Vereinigte Staaten
B&A
reliance
GRC Analyst III
Vereinigte Staaten
Chicago, Illinois, United States
Automatische Übersetzung. Prüfe das Original.
Stellenübersicht
Der GRC Analyst III ist ein leitender Mitarbeiter innerhalb der Organisation für Informationssicherheit und wird dazu beitragen, das unternehmensweite Governance-, Risiko- und Compliance-Programm (GRC) von Reliance von Grund auf zu entwerfen, aufzubauen und weiterzuentwickeln. Diese Rolle wird die tägliche Ausführung des GRC-Programms leiten, einschließlich der Implementierung der GRC-Plattform, der Entwicklung von Kontrollrahmen, der Richtlinien- und Ausnahmegovernance, der Verfolgung von Unternehmensrisiken, der Verwaltung von Compliance-Nachweisen, der Koordination von Drittparteirisiken und der Berichterstattung für die Geschäftsleitung. Der GRC Analyst III wird eng mit Informationssicherheit, IT, interner Revision, Unternehmensrisiken, Rechtsabteilung, Beschaffung, Geschäftsinteressenten und Kontrollinhabern zusammenarbeiten, um skalierbare, wiederholbare und prüfungssichere Prozesse zu etablieren. Diese Position erfordert eine hands-on Führungskraft, die regulatorische und sicherheitstechnische Anforderungen in praktische Betriebsabläufe umsetzen, Verantwortlichkeiten über Teams hinweg fördern, Junior-Mitarbeiter betreuen und dazu beitragen kann, die Grundlage für eine ausgereifte, messbare, unternehmensweite GRC-Fähigkeit zu schaffen.
Körperliche Anforderungen
Stehen oder Sitzen (stationäre Position), Gehen (Bewegen, Durchqueren), Hand/Finger benutzen zum Handhaben oder Fühlen (Bedienen, Aktivieren, Benutzen, Vorbereiten, Inspizieren, Platzieren, Erkennen, Positionieren), Sprechen/Hören (Kommunizieren, Erkennen, Sich unterhalten mit, Unterscheiden, Vermitteln, Express sich selbst, Informationen austauschen), Sehen (Erkennen, Bestimmen, Wahrnehmen, Identifizieren, Erkennen, Beurteilen, Beobachten, Inspizieren, Schätzen, Bewerten), Greifen, Wiederholte Bewegung
Funktion in der Stelle
Sitzende Tätigkeit – Gelegentliches Ausüben einer Kraft von bis zu 10 Pfund und/oder einer vernachlässigbaren Kraft häufig oder ständig zum Heben, Tragen, Drücken, Ziehen oder anderweitigen Bewegen von Objekten, einschließlich des menschlichen Körpers. Sitzende Tätigkeit beinhaltet meistens Sitzen. Berufe sind sitzend, wenn Gehen und Stehen nur gelegentlich erforderlich sind und alle anderen Kriterien für sitzende Tätigkeiten erfüllt sind.
Erforderliche Fähigkeiten
- Bachelor-Abschluss in Information Systems, Cybersecurity, Risk Management, Business, Audit oder einem verwandten Bereich; gleichwertige Berufserfahrung kann berücksichtigt werden.
- 7+ Jahre Erfahrung in GRC, Informationssicherheit, IT-Risikomanagement, Compliance, Audit, Drittparteirisiken oder einer verwandten Disziplin, mit nachgewiesener Verantwortung für komplexe Programm- oder Prozessbereiche.
- Erfahrung bei der Implementierung, Verwaltung oder Weiterentwicklung einer GRC-Plattform, einschließlich Kontrollbibliotheken, Risikoregister, Workflows, Bewertungen, Issue-Tracking, Ausnahmemanagement, Nachweisrepositorys und Berichts-Dashboards.
- Umfassende Kenntnisse gängiger Sicherheits-, Risiko- und Compliance-Frameworks wie NIST CSF, NIST SP 800-53, NIST SP 800-171, CIS Controls, ISO/IEC 27001, SOC 2, CMMC, DFARS oder ähnlicher Kontroll-Frameworks.
- Nachgewiesene Fähigkeit zur Leitung von Risikobewertungen, Dokumentation von Kontrolllücken, Bewertung von Risiken, Definition von Abhilfemaßnahmen, Zuweisung von Verantwortlichkeiten, Verfolgung von Fälligkeitsterminen und Kommunikation des Status an technische und nicht-technische Stakeholder.
- Erfahrung in der Koordination von internen Audits, externen Audits, Compliance-Anfragen von Kunden, Unterstützung bei Kontrolltests, Sammlung von Nachweisen, Abhilfe von Problemen und Erstellung von prüfungsbereiten Dokumentationen.
- Fähigkeit, Struktur in einem sich entwickelnden Programm aufzubauen, wiederholbare Prozesse zu schaffen, klare Verfahren zu schreiben, messbare Ergebnisse zu definieren und Verantwortlichkeiten über mehrere Stakeholder-Gruppen hinweg durchzusetzen.
- Starke analytische, organisatorische und dokumentarische Fähigkeiten sowie Projektkoordinationsfähigkeiten, mit der Fähigkeit, konkurrierende Prioritäten in einer Unternehmensumgebung zu verwalten.
- Starke schriftliche, mündliche und präsentationsbezogene Kommunikationsfähigkeiten, einschließlich der Fähigkeit, technische, regulatorische und Audit-Konzepte in praktische Anleitungen und Berichte für die Geschäftsleitung zu übersetzen.
