Werken als GRC Consultant

Wat doet een GRC Consultant?

Een GRC Consultant helpt een organisatie om governance, risk en compliance op orde te krijgen. Het gaat om de manier waarop informatiebeveiliging is ingericht, welke risico's de organisatie loopt en aan welke eisen zij moet voldoen. Het werk hoort bij het vakgebied compliance en privacy, met raakvlakken met risicomanagement.

GRC staat voor drie onderdelen. Governance is wie beslist over informatiebeveiliging, met welke verantwoordelijkheden en welk beleid. Risk is wat er mis kan gaan, hoe waarschijnlijk dat is en welke maatregel daar past. Compliance is aan welke wetten, normen en afspraken de organisatie moet voldoen en hoe zij dat kan aantonen.

Stel dat een zorgsoftwarebedrijf wil laten zien dat het informatiebeveiliging volgens ISO 27001 regelt, omdat klanten daarnaar vragen. De consultant begint met een nulmeting: welke beheersmaatregelen bestaan al en welke ontbreken? Samen met de eigenaren van systemen en processen maakt de consultant een risicoanalyse, en op basis daarvan stellen ze beleid op en kiezen ze maatregelen. Daarna legt de consultant vast wie waarvoor verantwoordelijk is, bouwt een overzicht van bewijs op (beleidsdocumenten, logboeken, notulen van overleggen) en bereidt het team voor op de audit door een certificerende instelling. Het besluit over een risico ligt bij de organisatie.

De titel GRC Consultant betekent niet overal hetzelfde. ENISA beschrijft in het European Cybersecurity Skills Framework (ECSF, september 2022) twaalf beroepsprofielen, en het profiel Cyber Legal, Policy & Compliance Officer noemt GRC Consultant als alternatieve titel. Er is dus geen apart ECSF-profiel met die naam. Bij een adviesbureau helpt de consultant klanten aan een norm te voldoen of een audit voor te bereiden. Binnen een organisatie kan de rol meer lijken op een compliance- of risicofunctie met een projectfocus. Lees daarom de vacature goed, want die legt uit wat er bedoeld wordt.

Welke taken horen bij de functie?

De taken komen uit twee profielen die ENISA beschrijft. Het zijn profielen van verwante rollen en geen officiële omschrijving van de GRC Consultant.

Het eerste is Cyber Legal, Policy & Compliance Officer. Je bewaakt de naleving van normen, wetten en regels voor privacy en gegevensbescherming en adviseert daarover. Je legt hiaten in de naleving vast en documenteert ze, de zogeheten compliance gaps. Ook help je bij het ontwerpen, implementeren, auditen en toetsen van activiteiten voor naleving, voer je privacy impact assessments uit en stel je trainingen voor medewerkers voor. Het resultaat is een Compliance Manual en een Compliance Report.

Het tweede profiel is de Cybersecurity Risk Manager, die de cyberrisico's van de organisatie beheert. Je houdt een overzicht van de bedrijfsmiddelen (assets) bij en identificeert bedreigingen en kwetsbaarheden van ICT-systemen. Je beoordeelt cyberrisico's en stelt de passende behandeling voor: maatregelen nemen, beperken of vermijden. Daarna monitor je of de maatregelen werken. Het resultaat is een Cybersecurity Risk Assessment Report en een Cybersecurity Risk Remediation Action Plan.

Het verschil zit in de vraag die je beantwoordt. Bij de compliance-kant vraag je of de organisatie aan de regel voldoet en hoe zij dat aantoont. Bij de risicokant vraag je welk risico er ligt en wat de organisatie ertegen kan doen. In de praktijk raken de twee elkaar: een risico bepaalt welke maatregel past, en een compliance-eis maakt dat je die maatregel moet vastleggen.

Welke skills heb je nodig?

