CGRC-certificering: Indhold, forberedelse og dansk kontekst

Governance, risk and compliance (GRC) er disciplinen, der forbinder styring, risikobeslutninger og kontrolarbejde på tværs af organisationen, hvor klassisk compliance ofte fokuserer på at dokumentere efterlevelse af bestemte krav.

Sidst opdateret: januar 2026. CGRC-certificeringen fra (ISC)², Certified in Governance, Risk and Compliance, er relevant for fagfolk, der arbejder med at omsætte sikkerheds-, risiko- og compliancekrav til praktiske styringsmodeller. Den er især interessant i danske og europæiske organisationer, hvor GDPR, NIS2 og DORA har gjort det nødvendigt at kunne dokumentere ansvar, risici, kontroller og rapportering på en måde, ledelsen kan bruge.

GRC er ikke en enkelt afdeling eller et værktøj. Det er en arbejdsform, hvor politikker, risikovurderinger, kontrolbiblioteker, roller og rapportering hænger sammen. I praksis betyder det, at organisationen kan vise, hvem der ejer en risiko, hvilke kontroller der reducerer den, hvordan kontrollen testes, og hvordan væsentlige afvigelser rapporteres til de rette beslutningstagere.

Hvad GRC betyder i praksis

Governance beskriver de beslutningsstrukturer, politikker og ansvarslinjer, som styrer organisationens arbejde med sikkerhed og compliance. Det handler blandt andet om mandat, ledelsesrapportering, risikovillighed, roller og sammenhængen mellem forretningsmål og kontrolmiljø.

Risikostyring er den systematiske vurdering af trusler, sårbarheder, konsekvenser og sandsynligheder. Modne organisationer bruger risikoregistre, risikoejere og prioriterede behandlingsplaner, så ressourcerne ikke spredes ud over alle problemer på samme tid. Rammer som ISO 31000 og COSO ERM bruges ofte som referencepunkter for, hvordan risiko kan beskrives, vurderes og styres.

Compliance er arbejdet med at efterleve krav fra lovgivning, kontrakter, standarder og interne politikker. I Danmark vil det ofte omfatte databeskyttelseskrav under GDPR, hvor Datatilsynet er national tilsynsmyndighed, samt sektorspecifikke krav og EU-regler som NIS2 og DORA. GRC gør compliance mere operationelt ved at forbinde krav med konkrete kontroller, ansvarlige ejere og dokumenteret opfølgning.

En moden GRC-model ender derfor sjældent i en mappe med politikker alene. Den omfatter typisk en RACI-model for ansvar, et kontrolbibliotek, et risikoregister, faste møder for risikoejere, målinger som Key Risk Indicators (KRI) og Key Control Indicators (KCI) samt en rytme for rapportering til ledelse, revision og eventuelle tilsyn.

Hvorfor GRC-kompetence efterspørges i Danmark og EU

Danske organisationer står over for krav, der både er juridiske, tekniske og ledelsesmæssige. GDPR kræver dokumenteret ansvarlighed omkring personoplysninger, NIS2 skærper fokus på cybersikkerhedsstyring for omfattede organisationer, og DORA stiller krav til digital operationel robusthed i den finansielle sektor. Det gør GRC-kompetence værdifuld, fordi kravene skal oversættes til ejerskab, kontroller, risikobilleder og rapportering.

Udfordringen er ofte ikke at kende navnet på reguleringen, men at få den til at fungere i organisationens drift. Et NIS2-projekt kan eksempelvis kræve afklaring af ledelsesansvar, leverandørstyring, hændelsesprocesser, risikovurdering og dokumentation. Læsere, der ønsker en bredere introduktion til konsekvenserne, kan se denne gennemgang af NIS2 og organisatorisk betydning.

Det samme gælder leverandørrisiko. Mange organisationer kan udarbejde en due diligence-skabelon, men færre får etableret en driftsmodel, hvor kritiske leverandører vurderes løbende, kontroller testes, kontraktkrav følges op, og afvigelser når frem til de personer, der kan træffe beslutninger. Her bliver GRC-faglighed praktisk: Den binder juridiske krav, informationssikkerhed, indkøb, it-drift og ledelsesrapportering sammen.

