Wat is GRC? Governance, risk en compliance uitgelegd

GRC staat voor governance, risk en compliance. Het is de aanpak waarin u besturing, risicomanagement en het aantoonbaar voldoen aan regels samen organiseert. U behandelt ze dan niet als drie losse trajecten, maar als één samenhangend geheel.

Dat scheelt vooral werk als u met meerdere kaders tegelijk te maken heeft. Denk aan een zorgorganisatie met NEN 7510, de AVG en de Cyberbeveiligingswet. Of aan een softwarebedrijf met ISO 27001 en klanten die elk hun eigen vragenlijst sturen.

In dit artikel leest u wat de drie onderdelen inhouden en wie wat doet. Daarna gaan we in op governance risk and compliance tools: wat ze oplossen, wanneer een spreadsheet volstaat en hoe u kiest.

Wat GRC betekent: drie onderdelen, één aanpak

De drie onderdelen bestaan ook los van elkaar. De waarde van GRC zit in de verbinding ertussen.

• Governance. Hoe u stuurt: wie waarvoor verantwoordelijk is, welk beleid geldt en hoe de directie zicht houdt op de uitvoering.
• Risk. Hoe u risico’s in kaart brengt, beoordeelt en behandelt. Welke risico’s verkleint u, welke aanvaardt u bewust, en wie besluit daarover?
• Compliance. Hoe u aantoont dat u voldoet aan wat er van u gevraagd wordt: wetten, normen, contracten en uw eigen beleid.

Een voorbeeld maakt het concreet. Stel dat de directie besluit dat het klantportaal hooguit een werkdag onbereikbaar mag zijn: een governancebesluit. Daarmee wordt uitval van het portaal een zwaar risico, waartegen u maatregelen neemt. Die maatregelen, zoals geteste back-ups en een uitwijkplan, tellen vervolgens mee voor ISO 27001, de zorgplicht en de vragenlijst van uw grootste klant. Zo raakt één besluit alle drie de onderdelen.

Waarom governance, risk en compliance samen horen

Zonder samenhang ontstaat vaak hetzelfde patroon. Het risicoregister ligt bij IT, de compliancechecklist bij de kwaliteitsmanager en de besluiten staan in de notulen van de directie. Niemand overziet het geheel.

Het gevolg is dubbel werk. Veilige inlogmethoden zoals meerfactorauthenticatie komen terug in ISO 27001 en NEN 7510. Ook de zorgplicht uit de Cyberbeveiligingswet en de vragenlijst van uw klant vragen ernaar. Zonder GRC beantwoordt u die vier vragen los van elkaar, met vier keer ander bewijs.

Met één normenkader richt u de maatregel één keer in, legt u het bewijs één keer vast en verwijst u er per kader naar. Dat scheelt tijd bij elke audit en elke klantvraag. U ziet ook welke maatregelen het meeste dekken, en dus waar uw budget het meeste oplevert.

Ook de wet duwt in die richting. Het Cyberbeveiligingsbesluit geldt voor organisaties onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2. Het vraagt hen om rollen, verantwoordelijkheden en bevoegdheden vast te leggen en een managementsystematiek te hanteren. Dat is GRC in wettelijke taal.

Wie wat doet binnen GRC

GRC is geen afdeling, maar een verdeling van rollen. In een middelgrote organisatie kan dat er zo uitzien.

• Directie. Stelt de koers en de risicobereidheid vast en keurt de maatregelen goed. Onder de Cyberbeveiligingswet is dat uitdrukkelijk een taak van het bestuur.
• CISO of security officer. Vertaalt besluiten naar beleid en maatregelen en rapporteert over de voortgang. Zie de rol van de CISO.
• Risico-eigenaren. Managers die verantwoordelijk zijn voor een proces of systeem, en daarmee ook voor de risico’s ervan.
• Compliance- of privacy officer. Houdt bij welke eisen gelden en of het bewijs op orde is.
• Interne audit. Toetst onafhankelijk of het systeem werkt. In kleinere organisaties doet een externe auditor dat.

Grotere organisaties spreken van drie lijnen: de lijn die risico’s draagt, de functies die adviseren en bewaken, en een onafhankelijke toetsing. In het MKB+ liggen die rollen vaak bij een paar mensen. Dat werkt prima, zolang niemand zijn eigen werk beoordeelt.

Let wel op het verschil tussen uitvoeren en verantwoorden. De CISO kan het risicoregister bijhouden, maar het aanvaarden van een risico hoort bij wie de gevolgen draagt. Meer over die bestuurlijke kant leest u in bestuurdersaansprakelijkheid onder de CBW.

Wat GRC-tools doen

Governance risk and compliance tools, kortweg GRC-tools, zijn softwarepakketten die deze samenhang voor u bijhouden. Bij vrijwel elk pakket bestaat de kern uit dezelfde onderdelen, die allemaal aan elkaar hangen.

• Normenkader. Alle eisen uit de kaders die voor u gelden, gekoppeld aan uw eigen maatregelen. Denk aan ISO 27001, NEN 7510 of het NIST Cybersecurity Framework.
• Risicoregister. Uw risico’s met kans, impact, eigenaar en behandeling. De methode daarachter staat in ISO 27005.
• Maatregelen en taken. Wie doet wat, wanneer moet het af en wat staat er nog open.
• Bewijs. Documenten, exports en logboeken, gekoppeld aan de maatregel waar ze bij horen.
• Audits en bevindingen. De planning van interne audits, de afwijkingen en hun opvolging.
• Rapportage. Een overzicht voor de directie, per kader en per risico.

