkát generálhat.
Három nagy szolgáltatói választási lehetőség
Az RSA Archer évek óta jelen van a kormányzási, kockázatkezelési és megfelelési (GRC) szoftverpiacon. Eszközeiket a strukturált kockázati és irányítóelemei folyamatok miatt ismerik el. Támogatják tevékenységeket, mint például a kockázati értékeléseket, szabályzatok készítését, auditfeladatokat és problémák nyomon követését.
A MetricStream a vállalati és operatív kockázatra fókuszál. Platformja segít a csapatoknak azonosítani, felmérni, monitorozni és reagálni a kockázatokra a vállalat egységein keresztül. Emellett lefedi a kapcsolódó területeket, mint például a megfelelést, az auditot, a kibernetikai kockázatot és a rugalmasságot.
A ServiceNow Integrált Kockázatkezelést (IRM) kínál. Megközelítése összeköti a kockázati és megfelelési munkát az IT-val, a kibernetikai biztonsággal és az üzleti műveletekkel. A platform képes a kockázatokat összekapcsolni az irányítóelemekkel, szolgáltatásokkal, feladatokkal és javítási munkákkal.
Ez a három név gyakran felbukkan, mert széles vállalati igényeket céloznak meg. Nem egyszerű táblázatok plusz képernyőkkel. Ezek rendszerek a közös adatok, ellenőrzési lépések, jóváhagyások, bizonyítékok, riasztások és jelentések kezelésére.
Egy kockázati bejegyzés leírhat egy beszállítói problémát, egy biztonsági gyengeséget, egy sikertelen irányítóelemet vagy egy jogszabály-változást. A rendszer ezután összekötheti ezt a bejegyzést egy tulajdonossal, egy üzleti folyamattal, egy irányítóelemmel és egy tervezett intézkedéssel. Ez a közös struktúra segít a csapatoknak ugyanazokon az tényeken alapulva dolgozni.
Ez a struktúra fontos a felsővezetők számára. Egy kockázati jelentés csak akkor hasznos, ha a részletei visszavezethetők a valós munkára. A vezetőknek tudniuk kell, melyik üzleti egység tulajdonosa egy kockázatnak, melyik irányítóelem kezeli azt, mikor volt utoljára felülvizsgálva, és milyen intézkedés még nyitott.
A MetricStream erős hangsúlyt fektet a kockázati programokra és a közös módszerekre. Termékei támogatják a kockázati értékeléseket, kockázati profilokat, kockázati könyvtárakat és a monitorozást többféle kockázati típus esetén. Ez megfelelő lehet azoknak a szervezeteknek, amelyeknek központi kockázati modellre van szükségük számos funkció között.
A ServiceNow erős hangsúlyt fektet az összekapcsolt munkafolyamatokra. IRM eszközei összekötik a kockázati és megfelelési munkát a szélesebb ServiceNow platformmal. Abban a vállalatban, amely már használja ezt a platformot IT- és szolgáltatási folyamatokhoz, ez a kapcsolat csökkentheti a távolságot a probléma megtalálása és a munka kiosztása között.
Az RSA Archer-t gyakran a formális GRC programok szemszögéből vizsgálják. Értéke a strukturált adatokban és a ismételhető folyamatokban rejlik a kockázatok, megfelelés, audit és irányítóelemek esetében. Ez a modell támogathatja az érett kormányzási igényekkel és sok ellenőrzési követelménnyel rendelkező vállalkozásokat.
Ugyanakkor a termékcímkék elrejthetik a nagy különbségeket. Az „ERM” utalhat stratégiai kockázatra, operatív kockázatra, pénzügyi kockázatra, harmadik féllel szembeni kockázatra, kibernetikai kockázatra vagy ezek mindegyikére. A szolgáltatók eltérő módon csoportosíthatják ezeket a funkciókat. Egy vásárló, aki csak a terméknévmel hasonlít, könnyen kihagyhatja a tényleges kialakítást.
A valódi próba a kockázati modell
A legfontosabb kérdés nem az, hogy melyik szolgáltató rendelkezik a leghosszabb funkciólistával. Hanem az, hogy a szoftver hogyan reprezentálja a kockázatot a vállalat belsejében.
Egy kockázati modell meghatározza az alapvető szabályokat. Nevezi meg az üzleti egységeket, folyamatokat, eszközöket, irányítóelemeket, tulajdonosokat, besorolásokat és felülvizsgálati dátumokat. Ugyanígy meghatározza, hogyan mozognak a kockázatok az azonosítástól az értékelésen, kezelésen, monitorozáson és jelentésen át.
