Każdy rok przynosi firmom nowe wyzwania – od rozwoju technologii, przez zmiany gospodarcze, po napięcia geopolityczne. Jednak rok 2025 wyróżnia się na tle poprzednich. Wchodzą w nim w pełni w życie regulacje redefiniujące standardy zarządzania ryzykiem, cyberbezpieczeństwa i odporności operacyjnej w organizacjach.
Rok 2025 będzie rokiem GRC, ponieważ skuteczne zarządzanie governance, risk & compliance jest kluczem do stabilności i rozwoju organizacji w obliczu złożonych regulacji. W niniejszym artykule omawiamy najważniejsze trendy, które będą kształtować ten obszar.
Nowe-stare regulacje: DORA i NIS2
Postępująca cyfryzacja oraz zagrożenia cybernetyczne, w tym te o podłożu politycznym, jak wojna w Ukrainie, skłoniły instytucje europejskie do wprowadzenia kluczowych przepisów: DORA i NIS2. Ich celem jest wzmocnienie bezpieczeństwa cyfrowego oraz odporności operacyjnej firm.
- DORA nakłada obowiązek budowania odporności operacyjnej w sektorze finansowym. Obejmuje zarządzanie ryzykiem ICT, monitorowanie dostawców zewnętrznych oraz skuteczne raportowanie incydentów. Rozporządzenie DORA obowiązuje od stycznia 2025 roku (choć weszło w życie wcześniej, by dać czas firmom na przygotowanie), wprowadzając kluczowe wymogi dotyczące odporności operacyjnej.
- NIS2 rozszerza zakres przepisów dotyczących cyberbezpieczeństwa na nowe sektory i podmioty. Stawia większe wymagania w zakresie zarządzania ryzykiem, raportowania incydentów oraz współpracy z organami nadzorczymi. Dyrektywa NIS2 weszła w życie w 2023 roku, a jej pełne wdrożenie przez kraje członkowskie miało miejsce w październiku 2024 roku.
Dla większości firm wprowadzenie zmian wynikających z nowych regulacji było wyzwaniem, ale są one już faktem. Kluczowe będzie teraz monitorowanie skuteczności wdrożonych procedur oraz przeprowadzanie regularnych audytów nastawionych na zapewnienie zgodności procedur z wymaganiami nowych przepisów.
Automatyzacja i sztuczna inteligencja
Automatyzacja w połączeniu ze sztuczną inteligencją (AI) już od pewnego czasu przekształca sposób zarządzania ryzykiem, zgodnością i audytem. Te zmiany, jak wskazuje Thomson Reuters w „2024 Audit Survey Report„, są już zaawansowane, a w 2025 roku tylko przyspieszą. W badaniu, które objęło 180 specjalistów ds. audytu, respondenci podkreślili rosnące zainteresowanie integracją nowoczesnych technologii, takich jak AI, w celu poprawy efektywności i dokładności procesów audytowych. Spora część z nich wskazała także na to, że ich organizacje zaczęły te technologie wdrażać:
- 12% firm z USA, Kanady i UK jest już zaawansowanych we wdrażaniu technologii GenAI i automatyzacji w audycie
- 32% firm rozpoczęło proces ich implementacji
- 36% firm rozważa ich wdrożenie
Automatyzacja i AI mają zastosowanie na wielu etapach audytu, od planowania, przez realizację, aż po raportowanie. Technologie te będą kluczowe dla przyszłości GRC i audytu. Odciążają one bowiem specjalistów od żmudnej pracy nad ręcznym przeszukiwaniem dokumentacji, weryfikacją danych czy analizą zgodności z regulacjami i umożliwiają im skupienie na strategicznym wymiarze audytu.
ESG zintegrowane z GRC
Rola kwestii środowiskowych, społecznych i ładu korporacyjnego (ESG) w strategiach organizacji stale rośnie. W 2025 roku ESG stanie się jeszcze bardziej istotnym elementem w zarządzaniu ryzykiem i zgodnością, co wynika z rosnących wymagań regulacyjnych, oczekiwań interesariuszy oraz opinii publicznej. Przeprowadzone w 2024 roku badanie agencji Inny Format wykazało, że blisko 80% Polaków widzi związek między działaniami firm a ociepleniem klimatu.
Dyrektywa CSRD (Corporate Sustainability Reporting Directive), wprowadzona przez Unię Europejską w 2024 roku, zmienia sposób, w jaki organizacje raportują kwestie związane z ESG. Jej celem jest zwiększenie transparentności i wiarygodności danych środowiskowych, społecznych i dotyczących ładu korporacyjnego. Obejmuje szeroki zakres firm – od dużych korporacji po mniejsze organizacje o znaczeniu publicznym.
Chociaż przepisy weszły w życie w 2024 roku, to rok 2025 będzie kluczowy dla firm wdrażających nowe procedury oraz integrujących raportowanie ESG z procesami zarządzania ryzykiem i zgodnością (GRC). Dostosowanie się do wymogów CSRD wymaga wdrożenia systemów do zarządzania danymi ESG, zapewnienia ich audytowalności oraz regularnego monitorowania zgodności.
ESG staje się nie tylko wymogiem regulacyjnym, ale także istotnym elementem budowania zaufania wśród klientów i inwestorów.