Hvad CGRC-certificeringen dækker

CGRC er en (ISC)²-certificering rettet mod fagfolk, der arbejder med governance, risikostyring og compliance i relation til informationssikkerhed og organisatorisk kontrol. Certificeringen var tidligere kendt som CAP, men navnet CGRC afspejler tydeligere det bredere GRC-fokus. Aktuelle eksamensdetaljer, herunder format, varighed, sprog, domænevægtning, gebyrer og fornyelseskrav, bør altid verificeres hos (ISC)², da certificeringsudbydere kan ændre detaljer over tid.

Indholdet ligger typisk omkring etablering af styring, risikohåndtering, complianceprocesser, sikkerheds- og privatlivskontroller, løbende overvågning og rapportering. Det er ikke en ren teknisk certificering. Den tester i højere grad evnen til at forstå kontroller, ansvar, dokumentation, risikobeslutninger og sammenhængen mellem organisationens krav og dens faktiske praksis.

Det gør CGRC relevant for compliance managers, security managers, interne revisorer, risk analysts, GRC-analytikere, it-ledere og konsulenter, der arbejder med kontrolrammer eller regulatorisk efterlevelse. Rollen kan variere, men fællesnævneren er behovet for at kunne forklare, hvordan organisationen styrer risiko og efterlevelse på en måde, der kan granskes og forbedres.

Karriereveje inden for GRC afhænger ofte af kombinationen af certificering, domæneerfaring og organisatorisk forståelse. En person med erfaring i informationssikkerhed kan bruge CGRC til at bevæge sig mod governance og compliance, mens en intern revisor kan bruge den til at forstå sikkerhedskontroller og risikostyring mere operationelt. En relateret introduktion til roller og forudsætninger findes i artiklen om karriereveje som GRC-analytiker.

Sådan bruges CGRC-kompetencer i projekter

I et ISMS-projekt, eksempelvis baseret på ISO/IEC 27001, kan CGRC-kompetencer bruges til at forbinde risikovurdering, kontroller, politikker og ledelsesrapportering. En moden implementering kræver mere end en gap-analyse. Den kræver beslutninger om risikoejerskab, acceptkriterier, kontroltest, dokumentation og en vedvarende forbedringsproces.

I tredjepartrisiko kan samme kompetencer bruges til at vurdere leverandørkritikalitet, informationsadgang, kontraktuelle sikkerhedskrav og løbende opfølgning. Det praktiske spørgsmål er ikke kun, om leverandøren har en relevant attest eller certificering, men om organisationen kan forklare, hvorfor leverandøren er acceptabel, hvilke risici der er tilbage, og hvem der overvåger dem.

I ledelsesrapportering er GRC-faglighed vigtig, fordi tekniske fund og complianceafvigelser skal oversættes til beslutningsklar information. En rapport, der kun viser antal åbne kontroller, hjælper sjældent ledelsen. En bedre rapport viser udvikling i væsentlige risici, kritiske kontrolsvigt, afhængigheder til leverandører, beslutninger der kræver ledelsesmandat, og konsekvenserne af ikke at handle.

En typisk faldgrube er at behandle GRC som et dokumentationsprojekt. Politikker, skabeloner og værktøjer kan være nødvendige, men de skaber ikke styring alene. Uden tværfunktionelt ejerskab, faste beslutningsfora og kontroller i drift bliver GRC hurtigt en øvelse i at indsamle evidens kort før revision.

CGRC, CRISC eller ISO/IEC 27001 Lead Implementer?

Valget mellem CGRC, CRISC og ISO/IEC 27001 Lead Implementer afhænger af, hvilken type arbejde certificeringen skal understøtte. De overlapper, men de har forskellige tyngdepunkter. CGRC passer bedst, når målet er at arbejde bredt med governance, risiko og compliance på tværs af organisationen. CRISC fra ISACA er mere fokuseret på it-risiko og interne kontroller. ISO/IEC 27001 Lead Implementer er mest relevant, når slutmålet er at etablere, drive eller forbedre et informationssikkerhedsledelsessystem (ISMS).

