Wat is GRC? Governance, risk en compliance uitgelegd

Kort antwoord

GRC is de afkorting van governance, risk en compliance. Het beschrijft hoe sturing, risicobeheer en naleving samenwerken, zodat een organisatie haar doelen betrouwbaar haalt. GRC is geen softwarepakket en ook niet per se een afdeling. In security-functies zie je GRC terug in titels als GRC Consultant en in werk rond beleid, risicoanalyse en audits.

Wat is GRC?

De term is in 2002 bedacht door de Open Compliance and Ethics Group (OCEG). Volgens OCEG is GRC het geheel van samenhangende vermogens waarmee een organisatie betrouwbaar doelen haalt, met onzekerheid omgaat en integer handelt. Dit is de definitie van OCEG, andere partijen formuleren het anders.

Volgens OCEG gaat het om de vermogens die sturen, beheren en toetsen van prestaties, risico en compliance integreren. Daar werken afdelingen voor governance, strategie, risico, compliance, security, audit, financiën, juridische zaken, IT en HR aan mee, en ook operationele leidinggevenden, het topmanagement en het bestuur. Integreren betekent volgens OCEG niet dat je een megaafdeling voor GRC maakt, en ook niet dat je één softwaresysteem gebruikt om alles te beheren.

OCEG noemt het GRC Capability Model 3.5, ook wel de Red Book, als de nieuwste versie van haar model om GRC-vermogens te plannen, te beoordelen en te verbeteren.

GRC is dus een manier van kijken en geen vak met een eigen wettelijke status. Er bestaat geen wet die GRC voorschrijft. De term beschrijft de samenhang tussen de drie onderdelen, niet een verplichting.

Wat zijn governance, risico en compliance apart?

Elk onderdeel stelt een andere vraag. Governance gaat over sturen: wie beslist, wat is het beleid en wie is verantwoordelijk. Het NIST Cybersecurity Framework (CSF) 2.0, uitgebracht in februari 2024, heeft daarvoor de functie Govern. Die functie beschrijft hoe de cybersecurityrisicostrategie, de verwachtingen en het beleid worden vastgesteld, gecommuniceerd en gemonitord. NIST vindt het belangrijk dat cybersecurity onderdeel is van de bredere strategie voor enterprise risk management (ERM), en schrijft dat leidinggevenden hun risicobereidheid (risk appetite), verantwoordelijkheid en middelen communiceren.

Risico gaat over vooruitkijken: wat kan het doel in de weg zitten en hoe groot is dat? In het European Cybersecurity Skills Framework van ENISA (september 2022) beheert het profiel Cybersecurity Risk Manager de cyberrisico's van de organisatie in lijn met de strategie. Die persoon ontwikkelt en onderhoudt de risicomanagementprocessen en rapportages, identificeert en beoordeelt bedreigingen en kwetsbaarheden, en stelt risicobehandeling voor. Ook ISO/IEC 27001 gaat uit van risico: een managementsysteem voor informatiebeveiliging dat aan de norm voldoet bewaart de vertrouwelijkheid, integriteit en beschikbaarheid van informatie door een risicomanagementproces toe te passen.

Compliance gaat over aantonen: houden we ons aan de regels, en kunnen we dat laten zien? De Wwft vraagt van instellingen dat zij, passend bij hun aard en omvang, een onafhankelijke en effectieve compliancefunctie hebben die de naleving van wettelijke en interne regels controleert. De actuele tekst staat op wetten.overheid.nl. ISO 37301:2021 beschrijft eisen en richtlijnen voor een compliancemanagementsysteem en vervangt ISO 19600:2014. Artikel 24 van de AVG vraagt om passende maatregelen die ervoor zorgen en kunnen aantonen dat een verwerking aan de AVG voldoet.

Sturing bepaalt wat de organisatie wil, risico kijkt wat dat in de weg kan staan, en compliance controleert of de regels worden nageleefd. Zonder risico is compliance een lijst met vinkjes. Zonder governance weet niemand wie het beslist.

Hoe hangen de drie samen? Een voorbeeld

Een afdeling wil een externe partij inschakelen die toegang krijgt tot systemen. Het beleid bepaalt dat leveranciers worden beoordeeld, en iemand heeft de bevoegdheid om te zeggen dat dit mag of niet mag. Dat is governance, want het beleid en de verantwoordelijkheid liggen vast.

Daarna doet een medewerker een risicobeoordeling: welke systemen ziet de partij, wat kan er misgaan en hoe groot zijn de gevolgen? De uitkomst komt in het risicoregister, zodat iedereen die later kijkt hetzelfde beeld heeft. Dat is het risicodeel.