Zakelijk begrip is de eerste skill. Je moet een norm kunnen vertalen naar de taal van de organisatie: wat betekent deze eis voor de planning, de inkoop, de ontwikkelaars of de klantenservice? Een eis over toegangsbeheer betekent voor de HR-afdeling iets anders dan voor de serverbeheerder.

Schrijven is de tweede skill. Beleid werkt alleen als medewerkers het lezen. Een beleidsstuk van een pagina dat een niet-specialist begrijpt, is moeilijker te schrijven dan een lang document. Een wachtwoordbeleid dat zegt wat je moet doen en waarom, is voor medewerkers duidelijker dan een lijst met artikelnummers.

Analyseren betekent bij een gap-analyse vergelijken wat er is met wat de eis vraagt, en bij een risicoanalyse wegen wat er mis kan gaan. Dat vraagt oog voor detail en het vermogen om bewijs te ordenen. Zie de skill risk assessment voor wat vacatures daarvan vragen.

Faciliteren is de vierde skill. Een deel van het werk gebeurt in workshops met proceseigenaren die weinig tijd hebben. Je leidt zo'n gesprek naar een besluit en houdt de agenda kort.

Overtuigen zonder formele macht is de laatste. De consultant kan een maatregel adviseren, maar niet afdwingen. Neem een eigenaar die een maatregel overbodig vindt. De consultant laat zien welke eis erachter zit en welk risico ontstaat, in de taal van die eigenaar, bijvoorbeeld in termen van klantcontracten of de planning van een verandering. Dat is makkelijker te volgen dan een citaat uit de norm.

Welke kaders en tools gebruikt een GRC Consultant?

Kaders zijn het gereedschap. Wet- en regelgeving levert de eisen, en een kader geeft een manier om die eisen te organiseren. De consultant legt de eisen naast elkaar, zodat één maatregel aan meerdere eisen kan voldoen en er niet voor elke wet een eigen stapel papier ontstaat. De vacature noemt het kader dat de organisatie gebruikt.

ISO/IEC 27001 is volgens ISO de wereldwijd bekendste norm voor managementsystemen voor informatiebeveiliging (ISMS). De huidige editie is ISO/IEC 27001:2022, de derde editie uit oktober 2022, met één amendement uit 2024 over klimaatactie, zie ISO over ISO/IEC 27001. Zie ook de skill ISO 27001.

Het NIST Cybersecurity Framework (CSF) 2.0 is op 26 februari 2024 uitgebracht en bedoeld voor alle soorten organisaties. Het kent zes functies: Identify, Protect, Detect, Respond, Recover en Govern. Govern is nieuw in versie 2.0 en gaat over hoe een organisatie haar cybersecuritystrategie vormgeeft. Zie het artikel over het NIST Cybersecurity Framework, de skill NIST Cybersecurity Framework en de NIST-pagina over het CSF.

NIS2 (Richtlijn (EU) 2022/2555) bepaalt in artikel 21, lid 2, dat de maatregelen voor cyberbeveiligingsrisicobeheer ten minste onder meer omvatten: beleid voor risicoanalyse, incidentafhandeling, bedrijfscontinuïteit en beveiliging van de toeleveringsketen. Hoe de Nederlandse regels eruitzien, staat in het artikel over NIS2 en de Cyberbeveiligingswet. Voor persoonsgegevens komt de AVG erbij, en voor privacymanagement de norm ISO 27701.

Een groot deel van het werk gebeurt in documenten en spreadsheets. Sommige organisaties gebruiken daarnaast een GRC-platform, zoals ServiceNow. De norm zelf blijft het belangrijkste gereedschap: wie ISO 27001 goed kent, leert een tweede kader meestal sneller.

Welke opleiding en certificeringen passen bij een GRC Consultant?

Er zijn meerdere certificeringen die bij deze functie passen. Welke past, hangt af van de richting: risico, audit of management.

