GRC – czym jest i kogo obowiązuje

Czym dokładnie jest GRC? Co to znaczy GRC?

GRC jest skrótem od Governance, Risk management, and Compliance, co w tłumaczeniu na język polski oznacza ład korporacyjny, ryzyko i zgodność. GRC jest zbiorem zasad, procedur, instrukcji i polityk, które pozwalają organizacji na kontrolowanie i zarządzanie ryzykiem, zaplanowanie i ułożenie ładu korporacyjnego oraz monitorowanie i zapewnienie zgodności działalności organizacji.

 Kto jest zobowiązany do stosowania GRC?

GRC nie jest instytucją sformalizowaną, tzn. nie istnieją akty prawne lub przepisy prawa regulujące ten obszar czy nakładające na przedsiębiorców lub inne podmioty obowiązek stosowania GRC. Równocześnie należy zauważyć, że GRC może być wykorzystane jako narzędzie do realizacji obowiązków np. w zakresie compliance i systemu kontroli wewnętrznej w bankach, który to obowiązek wynika wprost z przepisów prawa bankowego.

Tak więc GRC należy traktować jako narzędzie lub instrument wspomagający realizację obowiązku prawnego w postaci np. zapewnienia zgodności działania banku z przepisami prawa, a nie odrębny obowiązek nałożony przepisami prawa.

Governance (ład korporacyjny)

Ład korporacyjny w organizacji należy rozumieć jako zbiór zasad, procesów, procedur, praktyk i wartości obowiązujących w organizacji. Obejmuje on całość działalności organizacji, a także powinien opiekować interesy wielu stron (np. udziałowcy, pracownicy, zarząd). W obszarze tym chodzi o ogólne podejście do zarządzania.

System ładu korporacyjnego

Na system ładu korporacyjnego składają się następujące elementy:

• dystrybucja zadań wewnątrz organizacji - przypisanie zadań i odpowiedzialności poszczególnym podmiotom lub jednostkom;
• określenie struktury organizacyjnej - zdefiniowanie struktur i zasobów odpowiedzialnych za ład korporacyjny w tym zasady raportowania;
• kontrola zarządcza - określenie zasad sprawowania kontroli i jej zakres;
• wartości jakimi kieruje się organizacja i zasady postępowania.

System ładu korporacyjnego pozwala organizacji przygotować swoją działalność i zasoby na sytuacje kryzysowe - zarówno te zależne od organizacji oraz te niezależne. Ład korporacyjny określa zasady, odpowiedzialności i zasoby niezbędne do zagwarantowania zgodności i przeciwdziałania sytuacjom kryzysowym. Ponadto ład korporacyjny odpowiedzialny jest równie, jak wyżej wskazano, za określenie podstawowych zasad i wartości jakimi kieruje się organizacja.

Co to jest audyt wewnętrzny? Sprawdź nasz artykuł

Cele i podstawy ładu korporacyjnego

Celami ładu korporacyjnego są:

• skuteczne zarządzanie,
• respektowanie praw interesariuszy,
• spójna i jasna komunikacja zewnętrzna,
• ustalenie podstawowych zasad i wartości,
• efektywny nadzór.

Ład korporacyjny powinien być oparty na określeniu odpowiedzialności kadry menedżerskiej, wewnętrznej kontroli, określeniu celów krótko i długoterminowych, równym traktowaniu interesariuszy, jawności systemu, niezależności podmiotów odpowiedzialnych za nadzór i kontrolę, wartościach etycznych.

Ład korporacyjny - przykład

Najpopularniejszymi i publicznie dostępnym przykładem ładu korporacyjnego jest dokument opracowany i opublikowany przez Giełdę Papierów Wartościowych - DOBRE PRAKTYKI SPÓŁEK NOTOWANYCH NA GPW 2021.

Jest to zbiór zasad ładu korporacyjnego opracowany przez ekspertów wchodzących w skład Komitetu ds. Ładu Korporacyjnego. Dokument ten uwzględnia aktualny stan prawny i najnowsze trendy z obszaru corporate governance, a także reaguje na postulaty uczestników rynku zainteresowanych coraz lepszym ładem korporacyjnym w spółkach giełdowych.

