W jaki sposób efektywnie zarządzać ryzykiem w organizacji na przykładzie narzędzia klasy GRC. Jan Anisimowicz Łukasz Krzewicki 10 Marzec 2016

Prelegenci C&F Ponad 15 lat doświadczenia w prowadzeniu złożonych projektów dla dużych organizacji Szeroka znajomość obszaru wytwarzania oprogramowania, integracji danych (BI) i Architektury Systemów IT Prelegent na konferencjach dotyczących GRC, ryzyka, BI w Polsce i za granicą Certyfikat PMP (PMI), Certyfikat CISM (ISACA) Wykształcenie: Wojskowa Akademia Techniczna, Cybernetyka (1999) Szkoła Główna Handlowa, Zarządzanie (2002) Uniwersytet Leona Koźmińskiego, studia MBA (2007) oraz Zarządzanie i Marketing (2008) Architekt/Lider Techniczny Ponad 18 lat doświadczenia w projektach w branżach: telekomunikacja, IT, konsulting, na różnych stanowiskach od Analityka Biznesowego, poprzez Lidera Technicznego, do Kierownika Projektu. Certyfikat CISM, CRISC (ISACA) Zaangażowany od 5 lat w prace nad koncepcją i rozwojem produktu AdaptiveGRC Wykształcenie: Szkoła Główna Handlowa, Zarządzanie (1998) Politechnika Warszawska, Studia Podyplomowe z Zarządzania Jakością (2004) Jan Anisimowicz Łukasz Krzewicki 1

AGENDA SPOTKANIA Co to jest GRC Przykład efektywnego zarządzania ryzykiem w oparciu o GRC Rekomendowane kroki wdrożeniowe Demonstracja praktyczna 2

Co to jest GRC?

GRC, czyli Zarządzanie Ładem Korporacyjnym, Ryzykiem oraz Zgodnością GRC Ład Korporacyjny (Governance) Polityki, procedury, regulacje, mechanizmy raportowania oraz konkretne wytyczne używane do wpływu na zarządzanie organizacją. Zarządzanie Ryzykiem (Risk Management) Cokolwiek co możemy wykorzystać, aby zidentyfikować, ocenić oraz zminimalizować potencjalne zagrożenia mogące mieć negatywny wpływ na organizację. Zarządzanie Zgodnością (Compliance) Cokolwiek co możemy wykorzystać do monitorowania, weryfikacji oraz wdrożenia wytycznych nałożonych przez zewnętrzne organy regulacyjne lub regulacje wewnętrzne w organizacji. 4

Powszechna implementacja zintegrowanego procesu reagowania na ryzyko Trzymajmy kciuki, aby to się więcej nie powtórzyło. Jakiekolwiek dostępne informacje/dowody Dowolni dostępni pod ręką eksperci Nie panikować! Znaleźć winnych! Ryzyko się zmaterializowało! KNF pyta się o BION! @#$#&%! 6

Zarządzanie ryzykiem związanym z Dostawcami w oparciu o narzędzie klasy GRC Informacje o dostawcy Profil Ryzyka dostawcy

Zarządzanie ryzykiem związanym z Dostawcami w oparciu o narzędzie klasy GRC Informacje o Profil Ryzyka dostawcy Wykonanie Oceny dostawcy Problem Audyt dostawcy Zarządzanie Ryzykiem Akcje/Incydenty

Wdrożenie procesu Zarządzania Ryzykiem w oparciu o narzędzie GRC Implementacja systemu zarządzania ryzykiem nie musi być skomplikowana 10

ALICJA: CZY MOŻESZ POWIEDZIEĆ MI, KTÓRĄ DROGĄ MAM IŚĆ? KOT Z CHESHIRE: TO ZALEŻY, DOKĄD CHCESZ DOJŚĆ. ALICJA: NIE WIEM. KOT Z CHESHIRE: W TAKIM RAZIE NIE MA ZNACZENIA, KTÓRĄ DROGĘ WYBIERZESZ. ALICE:... WAŻNE JEŻELI TYLKO GDZIEŚ DOJDĘ. KOT Z CHESHIRE OCH, W TAKIM RAZIE NA PEWNO GDZIEŚ DOJDZIESZ, JEŚLI TYLKO BĘDZIESZ SZŁA DOSTATECZNIE DŁUGO. - LEWIS CARROLL, ALICJA W KRAINIE CZARÓW

Wdrażając system klasy GRC trzeba się zastanowić co chcemy osiągnąć i wybrać właściwą ścieżkę wdrożenia Rośnie wartość dodana (rośnie także koszt ) Chcę używać tego czego używam obecnie. EXCEL jest ok. Mój obecny proces i narzędzie sprawia problemy. Chcę to zmienić. Chcę poprawić wybrany proces GRC Chcę zmienić wiele procesów GRC Chcę zmienić podejście firmy do obszaru GRC Spada złożoność realizacji (spada także spójność informacji ) 12

Przewodnik efektywnej realizacji wdrożenia rozwiązania do zarządzania Ryzykiem w organizacji Krok 1: Warto wziąć pod uwagę porady przedstawione w niniejszej prezentacji dotyczące podejścia do potrzeb GRC (co chcemy osiągnąć). Krok 2: Zdefiniujmy zakres implementacji. Stan idealny. Krok 3: Zdefiniujmy realny czas wymagany na implementację rozwiązania. Krok 4: Podzielmy implementację na mniejsze wymierne części. Krok 5: Zacznijmy używać rozwiązania już po pierwszym etapie 13

Opis przypadku biznesowego Przykład firmy z branży ubezpieczeniowej W ramach wypełnienia BION za rok 2015 zostało zidentyfikowane zostało ryzyko braku spełnienia wytycznej z regulacji Solvency II Trzeba zaplanować odpowiednie akcje naprawcze zmierzające do ograniczenia ryzyka i wdrożyć mechanizmy kontrolne BION 2015 Zarządzanie Ryzykiem Akcje/Incydenty 15

Dziękujemy Jan Anisimowicz (jan.anisimowicz@candf.com) Łukasz Krzewicki (lukasz.krzewicki@candf.com) C&F Sp. z o.o. ul. Domaniewska 50 02-672 Warszawa www.adaptivegrc.com www.candf.com