Форма обратной связи
Свяжитесь с нами
ТАКОВ ПУТЬ GRC
ТАКОВ ПУТЬ GRC
Во втором квартале 2023 года команда ТеДо выпустила исследование «Созвездие GRC», представив российский рынок систем для автоматизации процессов управления рисками и внутреннего контроля с оценкой текущего уровня зрелости, возможностей и перспектив развития.
При подготовке нового выпуска серии исследований «Созвездие GRC» мы совместно с нашими клиентами проанализировали опыт внедрения GRC решений и выделили векторы развития систем. На основании обратной связи от наших клиентов мы сформулировали тренды российского рынка, а также подтвердили ключевую глобальную тенденцию когнитивизации GRC процессов. Детально изучив сценарии применения искусственного интеллекта и машинного обучения в GRC системах, мы расширили перечень критериев для оценки. Тренд быстро нашел отклик среди участников исследования, и за время подготовки отчета ряд вендоров адаптировали когнитивные технологии в своих решениях. Кроме того, мы отметили рост рынка и представляем новых звезд на графике «Созвездие».
Цель исследования остается неизменной — сделать этот обзор отправной точкой для компаний при выборе GRC-решения и ориентиром для разработчиков.
Структурированные данные по реализации требований в GRC системах лежат в основе оперативного подбора решения с помощью инструмента скоринга, который позволяет индивидуально ранжировать требования и определять наиболее подходящую систему.
С момента первого выпуска «Созвездие GRC» стало инструментом для поддержки компаний при выборе систем на основе нашей методологии и уже позволило нескольким компаниям определиться с продуктом для внедрения.
Период проведения обзора
Рассмотренных GRC-систем
Функциональных разделов оценки
Критериев анализа
ОЖИДАНИЯ КЛИЕНТОВ ОПРЕДЕЛЯЮТ ВЕКТОР РАЗВИТИЯ GRC СИСТЕМ
ОЖИДАНИЯ КЛИЕНТОВ ОПРЕДЕЛЯЮТ ВЕКТОР РАЗВИТИЯ GRC СИСТЕМ
Проактивный мониторинг рисков с помощью алгоритмов КИР (ключевых индикаторов риска) позволит реагировать на угрозы в режиме реального времени и учитывать уровень рисков в процессе принятия решений.
Нормативные изменения и высокая стоимость несоблюдения регуляторных требований усиливают потребность компаний в развитии эффективных механизмов внутреннего контроля. Так, внедрение превентивных контролей позволит предотвратить возникновение ущерба через разграничение доступа, проверки полномочий и автоматизированные аудиты процессов. Другой инструмент — блокирующие контроли, — останавливают выполнение подозрительных операций до выяснения ситуации специалистом.
Переход к централизованному управлению рисками является одним из трендов развития GRC — для этого необходимо определить взаимосвязь и взаимное влияние рисков на разных уровнях и в разных процессах. Например, в модели интегрированного управления SoD-риски связываются с бизнес-рисками в качестве факторов (причин) рисков.
В условиях развития вычислительных мощностей и технологий ИИ компании стремятся к переходу на количественные методы оценки рисков с использованием инструментов математического и компьютерного моделирования. Особенно это актуально для проектных рисков и финансовых рисков. Наличие в системах GRC возможностей для количественной оценки рисков и ее автоматизации позволит точнее прогнозировать потенциальные убытки и последствия рисковых событий.
ЧТО СКРЫВАЕТ ЗА СОБОЙ СОЗВЕЗДИЕ GRC?
ЧТО СКРЫВАЕТ ЗА СОБОЙ СОЗВЕЗДИЕ GRC?
Созвездие GRC — это скопление только зарождающихся и уже ярко сияющих звезд на российском рынке GRC-систем.
В новом выпуске нам предстоит открыть ранее неизведанные звезды и глубже изучить участников прошлого исследования.
В дополнение к Созвездию GRC мы распределили соответствие критериям отдельно в разрезе направлений по управлению рисками (СУР) и внутреннему контролю (СВК).
Также отметим, что соответствие или несоответствие критерию не является признаком качества системы или оптимальности конкретного функционала. При выборе решения для собственного ландшафта компании должны давать взвешенную оценку конкретным функциональным, инфраструктурным и процессным требованиям.