Risk (zarządzanie ryzykiem)

Zarządzanie ryzykiem obejmuje następujące obszary:

• identyfikacja ryzyka - proces polegający na uświadomieniu organizacji o istnieniu ryzyka;
• szacowanie ryzyka - określenie poziomu ryzyka w oparciu o metodykę ustaloną w wewnętrznej dokumentacji;
• ocena ryzyka - proces polegający na ocenie czy badane ryzyko jest np. akceptowalne, wysokie, krytyczne;
• działania związane z ryzykiem - działania określone w wewnętrznej dokumentacji podejmowane wobec ryzyka - często działania uzależnione są od poziomu występującego ryzyka;
• zasoby niezbędne do zarządzania ryzykiem - zasoby niezbędne do zapewnienia prawidłowego działania systemu zarządzania ryzykiem - m.in. personel, infrastruktura;
• monitoring ryzyka - działania mające na celu śledzenie i bieżące monitorowanie poziomu ryzyka;
• procedury i polityki związane z zarządzaniem ryzykiem - wewnętrzne dokumenty określające odpowiedzialność za zarządzanie ryzykiem, sposobowy identyfikacji, szacowania, oceny, kontroli, działań i monitoringu ryzyka, a także np. poziom akceptowalnego ryzyka.

Ryzyka obejmują wiele różnorodnych obszarów w działalności organizacji. Z tego powodu istotne jest, aby proces zarządzania ryzykiem uwzględniał specyfikę obszaru w jakim występuje ryzyko. Innego podejścia wymaga ryzyko związane z działalnością operacyjną czy ryzyko prawne.  

Korzyści z zarządzania ryzykiem

Główną korzyścią z zarządzania ryzykiem jest świadomość istnienia danego ryzyka oraz możliwość jego minimalizacji lub wyłączenia. Dzięki tej wiedzy organizacja może świadomie podejmować określone działania mając na względzie istniejące ryzyko związane z prowadzoną działalnością.

Wiedza o istniejącym ryzyku pozwala również na ustalenie konsekwencji materializacji danego ryzyka, np. konsekwencji finansowych, wizerunkowych, prawnych, administracyjnych.

Wyzwania w zarządzaniu ryzykiem

Największym wyzwaniem z obszarze zarządzania ryzykiem jest ustalenie przez organizację ewentualnych zysków lub strat związanych z akceptacją ryzyka i kontynuowaniem działań objętych tym ryzykiem.

Akceptacja ryzyka może być opłacalna dla danej organizacji, a w pewnych obszarach akceptacja ryzyka jest nawet powszechna wśród podmiotów konkurujących na danym rynku.

Compliance (zgodność)

Compliance można rozumieć jako zbiór opracowanych i wdrożonych zasad postępowania w organizacji, dzięki którym organizacja może działać zgodnie z przepisami prawa (zarówno prawa krajowego, wspólnotowego i międzynarodowego), a także innymi normami postępowania. Głównym celem compliance jest minimalizacja ryzyk związanych z wystąpieniem nieprawidłowości, mogących mieć negatywny wpływ na organizację.

System zarządzania zgodnością

Dla osiągnięcia zgodności w prowadzonej działalności nie jest wystarczające jedynie określenie regulacji prawnych jakim podlega organizacja. W celu osiągnięcia zgodności niezbędne jest wdrożenie systemu zarządzania zgodnością zwanego również CMS (ang. compliance management system).

CMS - zasady

Dla budowy skutecznego systemu compliance, zarówno w zakresie proceduralnym, jak i strukturalnym pomocne jest przestrzeganie kilku zasad związanych z budową i projektowaniem skutecznego i efektywnego systemu zarządzania zgodnością.

Niezależność

Compliance w ujęciu funkcjonalnym dla zagwarantowania skuteczności potrzebuje mieć zagwarantowaną niezależność. Przykładami niezależności są bezpośrednie raportowanie do zarządu czy brak uzależnienia premii dla osób odpowiedzialnych za compliance od wyniku finansowego organizacji. Niezależność może przejawiać się również w zagwarantowaniu niezbędnych zasobów do realizacji funkcji compliance.

Bezpośredni dostęp

Zasada wskazujące, że system compliance powinien mieć bezpośredni dostęp do kierownictwa organizacji, tak aby zagwarantować szybkość i skuteczność podejmowanych decyzji w obszarze zgodności, z jednoczesną ich akceptacją ze strony kierownictwa.

Ponadto zasada bezpośredniego dostępu do kierownictwa pozwala również zagwarantować możliwość pozyskiwania niezbędnych informacji do osiągnięcia zgodności.

Zasada ta ma również charakter symboliczny - wskazujący, że system i rola compliance traktowane są poważnie w organizacji.