Cyberbezpieczeństwo jako fundament GRC
W świecie coraz bardziej zależnym od technologii, cyberbezpieczeństwo odgrywa kluczową rolę w zarządzaniu ryzykiem i zgodnością. W 2025 roku cyberbezpieczeństwo stanie się jeszcze bardziej integralnym elementem strategii GRC, ponieważ liczba cyberataków oraz ich złożoność stale rośnie. W Polsce zjawisko to przybiera obecnie niespotykaną wcześniej skalę: w ostatnich latach nasz kraj stał się celem licznych cyberataków, których liczba i intensywność znacząco wzrosły. Według ministra cyfryzacji Krzysztofa Gawkowskiego, w porównaniu z ubiegłym rokiem liczba takich incydentów zwiększyła się o 100%, i na koniec 2024 roku może przekroczyć 100 tysięcy.
Z raportu IBM Cost of a Data Breach 2024 wynika, że średni koszt naruszenia danych wzrósł o 15% w ciągu ostatnich dwóch lat, co podkreśla skalę problemu, z którym muszą zmierzyć się organizacje.
W 2025 roku organizacje będą musiały sprostać nowym wyzwaniom związanym z bezpieczeństwem danych, infrastrukturą krytyczną oraz ochroną przed atakami ransomware. Wprowadzenie regulacji takich jak NIS2 znacząco podniosło standardy cyberbezpieczeństwa, zmuszając firmy do inwestycji w nowe narzędzia oraz systemy monitorowania. Firmy muszą wdrażać zaawansowane mechanizmy ochrony, takie jak zarządzanie tożsamością i dostępem (IAM) czy rozwiązania do monitorowania zagrożeń w czasie rzeczywistym.
Integracja cyberbezpieczeństwa z procesami GRC nie tylko chroni dane i reputację organizacji, ale także buduje przewagę konkurencyjną w erze cyfrowej. W 2025 roku sukces firm będzie zależał od ich zdolności do przewidywania i reagowania na zagrożenia w sposób kompleksowy i zintegrowany.
GRC jako odpowiedź na rosnące znaczenie danych
Według IDC, globalna datasfera rośnie w zawrotnym tempie – do 2025 roku suma światowych danych ma osiągnąć 175 zettabajtów, co oznacza ponad trzykrotny wzrost w porównaniu z rokiem 2020.
W 2025 roku kluczowym trendem będzie przekształcanie danych w praktyczne wnioski przy wsparciu zaawansowanych technologii, takich jak AI i analiza predykcyjna. Organizacje będą automatyzować procesy analityczne, dostosowywać raporty do rosnących wymagań interesariuszy i inwestować w bezpieczeństwo, nie tylko aby sprostać zarówno wyzwaniom regulacyjnym, ale także, by umiejętnie budować wartość w oparciu o posiadane dane.
Jako zasób o znaczeniu strategicznym, dane stają się więc centralnym elementem strategii organizacji, umożliwiając lepsze zrozumienie ekspozycji na ryzyko, identyfikowanie luk w zgodności oraz podejmowanie bardziej świadomych decyzji.
GRC (Governance, Risk, Compliance) odgrywa fundamentalną rolę w integracji procesów zarządzania danymi z całościowym zarządzaniem organizacją. Dzięki narzędziom i systemom GRC organizacje mogą budować scentralizowane repozytoria danych, które umożliwiają łatwiejszy dostęp do informacji, ich analizę oraz generowanie raportów w czasie rzeczywistym.
W obliczu rosnących wymagań regulacyjnych, takich jak GDPR, NIS2 czy CSRD, platformy GRC automatyzują procesy monitorowania zgodności i minimalizują ryzyko kar finansowych. Integracja zarządzania danymi z procesami GRC pozwala organizacjom nie tylko reagować na zmieniające się otoczenie regulacyjne, ale także budować trwałe fundamenty odporności i stabilności operacyjnej.
Zwinne podejście do GRC
Statyczne podejście do zarządzania ryzykiem i zgodnością nie wystarczą w rzeczywistości biznesowej, w której słowo „zmienność” została odmieniona przez wszystkie chyba przypadki. GRC nie tylko można, ale i trzeba – zarządzać w sposób zwinny. Metodologie zwinne umożliwiają bowiem szybkie reagowanie na nowe zagrożenia i zmiany regulacyjne.
W przypadku GRC umożliwiają one między innymi:
- Iteracyjne zarządzanie ryzykiem: Regularne aktualizacje oceny ryzyka, zamiast długoterminowych statycznych planów.
- Szybkie dostosowywanie polityk zgodności: Organizacje będą musiały dynamicznie dostosowywać swoje polityki do zmieniających się regulacji, takich jak NIS2 czy CSRD.
- Integracja technologii: Narzędzia GRC oparte na chmurze umożliwią bieżące monitorowanie ryzyka i zgodności w czasie rzeczywistym.
Zarządzanie GRC w 2025 roku – ale i w latach kolejnych – musi uwzględniać zmienność środowiska biznesowego na płaszczyźnie regulacyjnej, technologicznej i ekonomicznej. Bieżące monitorowanie ryzyk i zgodności oraz integracja procesów zarządzania w sposób zwinny, zautomatyzowany i efektywny wymaga odpowiednich narzędzi, takich jak Adaptive GRC.
Jednak same narzędzia to za mało. Kluczem do sukcesu w zarządzaniu GRC są liderzy, którzy poprzez swoje decyzje i wizję kształtują kulturę organizacyjną opartą na zgodności, odpowiedzialności i innowacyjności. To oni wyznaczają standardy, dzięki którym GRC staje się integralną częścią strategii biznesowej, a nie jedynie formalnym obowiązkiem.
Przyszłość GRC zależy od harmonijnego połączenia zaawansowanych technologii z przywództwem opartym na wartościach. Organizacje, które potrafią zrównoważyć te dwa elementy, nie tylko sprostają wyzwaniom, ale także zbudują trwałą przewagę konkurencyjną w dynamicznie zmieniającym się świecie.