Vervolgens controleert iemand of het contract overeenkomt met het beleid en met wat de wet vraagt. De Cyberbeveiligingswet noemt de beveiliging van de toeleveringsketen als maatregel (artikel 21 lid 3 onder d), en het bestuur moet de maatregelen goedkeuren (artikel 24 lid 1). Het bewijs wordt bewaard voor een audit. Dat is het compliancedeel, en het laat zien dat de afspraken kloppen. Zie ook NIS2 en de Cyberbeveiligingswet.

De uitkomst is één besluit, vastgelegd en onderbouwd. Een risicoregister en een bewijsdossier zijn daarbij dezelfde gegevens die drie vragen beantwoorden: wie bepaalt, welk risico is er, en is het geregeld.

Welke functies werken met GRC?

Het ECSF van ENISA heeft twaalf profielen, en geen daarvan heet GRC Consultant. De titel staat wel als alternatieve titel bij het profiel Cyber Legal, Policy & Compliance Officer. Bij het profiel Cybersecurity Auditor staat GRC Auditor als alternatieve titel.

Wat GRC-professionals doen, laat zich in werkwoorden samenvatten: beleid schrijven en onderhouden, risico's beoordelen en vastleggen, maatregelen kiezen en laten uitvoeren, controles uitvoeren of laten uitvoeren, bewijs verzamelen, met auditors en toezichthouders praten en rapporteren aan het management. Een groot deel is overleg met de afdelingen die het werk doen. Per titel verschilt het accent:

• GRC Consultant: een adviesrol, bij een adviesbureau of intern, die een organisatie helpt met het inrichten of toetsen van beleid, risicoanalyse of naleving.
• Compliance Officer: bewaakt de naleving van regels binnen de organisatie.
• Compliance Analyst: werkt vaak aan de controles, het bewijs en de rapportages die compliance ondersteunen.
• Risk Manager: beheert de risico's van de organisatie en het risicoproces.
• IT Risk Manager: beoordeelt en beheert de risico's die uit IT-systemen en -processen komen.
• IT-auditor: toetst of IT-beheersmaatregelen werken zoals afgesproken.

Hoe deze functies verdeeld zijn, verschilt per organisatie. De gids over wie wat doet en de uitleg van functietitels helpen bij het verschil tussen titels. Per rol staat meer in werken als compliance officer, werken als risk manager en werken als IT-auditor.

Welke kaders gebruikt GRC?

Veel GRC-werk draait om een kader dat beschrijft hoe je het aanpakt. Deze kaders raken elk een ander deel van GRC.

De AVG vraagt om passende maatregelen en om te kunnen aantonen dat je ze hebt (artikel 24). Alle kaders in de tabel raken dezelfde drie vragen: wie bepaalt, welk risico is er, en is het aantoonbaar geregeld.

Waar zit GRC in de organisatie?

Het Three Lines Model Statement of Position van The IIA (2026) beschrijft drie lijnen. De eerste lijn is het management, dat risico's beheert en beheersmaatregelen ontwerpt en uitvoert. De tweede lijn biedt specialistische kennis, advies, challenge en monitoring, met risico, compliance, security en kwaliteit als voorbeelden. De derde lijn is de interne audit, die onafhankelijke zekerheid geeft over governance, risicomanagement, compliance en beheersing. Het statement zegt ook dat organisaties de lijnen verschillend inrichten en dat rollen kunnen overlappen. Meer over dit model staat in ISO 31000 en het Three Lines Model.

GRC-werk kan in de tweede lijn zitten, als advies, monitoring en challenge. GRC-professionals werken ook als adviseur of auditor. De interne audit in de derde lijn toetst of het geheel werkt. Organisaties richten dit niet overal hetzelfde in.

Wat zijn GRC-tools?

Een GRC-tool is software waarin een organisatie haar risico's, beleid, maatregelen en bewijs bijhoudt. NIST SP 800-37 Rev. 2 schrijft dat veel commercieel beschikbare GRC-tools kunnen worden ingezet om papieren documentatie te verminderen of te vermijden. OCEG stelt dat GRC niet betekent dat je één systeem voor alles gebruikt. Een tool legt vast welke risico's er zijn, wie ze beheert, welke maatregelen erbij horen en welk bewijs er ligt.

Het voordeel is dat risico, beleid en bewijs op één plek staan en dat taken worden bijgehouden. Een tool lost een onduidelijke verantwoordelijkheid niet op. Eerst moet vaststaan wie wat beslist. Een productnaam als voorbeeld is ServiceNow, dat als skill bij vacatures op het platform staat. Lees meer in de gids over GRC-tools.