АВАКОР — платформенное решение для поддержки деятельности подразделений внутреннего аудита, внутреннего контроля (включая комплаенс-контроль) и управления рисками.
В системе представлены следующие функциональные модули:
- Управление рисками
- Внутренний аудит
- Внутренний контроль
- Комплаенс-контроль
- В АВАКОР также доступны дополнительные модули: Аудиты СМК, управление операционными рисками (716-П), СВКиУР, Управление непрерывностью деятельности.
- В решении уже представлена единая база данных и знаний по внутреннему аудиту, внутреннему контролю, управлению рисками и комплаенсу.
- В системе представлен справочник типовых рисков и контрольных процедур по направлениям деятельности в различных отраслях.
- Функционал по аналитике данных включает в себя: поиск и корректировка аномалий и ошибочных операций, анализ системных событий учетных систем и анализ динамики показателей.
Количество успешных внедрений: 10+ внедрений
Клиенты:
- Банки и финансы
- Транспорт
- Добывающая промышленность
- Телекоммуникации
- Гос. сектор
ВекторПлюс — платформа для автоматизации функций внутреннего аудита, управления рисками, экономической безопасности, внутреннего контроля и комплаенс.
В системе представлены следующие функциональные модули:
- Внутренний аудит
- Управление рисками
- Внутренний контроль и экономическая безопасность
- Комплаенс
- В системе представлена собственная база типовых рисков и контролей.
- В ВекторПлюс доступны дополнительные модули: Антикоррупционное декларирование, Проверка кандидатов, Мониторинг контрагентов и клиентов, Проверка участников закупочных процедур.
- В системе представлен модуль Управления проверочной деятельностью, предназначенный для автоматизации управления и координацией процесса проверки и аудитом внутренних и внешних мероприятий в организации.
- Вендор в тестовом режиме начал использовать нейросеть YandexGPT для формирования перечня рисков, подбора риск-факторов и создания плана мероприятий.
- В системе реализована возможность ведения и обработки базы статистических данных.
Количество успешных внедрений: 4 внедрения
Клиенты:
Топливно-энергетический комплекс
КАИРИС — цифровая платформа, которая позволяет спроектировать стратегию компании и обеспечивает комплексный подход к управлению рисками, внутреннему контролю и аудиту, комплаенсу и управлению несоответствиями.
В системе представлены следующие функциональные модули:
- Управление внутренним контролем
- Управление рисками
- Управление внутренним аудитом
- Управление несоответствиями, инцидентами и нарушениями
- В КАИРИС доступны дополнительные модули: Управление стратегией компании, Управление процессами, Управление целями и показателями (KPI), Контроль выданных и полученных мероприятий, Менеджмент знаний, Управление замечаниями и рекламациями.
- В системе настроен функционал для управления рисками третьих сторон.
- На платформе реализован механизм полнотекстового поиска, предоставляющий возможность неструктурированного поиска по значениям атрибутов сущностей и по содержимому файлов.
Количество успешных внедрений: 3 внедрения
Клиенты:
- Банки и финансы
- Топливно-энергетический сектор
Quadrium ActiveGRC — программный продукт, предназначенный для управления рисками организации и основывающийся на модели трех линий защит.
В системе представлены следующие функциональные модули:
- Управление операционным риском
- Управление внутренним аудитом
- Управление внутренним контролем
- Управление конфликтом интересов
- Управление политиками
- Управление регуляторным риском
С полным перечнем модулей можно ознакомиться на сайте вендора.
- Также на платформе ожидается появление 2-ух новых модулей: Управление SoD-рисками, Управление IT-рисками.
- В системе настроен функционал для подключения к налоговому мониторингу (в рамках реализации требований 510-го приказа ФНС России) и для управления рисками третьих сторон.
- Реализовано более 10-ти стандартных коннекторов к популярным IT-системам: 1С ЗУП, 1С УХДБ, Контур-Фокус и др.
Количество успешных внедрений: 1 внедрение
Количество активных проектов внедрений: 4 проекта
Клиенты:
- Банки и финансы
- Металлургия
- Строительство
Lancelot ORM — система, предназначенная для автоматизации процесса сбора и управления событиями операционных рисков и подготовки управленческой и регламентированной отчетности в соответствии с регуляторными требованиями.