Den praktiske beslutning bør derfor starte med rolle og slutmål. En compliance- eller governanceprofil vil ofte få mest ud af CGRC. En risikospecialist, der arbejder tæt med it-kontroller, kan overveje CRISC. En informationssikkerhedsleder med ansvar for at opbygge eller modne et ISMS vil ofte finde ISO/IEC 27001 Lead Implementer mere direkte anvendelig.

Forberedelse til CGRC-eksamenen

Effektiv forberedelse bør begynde med den officielle CGRC exam outline fra (ISC)². Den giver det mest pålidelige overblik over domæner og forventninger, mens aktuelle detaljer om eksamensstruktur, sprog, fornyelse og Continuing Professional Education (CPE) bør kontrolleres direkte hos (ISC)². Det reducerer risikoen for at læse efter forældede oplysninger.

En god studieplan starter med blueprint mapping: Kandidaten gennemgår hvert domæne og markerer, hvor egen erfaring er stærk, usikker eller mangelfuld. Derefter bør læsningen kombineres med scenarier. CGRC handler ofte om beslutninger i kontekst, eksempelvis hvordan en organisation bør reagere på et kontrolsvigt, hvordan risiko bør dokumenteres, eller hvordan ansvar bør placeres mellem forretning, it, compliance og revision.

Udenadslære er sjældent nok. Aktiv genkaldelse, korte forklaringer med egne ord og gentagelse over tid hjælper med at fastholde begreber som risikorespons, kontroltest, governancefora, compliancekrav og løbende overvågning. Mange kandidater undervurderer også værdien af at øve sig i at læse spørgsmål langsomt nok til at identificere rollen, begrænsningen og det mest styringsmæssigt korrekte svar.

Et struktureret kursus kan være nyttigt, når der er behov for tempo, afgrænsning og scenariobaseret træning. Readynez tilbyder CGRC-certificeringsforberedelse for læsere, der ønsker en organiseret vej gennem stoffet frem for alene selvstudie.

Typiske fejl i GRC-arbejde

Den første fejl er at forveksle dokumentation med kontrol. En politik kan beskrive, hvad organisationen ønsker, men den viser ikke nødvendigvis, om adgangsstyring, leverandøropfølgning eller hændelseshåndtering fungerer. Kontroller skal have ejere, frekvens, evidens, testmetode og en proces for afvigelser.

Den anden fejl er at lade værktøjet definere governance. GRC-platforme kan understøtte arbejdsgange, men de kan ikke afgøre risikovillighed, eskalationsveje eller beslutningsmandat. Hvis roller og processer er uklare, digitaliserer værktøjet blot uklarheden.

Den tredje fejl er manglende tværfunktionelt ejerskab. Sikkerhedsteamet kan ikke alene eje alle risici, som påvirker juridiske forpligtelser, drift, leverandørstyring, finansiel rapportering og forretningskontinuitet. Effektivt GRC-arbejde kræver, at forretning, it, jura, compliance, indkøb og ledelse forstår deres del af modellen.

Ansættelsesmæssigt ses der ofte en stærk efterspørgsel efter kandidater, der kan kombinere certificering med praktisk erfaring fra ISMS-arbejde, leverandørrisiko, intern kontrol eller regulatorisk rapportering. Certificeringen kan dokumentere et fælles begrebsapparat, men værdien øges, når kandidaten kan vise, hvordan begreberne omsættes til drift.

Næste skridt for GRC-faglighed

CGRC er mest værdifuld, når den bruges som ramme for bedre beslutninger, ikke som et isoleret mål. Organisationer har brug for fagfolk, der kan skabe sammenhæng mellem krav, risici, kontroller og ledelsesrapportering, især når GDPR, NIS2, DORA og interne sikkerhedsmål overlapper.

Den mest praktiske næste handling er at sammenholde den officielle (ISC)²-outline med egne arbejdsopgaver og identificere, hvor erfaringen allerede findes, og hvor der mangler træning. Readynez kan være et relevant valg for struktureret CGRC-forberedelse, og læsere med bredere sikkerhedsbehov kan også se Unlimited Security Training som en måde at arbejde videre med beslægtede sikkerheds- og governancekompetencer.