Veel pakketten hebben daarnaast modules voor leveranciersbeoordelingen, incidenten, beleidsbeheer en privacy, zoals een verwerkingsregister.

Wat een tool niet doet, is de inhoudelijke keuzes maken. Welke risico’s u ziet en welke u aanvaardt, blijft mensenwerk.

Wanneer een spreadsheet volstaat

Niet elke organisatie heeft een GRC-tool nodig. Werkt u met één kader, een overzichtelijke scope en een klein team, dan volstaat een goed opgezette spreadsheet met een vaste documentenmap. Dat is goedkoper, snel aan te passen en iedereen kan ermee werken.

De grens komt in zicht als u deze signalen herkent:

• U werkt met meerdere kaders en verliest het overzicht over welke maatregel waarvoor telt.
• Meerdere afdelingen leveren bewijs aan, en u bent bij elke audit dagen kwijt aan verzamelen.
• Herbeoordelingen en taken verlopen ongemerkt, omdat niemand een seintje krijgt.
• De directie wil een actueel overzicht, en dat kost elke keer handwerk.

Speelt meer dan een van deze signalen, dan is een tool het overwegen waard. Werkt u alleen met ISO 27001, dan is de vraag eerder of u ISMS-software nodig heeft. Die afweging staat in ISMS-software.

Waar u op let bij het kiezen van een GRC-tool

Kijk verder dan de demo. Deze punten bepalen of een pakket na een jaar nog bevalt.

• Uw kaders erin. Ondersteunt het pakket de actuele versies van de normen die voor u gelden? En wie werkt de inhoud bij als een norm of wet verandert?
• Koppelingen tussen kaders. Kunt u één maatregel aan meerdere eisen hangen? Dat is precies de reden om voor een GRC-tool te kiezen.
• Gebruiksgemak voor eigenaren. Risico-eigenaren moeten er zonder lange training mee kunnen werken. Een tool die alleen de specialist begrijpt, loopt leeg.
• Uw gegevens eruit. Vraag hoe u alles exporteert als u ooit overstapt. U wilt dan niet opnieuw beginnen.
• Waar uw gegevens staan. U zet er uw risico’s en zwakke plekken in. Beoordeel de leverancier daarom net zo streng als andere leveranciers met toegang tot gevoelige informatie.
• Het licentiemodel. Betaalt u per gebruiker, per module of per kader? Dat bepaalt wat het kost als u groeit.

Test een pakket met uw eigen gegevens in plaats van met de demo-omgeving. Neem tien risico’s en vijf maatregelen uit uw register en kijk hoe het werken ermee voelt.

Veelgemaakte fouten met GRC

Vier valkuilen zijn goed te vermijden als u ze vooraf kent.

• Eerst de tool, dan de werkwijze. Dan richt u uw proces in naar wat het pakket kan, in plaats van andersom.
• Alles aan alles koppelen. Een web van verwijzingen dat niemand meer begrijpt, helpt u niet verder. Koppel alleen wat echt samenhangt.
• Een register zonder besluiten. Een risicoregister dat nooit in de directie op tafel ligt, is een lijst en geen risicomanagement.
• Compliance als papierwerk. Een ingevuld sjabloon dat niet klopt met de praktijk, valt bij de eerste audit door de mand.

De rode draad: GRC is een manier van werken. Software ondersteunt die manier, maar vervangt haar niet.

Zo begint u met GRC

Begin klein en bouw uit. Deze volgorde werkt, ook zonder tool.

Breng eerst in kaart welke kaders voor u gelden: wetten, normen en eisen van klanten. Ons overzicht van informatiebeveiliging helpt daarbij. Voeg ze daarna samen tot één normenkader, met per eis een verwijzing naar uw eigen maatregel.

Voer dan de risicoanalyse uit die uw prioriteiten bepaalt, zie de risicoanalyse informatiebeveiliging. Wijs per risico en per maatregel een eigenaar aan, en bespreek de stand elk kwartaal in de directie.

Veelgestelde vragen over GRC

Wat betekent GRC?

GRC staat voor governance, risk en compliance. Het is de samenhangende aanpak van besturing, risicomanagement en het aantoonbaar voldoen aan wetten, normen en contracten. Het doel is dat u maatregelen één keer inricht en voor elk kader kunt laten zien.

Wat is het verschil tussen GRC en een ISMS?

Een ISMS is een managementsysteem voor informatiebeveiliging, zoals ISO 27001 dat beschrijft. GRC is breder: het omvat ook andere risico’s en kaders, zoals privacy, continuïteit en contractuele eisen. Een werkend ISMS is vaak de kern van een GRC-aanpak.

Heb ik een GRC-tool nodig voor ISO 27001?

Nee. De norm stelt geen eisen aan de vorm waarin u uw systeem bijhoudt. Bij één kader en een overzichtelijke scope volstaan documenten en een spreadsheet. Een tool wordt interessant als er meer kaders of meer bewijsleveranciers bij komen.

Hoe lang duurt het om een GRC-tool in te richten?

Dat hangt vooral af van wat er al ligt. Heeft u een actueel normenkader en risicoregister, dan is het grotendeels overzetten. Begint u bij nul, dan zit het meeste werk in de inhoud en niet in de software.

Wie is eigenaar van GRC in een organisatie?

De directie is eindverantwoordelijk, want zij stelt de koers en de risicobereidheid vast. Het dagelijkse beheer ligt meestal bij een CISO, security officer of compliance officer. Daarnaast heeft elk risico en elke maatregel een eigen eigenaar in de lijn.