GRC
Governance, Risk, and Compliance
GRC（ガバナンス・リスク・コンプライアンス）とは
ひとことで
組織が目標に沿って正しく運営されるための「ガバナンス（統治）」、リスクを把握して対処する「リスク管理」、法令や規程を守る「コンプライアンス」を一体として管理する考え方。
たとえると
学校の運営にたとえると、校長が教育方針を決めて責任を持つのがガバナンス、事故や災害に備えるのがリスク管理、法律や校則を守るのがコンプライアンスです。3つがばらばらだと、方針と現場の対策がずれてしまいます。
現場ではこう使う
あるオンラインショップでは、セキュリティ方針、リスクの一覧、法令対応のチェックを別々の部署が表計算ファイルで管理していました。GRCの考え方を取り入れて一元管理するようにしたところ、リスク対策の進み具合と法令への対応状況を経営層が1つのレポートで確認できるようになりました。
試験のポイント
EXAM POINTGRCの目的は、セキュリティを経営の方針や事業目標と結びつけ、リスクと法令対応をまとめて管理することです。「セキュリティは経営層の責任（トップダウン）」というISC2の考え方とセットで問われます。セキュリティ部門だけの技術的な取り組みではない点を押さえましょう。
混同しやすい用語との違い
- ISMS情報セキュリティを管理する仕組み。GRCはセキュリティに限らず、組織全体の統治・リスク・法令対応を扱う
- Internal Control業務を適正に進めるための社内ルールとチェックの体制。GRCの中の一要素として位置づけられる