Például egy kibernetikai kockázat érinthet egy kulcsszolgáltatást. Ez a szolgáltatás függhet egy folyamattól, egy rendszertől és egy harmadik fél szolgáltatójától. Egy hasznos ERM rendszer bemutathatja ezeket a kapcsolatokat. Bemutathatja azt az irányítóelemet is, amely kezeli a kockázatot, és a tulajdonost, amikor az irányítóelem meghibásodik.
Itt válik fontossá a vállalati architektúra. Az ERM szoftvernek csatlakoznia kell az identitásrendszerekhez, szolgáltatási eszközökhöz, auditnaplókhoz, biztonsági eszközökhöz és adatforrásokhoz. Szüksége van továbbá egyértelmű szabályokra az adatok tulajdonlásáról. Ezek nélkül a csapatok létrehozhatnak duplikált bejegyzéseket, vagy vitatkozhatnak arról, melyik érték a helyes.
A munkafolyamat-kialakítás is számít. Egy rendszer támogathat automatikus emlékeztetőket és jóváhagyási lépéseket. Az automatizálás azonban nem oldja meg a bizonytalan tulajdonlást. Ha nincs csapat, amely tulajdonosa egy kockázatnak, a gyorsabb munkafolyamat csak gyorsabban mozgassa a problémát.
Ugyanez a aggály vonatkozik a mesterséges intelligenciára is. A szolgáltatók ma már AI funkciókat írnak le összefoglalókhoz, kockázati betekintésekhez, irányítóelem-ellenőrzésekhez és ajánlásokhoz. Ilyen funkciók csökkenthetik az olvasási időt vagy segíthetik a felhasználókat nagy mennyiségű adat rendezésében. Nem szüntetik meg a megalapozott adatok, emberi felülvizsgálat és egyértelmű jóváhagyási szabályok szükségességét.
Ez a határ érdemes arra, hogy őszintén kimondjuk: a szolgáltatók állításai nem igazolnak eredményt minden szervezetre. Egy platform erősen funkciókkal rendelkezhet, de az érték az adatminőségtől, rendszerkapcsolatoktól, folyamattervezéstől, felhasználói elfogadottságtól és kormányzástól függ. A nyilvános termékinformációk nem mutatják meg, hogy egy adott konfiguráció mennyire jól működik egy konkrét vállalatnál.
Gyakorlati módszer a összehasonlításra
Az összehasonlítás akkor válik világossá, ha az értékelés a valós munkát követi.
Először a vállalatnak meg kell osztania a kockázatok áttekintését. Ez magában foglalja a releváns kockázati típusokat, az őket tulajdonló embereket és a felülvizsgálathoz szükséges bizonyítékokat.
Másodszor, a vállalatnak látnia kell, hogy minden platform hogyan kezeli az irányítóelemeket. Egy irányítóelem egy ellenőrzés vagy intézkedés, amely segít csökkenteni egy kockázatot. A rendszernek meg kell jelenítenie az irányítóelem tulajdonosát, a teszt státuszát, a kapcsolódó bizonyítékokat és a nyitott problémákat.
A következő pont az integráció. A ServiceNow természetesen illeszkedhet oda, ahol az IT- és szolgáltatási munkafolyamatok már a platformon futnak. A MetricStream illeszkedhet azoknak a csapatoknak, akik széles kockázati és GRC szerkezetet keresnek. Az RSA Archer illeszkedhet formális programokhoz, amelyek részletes adatokra és ismételhető kormányzási folyamatokra van szükségük.
Ezek általános minták, nem rögzített rangsorok. A termékkiadások, integrációk, árak és szolgáltatói stratégiák idővel változnak. A piaci listák is különböző módszereket használnak. Némelyik a termék mélységét méri. Mások a piaci jelenlétet, ügyfélnézeteket vagy egy szolgáltató szélesebb platformját mérik.
A központi tanulság egyszerű. Az ERM szoftver egy kockázati adatrendszer, de egyben egy munkarendszer is. Minősége attól függ, hogy a kockázati információk átalakíthatók-e egyértelmű cselekvéssé.
Az EuroOp mérnöki nézőpontja szerint a legerősebb vállalati minta egy összekapcsolt kockázati modell egyértelmű tulajdonlással. Az RSA Archer, a MetricStream és a ServiceNow mind különböző módokon addresszálják ezt az igényt. A helyes összehasonlítás a vállalat kockázati struktúrájával, adatkapcsolataival és ellenőrzési folyamatával kezdődik.
Ez a gyakorlati tanulság az EuroOp Insights mögött: egy alkalmazott R&D minta és egy hasznos tanulság az EuroOp termékei mögötti pipeline-ból. Vállalati rendszerekben a megosztott adatok és az egyértelmű tulajdonlás gyakran ugyanolyan fontosak, mint a szoftver márkája.