Zasoby

Jak wspomniano wyżej, przy okazji omawiania niezależności, compliance wymaga zapewnienia niezbędnych zasobów dla realizacji tej funkcji. Przez zasoby należy rozumieć personel, sprzęt, dostęp do szkoleń i doskonalenia zawodowego. Zakres zasobów należy dostosować do wielkości i specyfiki organizacji, a także rynku na jakim prowadzi ona swoją działalność.

Elastyczność

Funkcja compliance powinna gwarantować elastyczność, przez którą należy rozumieć możliwość dostosowania się do sytuacji rynkowej, prawnej i kryzysowej, które mają wpływ na zgodność i poziom ryzyka organizacji. Elastyczność odnosi się również do możliwości redefiniowania celów krótko i długoterminowych organizacji w obszarze compliance.

Długofalowość

Przez długofalowość należy rozumieć zdefiniowanie długoterminowych celów compliance oraz sukcesywne dążenie do ich osiągnięcia przez organizację. Cele compliance mogą ulegać zmianie w związku z wyżej opisaną zasadą elastyczności, ale nie powinny one ulegać istotnej zmianie.

Transparentność

Zasada odnosząca się do przejrzystości działań funkcji compliance oraz całej organizacji, dotyczy to zarówno transparentności wewnątrz organizacji, ale także transparentności na zewnątrz organziacji w niezbędny lub wymaganym zakresie.

Czy compliance officer może być inspektorem ochrony danych? Sprawdź nasz artykuł

Proporcjonalność

Organizacja planując funkcję compliance powinna zagwarantować proporcjonalność przy planowaniu zasobów czy zakresu odpowiedzialności tej funkcji. Przez proporcjonalność należy rozumieć dostosowanie wielkości komórki compliance do wielkości organizacji oraz zasobów jakie ta komórka będzie miała zagwarantowane.

Kultura compliance

Bardzo istotnym dla osiągnięcia celów założonych dla systemu compliance jest kultura compliance obowiązująca w danej organizacji i świadomość personelu w zakresie potencjalnych zysków i strat skutecznego sytemu compliance. Organizacja powinna nie tylko budować świadomość potrzeby zgodności poprzez szkolenia i akcje uświadamiające personel, ale również zadbać o to, aby osoby decyzyjne (kierownictwo) również postępowało zgodnie z założeniami systemu compliance i dawało przykład pozostałej części organizacji.

Zgodność na przykładzie (otrzymywanie informacji handlowych) 

Marketing obecnie stanowi bardzo istotną część każdej działalności gospodarczej. Prowadzenie działań marketingowych przynosi często wymierne korzyści organizacjom, jednak aby działania marketingowe były prowadzone zgodnie z przepisami prawa konieczne jest zadbanie o posiadanie podstaw prawnych np. do prowadzenia komunikacji marketingowej bezpośrednio z klientem (marketing bezpośredni).

Przykładem może być przesyłanie treści marketingowych na adres e-mail klienta, jednak aby takie działania były zgodne z prawem, organizacja powinna posiadać zgodę klienta na taką formę kontaktu. Zgoda powinna być dobrowolna i wyrażona w konkretnym celu (marketing) i na rzecz konkretnego podmiotu - wymóg ten wynika z prawa telekomunikacyjnego.

Wymóg posiadania dobrowolnej zgody klienta często utrudnia organizacjom prowadzenie działań marketingowych, dlatego też na rynku można spotkać przypadki prowadzenia działań marketingowych bez posiadanej zgody lub w oparciu o zgodę, której treść nie spełnia wymogów prawa lub została odebrana bez zachowania wymogu dobrowolności.

W przypadku prowadzenia działań marketingowych potencjalne ryzyko braku zgodności często jest porównywane do możliwych do osiągnięcia korzyści wynikających z prowadzenia działań marketingowych.

GRC - podsumowanie

 GRC stanowi drogę do zapewnienia zgodności, skutecznego zarządzania ryzykiem i ustalenia ładu korporacyjnego, które pozwalają organizacji na prowadzenie działalności zgodnie z prawem i uwzględnieniem ryzyka z jego równoczesną minimalizacją.

Każda organizacja powinna odpowiedzieć na pytanie czy system GRC jest im niezbędny i w jakim zakresie, punktem wyjścia do takiego pytania powinno być określenie obowiązków prawnych ciążących na organizacji oraz ryzyka związane z tymi obowiązkami oraz z codzienną działalnością organizacji. 

Dowiedz się więcej:

Rekrutacja w dobie AI Act i RODO

Czym zajmuje się compliance? Wszystko, co musisz wiedzieć

Nowa era cyfryzacji to sztuczna inteligencja