В системе представлены следующие функциональные модули:
- Управление рисками
- Управление внутренним аудитом
- Управление внутренним контролем
- Управление операционными рисками
С полным перечнем модулей можно ознакомиться на сайте вендора.
- В системе предусмотрен встроенный функционал по количественной оценке рисков.
- В решении представлен функционал с поддержкой методологии ФСТЭК для управления Моделями Угроз Безопасности Информации в части рисков ИБ.
- В Lancelot ORM настроен функционал с поддержкой отчетности в ФинЦЕРТ по рисками ИБ, по 787-П, по МР-18 ЦБ РФ с автоматизированной инвентаризацией ИТ активов.
- Решение способно помочь в выявлении уязвимостей и угроз безопасности информации в системах, работающих с персональными данными по 152-ФЗ и Критической Информационной Инфраструктурой.
- Вендор регулярно обновляет систему для соответствия требованиям Банка России.
По итогам проекта удалось повысить эффективность управления в указанных областях и снизить трудоемкость подготовки отчетности. Внедрение модуля Управления процессами позволило повысить эффективность управления на 30%.
ТАБ:GRC Учет рисковых событий — автоматизированная система, включающая в себя модуль учета рисковых событий, методологию управления рисками, внутренним контролем и операционной надежностью. Система разработана на платформе 1С.
В системе представлены следующие функциональные модули:
- Учет рисковых событий
- Управление внутренним контролем
- Управление внутренним аудитом
- В коробочное решение встроена методология для соответствия требованиям кредитных и финансовых организаций.
- Система обладает всеми стандартными преимуществами платформы 1С.
- В ТАБ:GRC доступны дополнительные модули: Модуль 744-П, URLI оценка кредитного риска, ProcessMining, Риски 718-П, Калькулятор 781-П, Модуль НДК и НКЛ.
- Наличие сертификатов ФСТЭК по 2-ому и 4-ому уровню доверия, без необходимости ресертификации при внесении изменений в алгоритмы системы.
- В системе предусмотрен встроенный функционал по количественной оценке рисков.
Количество успешных внедрений: 200+ внедрений
Клиенты:
- Банки и финансы
- Страхование
- Гос. сектор
- Топливно-энергетический сектор
- Строительство
- Производство
- Увеличение прибыли на 3−5%
- Сокращение трудозатрат на процессы корпоративного управления на 25%
- Ускорение получения управленческой отчетности на 65%
- Ускорение получения регламентированной отчетности на 40%
- Сокращение операционных и административных расходов на 5%
ОАЗИС — решение для комплексного управления рисками, проверочной деятельностью, управления процессами и контрольными процедурами, планирования мероприятий.
В системе представлены следующие функциональные модули:
- Управление операционными рисками
- Управление внутренним контролем
- Управление внутренним аудитом
- Управление рисками
- В ОАЗИС доступны дополнительные модули: Управление процессами обработки персональных данных, Управление ESG-рисками, Предотвращение конфликта интересов.
- В системе настроен функционал для управления рисками третьих сторон, ИТ и ИБ рисками, проектными и модельными рисками.
- Система изначально разрабатывалась под направление GRC 5.0, поэтому в решении уже используются технологии искусственного интеллекта.
- До конца 2024 года Иннотех планирует внедрить функционал по автоматическому мониторингу изменений нормативных актов и их сопоставления с политиками компании, функционал по автоматическому заполнению карточек рисков и мероприятий на основе собственной LLM-модели, функционал рекомендаций по обновлению рисков на основе анализа данных из внешних источников.
- Решение поставляется с библиотекой компонентов и пользовательских функций.
- В системе предусмотрен встроенный функционал по количественной оценке рисков.
Количество успешных внедрений: 1 внедрение
Количество активных проектов внедрений: 2 проекта
Клиенты:
- Банки и финансы
- ИТ-холдинг
- Ритейл-компании
VK GRC — программное решение, предназначенное для организации, структурирования и поддержки процессов управления рисками и внутреннего контроля.
В системе представлены следующие функциональные модули:
- Управление рисками
- Управление внутренним контролем
- VK GRC дает возможность интеграции с любыми корпоративными информационными системами Заказчика для получения оперативной информации.
