„GRC (guvernanță, risc și conformitate) este ansamblul integrat de capabilități care permit unei organizații să își atingă în mod fiabil obiectivele, să gestioneze incertitudinea și să acționeze cu integritate — pentru a ajunge la Principled Performance.”OCEG (Open Compliance and Ethics Group) · What Is GRC (Governance, Risk, and Compliance)? · 2002 · OCEG, «What Is GRC (Governance, Risk, and Compliance)?» — definiția de deschidere; acronimul a fost creat de OCEG în 2002
GRC nu este un departament, ci proprietatea de a nu avea trei adevăruri diferite despre același control.
Acronimul a fost lansat de OCEG în 2002, iar definiția lui e mai puțin birocratică decât pare: ansamblul integrat de capabilități care permit atingerea fiabilă a obiectivelor, gestionarea incertitudinii și acțiunea cu integritate. Cuvântul care duce greutatea e „integrat”. Guvernanța stabilește direcția și cine răspunde, managementul riscului spune ce poate strica direcția, conformitatea spune ce e obligatoriu pe drum. Ținute separat, se calcă pe picioare: aceleași controale sunt inventariate de trei ori, aceeași dovadă e cerută de trei echipe, iar conducerea primește trei tablouri care nu se potrivesc între ele. De aceea GRC nu se cumpără ca departament și nici ca instrument. Se recunoaște după artefacte: un singur registru de riscuri, un singur set de controale cu proprietari cu nume, o singură listă de obligații legale legată de acele controale și un singur raport către conducere. Restul e etichetă pusă peste aceleași trei silozuri.
De ce contează Cine tratează GRC ca pe trei departamente vecine plătește de trei ori pentru aceeași dovadă și tot nu poate răspunde la o singură întrebare a conducerii.