Os 10 principais desafios organizacionais na implementação de uma solução de GRC

Muitas organizações estão a adotar tecnologia de governação, risco e conformidade (GRC) para ajudar a gerir as suas atividades nestas três áreas. Esta mudança continua a ser impulsionada por um panorama regulamentar em constante evolução e por um mundo cada vez mais interligado. As soluções GRC automatizam a recolha, correlação e reporte de informação para oferecer uma visão mais ampla do desempenho da empresa, bem como do seu grau de conformidade com a lei e da gestão do risco.

Depois de passar pelo árduo processo de justificar o investimento em soluções de GRC e de escolher as plataformas disponíveis que melhor se adaptam às suas necessidades, a fase de implementação propriamente dita traz o seu próprio conjunto de desafios que devem ser considerados antecipadamente, a fim de que tudo corra da forma mais suave possível e cause o mínimo de interrupção. Continue a ler para conhecer os 10 desafios organizacionais mais comuns na implementação de uma solução de GRC e comece já a planear como abordá-los.

1. Determinar as pessoas-chave e os seus papéis numa fase inicial do processo GRC. Esperar para definir a equipa e os papéis pode levar a atrasos, retrabalho e frustração, uma vez que uma nova pessoa que entre pode ter uma perspetiva ou objetivo diferente. Isto é especialmente importante no caso dos patrocinadores, pois são eles que frequentemente definem a agenda de alto nível.
   
   
2. Saber que a comunicação é fundamental! Pode parecer banal e desnecessário explicitá-lo, mas esta é frequentemente uma área onde o programa GRC descarrila. Ao pensar na comunicação, considere:
   • Partes interessadas internas para planeamento, progresso, orientação, tomada de decisão, etc.
   • Pares (para orientação, alterações, desafios, melhores práticas, etc.).
   • Equipas de implementação — tanto do programa de GRC como de eventual automatização ou software — para requisitos, visão global e objetivos, partes interessadas, etc.
3. Utilizar as estruturas e orientações disponíveis como teste de referência para o seu programa. Estruturas e orientações como COSO, COBIT, NIST, ITIL, UCF, etc., podem fornecer um excelente ponto de partida, bem como um forte ponto de contacto ao longo do seu processo de maturação, para garantir que está a considerar todos os aspetos de um programa GRC.
4. Construir uma rede de pares na sua área de especialização e setor. Contacte-os para obter melhores práticas, desafios, alterações, orientação, etc. Esta é a forma mais tangível de obter a certeza de que o processo GRC que está a construir considera todos os aspetos que precisam de ser considerados.
5. Pensar que tem de ter um processo de negócio totalmente maduro para implementar um programa GRC automatizado. Não é necessário ter um processo de negócio totalmente maduro implementado para começar, mas certifique-se de que tem uma compreensão básica do que pretende que o processo de negócio seja — o processo pode amadurecer ao longo do tempo, mas um ponto de partida sólido evitará retrabalho e frustração.
6. Compreender os processos, dados, equipas, etc. que já estão implementados na sua organização. Existem frequentemente áreas de GRC muito sólidas que podem ser um excelente ponto de partida para o desenvolvimento de um programa robusto. Por exemplo, a Auditoria Interna, SOX, IT GRC e outros possuem processos de negócio maduros com taxonomias de dados definidas que podem levar um programa de GRC da infância à maturidade muito mais rapidamente. Além disso, como verticais que possuem orientação e liderança fortes no desenvolvimento de programas de GRC, podem ser defensores influentes numa organização e ajudar no sucesso da expansão do GRC em geral.
7. Começar pelo resultado final desejado e trabalhar no sentido inverso. Saber que relatórios e dashboards pretende ajuda a orientar a informação que precisa de capturar e como esta precisa de ser estruturada para alcançar esse resultado final desejado.
8. Comunicar claramente os requisitos no RFP ou no ciclo de vendas. Se decidir automatizar ou implementar um software para apoiar o seu processo GRC, é vital que se certifique de que compreende exatamente a que o SOW se compromete e o que exclui. Se não tiver clareza sobre algum aspeto, aprofunde essa área para obter esclarecimento. Compreender o que está a ser fornecido e excluído é fundamental para o bom funcionamento geral do sistema, bem como para fornecer confiança de que o produto irá satisfazer as suas necessidades no que diz respeito à funcionalidade central prevista.
9. Pensar primeiro no panorama geral. Se está a automatizar ou a implementar um software para apoiar o seu processo GRC, pense no panorama geral desde o início e depois trabalhe nesse sentido. É razoável começar em pequena escala e expandir para o programa GRC completo, mas ao desenvolver os processos iniciais certifique-se de que o resultado final é considerado nas decisões que estão a ser tomadas. Não o fazer pode criar bloqueios não intencionais no processo e resultar numa quebra mal sucedida dos silos organizacionais que era pretendida.
10. Ouvir os conselhos e a orientação daqueles que o rodeiam. Quer seja da liderança organizacional, de pares, de fontes externas ou de equipas de implementação ao automatizar, este é um componente-chave de uma implementação bem-sucedida. Pode então pegar na informação que recebeu e analisá-la através da lente do que está a tentar alcançar. Esteja aberto às perspetivas externas, mas certifique-se de que se enquadram nos objetivos em que está a trabalhar.

Assumir a implementação de uma ou mais soluções GRC não é tarefa pequena e certamente haverá obstáculos imprevistos ao longo do caminho. No entanto, ao conhecer alguns dos desafios prováveis antecipadamente e ao criar proativamente planos para os abordar, estará mais bem preparado para preparar a sua organização para o sucesso.