- VK GRC имеет встроенные инструменты для гибкой настройки атрибутивного состава объектов и справочников и отчетности под требования и используемую методологию заказчика.
- VK GRC позволяет автоматизировать процессы и задачи по управлению рисками и внутренним контролем путем настройки и/или разработки.
На данный момент разработка системы продолжается. Сейчас команда VK Tech находится на последней стадии выпуска своего продукта на рынок. Релиз запланирован на август 2024 года. На текущий момент с решением можно ознакомиться по запросу.
КАК КОГНИТИВНЫЕ ТЕХНОЛОГИИ ИЗМЕНЯТ GRC РЕШЕНИЯ?
КАК КОГНИТИВНЫЕ ТЕХНОЛОГИИ ИЗМЕНЯТ GRC РЕШЕНИЯ?
ИИ в процессах GRC
OCEG (Глобальный рынок), 2023
Опрос ТеДо (Российский рынок), 2023
Сценарии применения технологий GRC 5.0
- Поиск отклонений и превентивная блокировка подозрительных транзакций для дальнейшего анализа
- Встроенная AI-поисковая система, предлагающая план действий для реагирования на отклонения
- Постоянное обучение на исторических данных, выявление паттернов и трендов
- Семантический анализ создаваемых разными департаментами событий и инцидентов
- Автоматическая категоризация и выявление дубликатов зафиксированных событий
- Предложения планов реагирования на основании исторических данных и бизнес-контекста
- Автоматическое определение объема контрольных процедур к тестированию
- и актуализации дизайна
- Примеры триггеров для запуска заданий: финансовый периметр, обновления связанных политик, история прошлых оценок, оценки связанных рисков, изменения связанного бизнес-процесса
- Выявление закономерностей чрезмерного/недостаточного тестирования средств контроля
- Предзаполнение карточек объектов (рисков/контролей) на основе внесенной пользователем информации в системе
- Перевод информации в системе с используемой в компании терминологией, формирование резюме по различным текстам и т. д.
- Чат-бот поддержка пользователей по вопросам GRC и использования системы
- Автоматическое отслеживание изменений требований регуляторов
- Анализ текста изменений, выявление релевантных пунктов и оценка влияния
- Автоматический меппинг требований регуляторов с политиками и контрольными процедурами
- Проверка полноты отражения требований во внутренних политиках
- Формирование детального плана действий — в каких политиках нужно внести корректировки с предложением формулировок
ПРАКТИКА GRC В ТеДо
ПРАКТИКА GRC В ТеДо
ТеДо уже не первый год активно развивает свою практику в области GRC.
Команда GRC концентрируется на решении следующих задач:
- Сопровождение при выборе ИТ-продуктов для автоматизации процессов управления рисками и контролей
- Внедрение или оценка качества внедрения решений класса GRC
- Обследование процессов управления рисками, внутренним контролем, внутренним аудитом и комплаенсом, разработка инициатив по их оптимизации, методологических решений и подходов, а также автоматизация этих процессов
Интегрированная команда специалистов с опытом реализации методологических проектов в области риск-менеджмента и внедрения автоматизированных решений класса GRC.
Партнерство с ведущими поставщиками технологических решений, поддержка со стороны вендоров.
Экспертиза в различных отраслях
и обширный опыт проектов
в сфере развития систем управления рисками, внутреннего контроля и внутреннего аудита. Наработанная база знаний, лучших практик, международного опыта в области риск-менеджмента
Разработанные в ТеДо: модель матрицы зрелости функций риск-менеджмента, методология непрерывного обучения и развития систем класса GRC в рамках модели TOM (Target Operating Model) GRC, библиотеки рисков, ключевые индикаторы рисков
Учитывая развитые компетенции нашей команды, мы готовы стать связующим звеном между вашим бизнесом и вендорами. Мы поможем подобрать наиболее подходящую для вашего бизнеса систему и при необходимости усовершенствовать методологическую основу для достижения процессной зрелости.
АВТОРЫ
Сара Чавушян
Старший менеджер технологической практики
Алина Абдульманова
Менеджер технологической практики
Илья Молодцев
Старший бизнес-аналитик
Анна Наумова
Бизнес-аналитик
Елизавета Жарикова
Бизнес-аналитик