De CRISC is een certificering van ISACA. ISACA schrijft dat de CRISC IT-risicomanagementkennis aantoont, met de domeinen Corporate IT Governance, Risk Assessment, Risk Response & Reporting en Technology and Security. Dat past bij de risicokant van het werk. Zie ook de skill CRISC.

De CISA van ISACA is volgens ISACA bedoeld om de vaardigheden te valideren voor de uitdagingen en verantwoordelijkheden van een moderne IT-auditor. Die kant hoort bij het toetsen van de organisatie. Zie ook de skill CISA.

De CISM past bij de managementkant van informatiebeveiliging. De ISO 27001 Lead Auditor-opleiding past bij wie audits op een managementsysteem leidt, en het CISSP bij brede security-kennis. Het keuzeartikel over CISSP, CISM en CISA helpt bij die keuze.

Een certificering vervangt geen ervaring. Of een werkgever er waarde aan hecht, verschilt per organisatie.

Hoe word je GRC Consultant?

De instroom loopt via verschillende wegen. Je kunt starten met een hbo- of wo-opleiding in ICT, bedrijfskunde, recht of bestuurskunde. Adviesbureaus bieden soms een traineeship aan. Anderen komen over vanuit audit, compliance, risicobeheer of beheer.

Begin met één kader en leer dat echt kennen. ISO 27001 is daarvoor een voorbeeld, en de logica van zo'n norm helpt bij andere kaders. Maak daarna voor een fictief bedrijf, bijvoorbeeld een webwinkel, een kleine nulmeting en risicoanalyse op papier. Beschrijf welke maatregelen er zijn, welke ontbreken en welk risico het grootste is.

Oefen ook met schrijven: een beleidsstuk van één pagina dat een niet-specialist begrijpt. Met dat materiaal laat je zien dat je kunt vertalen tussen een norm en een organisatie. Bij een sollicitatie kun je zo'n uitgewerkt voorbeeld laten zien, zodat het gesprek over de inhoud gaat. Geen van deze stappen garandeert een functie, maar ze maken zichtbaar wat je kunt.

Waar werk je als GRC Consultant?

Je vindt de functie bij adviesbureaus, in interne risico- of complianceteams van grotere organisaties en bij auditorganisaties. Bij een adviesbureau wissel je van klant en opdracht. Binnen een organisatie werk je langer aan dezelfde omgeving.

In sectoren met veel regelgeving, zoals financiële dienstverlening, verzekeringen en pensioenen, zorg en life sciences, de rijksoverheid en energie en infrastructuur, komt de functie voor. Zie ook consultancy en data services en de werkgeverspagina voor GRC Consultants.

Waar groei je naartoe?

Doorgroei kan langs meerdere lijnen. Als senior GRC Consultant of manager leid je opdrachten en begeleid je klanten. Een Information Security Officer coördineert de beveiliging binnen een organisatie. Een Compliance Officer bewaakt de naleving structureel. Een Risk Manager maakt risicobeheer tot hoofdtaak. Een IT Auditor toetst onafhankelijk. Een Chief Information Security Officer werkt op bestuursniveau aan strategie en verantwoording.

Welke route openstaat, hangt af van de organisatie en van je ervaring. Vacatures per functie staan op de pagina's information security officer, compliance officer, risk manager, IT auditor en chief information security officer.

GRC Consultant of Compliance Officer?

De twee rollen liggen dicht bij elkaar, maar de positie en de aanpak verschillen.

Kies consultancy als je projecten en afwisseling wilt, en de rol van Compliance Officer als je een organisatie van binnenuit wilt volgen. Lees voor de kant van de organisatie de rolgids Compliance Officer, en voor het onderscheid tussen adviseren en toetsen de rolgids IT Auditor.

Vacatures en werkgevers

Bekijk de vacatures voor GRC Consultants om te zien welke organisaties de functie zoeken en welk kader ze noemen. Werkgevers die GRC Consultants in dienst hebben of inhuren, staan op de werkgeverspagina.