GRCSとは？

こんにちは。本日はお仕事内容について少しだけ。

よく知人から、仕事内容を聞かれるのですが、なかなか一言でお伝えするのか難しいなと思うこの頃です。業態としてはコンサルティングや製品販売、クラウドサービスの提供などを行っているのですが、何の？という所の説明はなかなか難しいです。

端的にいうと「GRC」と「Security」をやっています、という事になります。合わせてGRCS。社名にもなっています（笑）

ちょっとここで、「GRC」ってなんだという話になりますので、「GRC」をさらに分解します。

GはGovernanceです。統治、支配、管理という意味です。会社をちゃんと管理できていますかという所です。もめ事が起こらないようにルールを作る、指示伝達が伝わるように整備しておくことです。

CはComplianceです。これは法令や社会通念に従っているかというような話です。「G」の領域で作ったルールを守るといった事ですね。

RはRiskです。Risk Managementですね。これは想像がつきやすいと思います。あるリスクに対策するために、Governanceを聞かせて、そのアウトプットで出てきた、規程を遵守する組織を作る。これはまさしく、G、R、Cのフレームワークを用いて、一貫して対応していると言えるでしょう。

またSはSecurityと上述しました。Securityも、脅威に対して方針をきめ（Governance）、その方針を守り（Compliace）、脅威に対抗する（Risk Management）わけですので、GRCの活動そのものと言えます。

さて、このGRCに関してですが、ますます要求が高まっています。グローバル展開が進む企業様においては、国内だけでなく海外の法令への対応といったことも求められてきています。最近であれば、GDPRといった法令が思い浮かぶのではないでしょうか。

さらに、ソーシャルメディアが普及し、企業とユーザの距離が圧倒的に近づいてきています。そしてあらゆる事象に対して「スピード」に対する要求が高まっています。企業の生業に対して、インシデントが発生した場合、あっという間に世の中に、そのインシデント事象が駆け巡り、その企業の対応状況というものを、世の中が固唾を飲んで見守る事になります。その時の企業の姿勢、対応、そしてスピード、これらは多角的に判断されることになります。アウトプットとして出てくるところは、広報活動かもしれませんが、これはあくまでアウトプットです。このアウトプットにいたるまでに、そもそも企業としての体制、仕組み、文化といったものが試されてくる訳です。まさしくGRCというフレームワークを使って、どれだけ体制や仕組みを作ってきたか試されている訳です。

非常に厳しいですね。これらは一朝一夕でできるものではありません。体制や仕組みといった整備だけではなく、企業文化も大きく起因することとなります。経営者の普段の姿勢や取り組みが出てくる部分であるかもしれません。しかしピンチはチャンス。この危機を誠心誠意そしてきちんと対応した企業は「さすが」と称賛を受けることもあり、より社会的な信頼を得ることも少なくありません。

確かにインシデントは許容されるものではありません。しかし、この世の中に「絶対」はありません。ミスや失敗、事故はどうしてもおきてしまいます。それらが発生したあとの対応というものこそ、重要になってくると思います。

このGRCの領域ですが、年15%程度の成長が見込まれているそうです。ですが、その成長の大半は欧米だそうです。欧米ではビジネスに付随するリスクやコンプライアンスの情報収集やその利用に積極的だというのです。

アジア、特に日本の企業はリスク管理をしていない、発生ベースで対処する。

本当にそうでしょうか。

現在我々とお取引を頂いている企業さまは決してそんなことはありません。ご自身のビジネスの脅威に真っ向から立ち向かい、自社のGRCへの取り組みを真剣に行っていらっしゃいます。しかしこの領域のノウハウやリソースそういったものが不足しているのも事実かと思います。そういったところに我々に活躍の場があると考えています。