- Muss eigenmotiviert, detailorientiert sein und in der Lage sein, selbstständig mit minimaler Aufsicht zu arbeiten und gleichzeitig effektiv mit Informationssicherheit, IT, interner Revision, Unternehmensrisiken, Rechtsabteilung, Beschaffung und Geschäftsinteressenten zusammenzuarbeiten.
Aufgaben
Aufbau und Leitung des GRC-Programms – Leitung der Implementierung und des operativen Aufbaus des unternehmensweiten Governance-, Risiko- und Compliance-Programms von Reliance.
- Mitgestaltung des Ziel-GRC-Betriebsmodells, einschließlich Programmprozessen, Rollen und Verantwortlichkeiten, Eingangskanälen, Arbeitsabläufen, Berichtsanforderungen und Governance-Routinen.
- Leitung der Konfiguration, Einführung, Datenqualität und kontinuierlichen Verbesserung der GRC-Plattform, einschließlich Risikoregister, Kontrollbibliotheken, Bewertungs-Workflows, Issue-Tracking, Ausnahmemanagement und Dashboards.
- Erstellung praktischer Verfahren, Vorlagen, Standards und Betriebsdokumentationen, die es dem GRC-Programm ermöglichen, sich über Geschäftsbereiche und Kontrollinhaber hinweg zu skalieren.
Risikomanagement und Kontroll-Governance –
- Etablierung wiederholbarer Prozesse zur Identifizierung, Bewertung, Dokumentation und Berichterstattung von Informationssicherheits- und Compliance-Risiken.
- Leitung von Risikobewertungen mit technischen, geschäftlichen und Compliance-Stakeholdern; Dokumentation von Risiken, Kontrolllücken, kompensierenden Kontrollen, Abhilfemaßnahmen, Verantwortlichen, Fälligkeitsterminen und Entscheidungen über Restrisiken.
- Entwicklung und Pflege von Risikodashboards, KPIs, KRIs und Berichten für die Geschäftsleitung, die die Risikolage, den Fortschritt bei der Abhilfe, die Alterung von Ausnahmen, die Prüfungsbereitschaft und die Kontrollleistung kommunizieren.
- Übersetzung von Erkenntnissen aus Bewertungen, Audits, Schwachstellenprüfungen, Lieferantenprüfungen und Sicherheitstools in priorisierte Risikoeinträge und Aktionspläne.
Richtlinien-, Standard- und Ausnahmemanagement –
- Leitung konsistenter Governance-Praktiken für das Management des Richtlinienlebenszyklus und risikobasierte Ausnahmen.
- Koordination von Überprüfungszyklen für Richtlinien und Standards, Stakeholder-Feedback, Genehmigungen, Veröffentlichung, Bestätigungen und zugehörige Nachweise.
- Gestaltung und Betrieb eines Ausnahmeprozesses, der die Erfassung, Risikobewertung, Dokumentation, Genehmigungsweiterleitung, Erneuerungsintervalle und Abschlussverfolgung umfasst.
- Zusammenarbeit mit Kontrollinhabern, um sicherzustellen, dass Ausnahmen den geschäftlichen Bedarf, die Risikobegründung, kompensierende Kontrollen, Ablaufdaten und Verpflichtungen zur Abhilfe klar dokumentieren.
Audit-, Compliance- und Nachweismanagement –
- Aufbau und Betrieb von prüfungssicheren Prozessen für interne, externe und regulatorische Compliance-Aktivitäten.
- Koordination von Anfragen nach Nachweisen, Antworten von Kontrollinhabern, Verfolgung von Problemen, Aktualisierungen von Abhilfemaßnahmen und Statusberichten für interne Audits, externe Audits, Kundenanfragen und Compliance-Bewertungen.
- Entwicklung von Standards für Kontrollnachweise, Praktiken zur Aufbewahrung von Nachweisen, Verfahren zur Unterstützung von Tests und Qualitätsprüfungen zur Verbesserung der Konsistenz und Prüfungsbereitschaft.
- Unterstützung von Governance-Aktivitäten im Zusammenhang mit Frameworks und Verpflichtungen wie NIST, CIS Controls, SOC 2, CMMC, DFARS und anderen anwendbaren Sicherheits- oder Compliance-Anforderungen.
Risikomanagement von Drittanbietern und funktionsübergreifende Koordination –
- Leitung von Governance-Aktivitäten, die die Transparenz des Risikos von Lieferanten, Händlern und Dienstleistern verbessern.
- Überprüfung von Sicherheitsfragebögen für Lieferanten, SOC-Berichten, Zertifizierungen, vertraglichen Sicherheitsanforderungen und Due-Diligence-Artefakten zur Identifizierung und Kommunikation von Risiken.
- Zusammenarbeit mit Beschaffung, Rechtsabteilung, Informationssicherheit, IT und Geschäftsinhabern zur Dokumentation von Risikobewertungen, Verfolgung von Abhilfemaßnahmen und Verbesserung von Governance-Prozessen für Drittanbieter.
- Betreuung von Junior-Teammitgliedern und Hilfe bei der Festlegung konsistenter Erwartungen für Dokumentationsqualität, Follow-up mit Stakeholdern, Verantwortlichkeit für Probleme und Berichterstattung für die Geschäftsleitung.
Zusätzliche Aufgaben
- Nutzt Schulungs- und Entwicklungsmöglichkeiten; bemüht sich um kontinuierlichen Aufbau von Wissen und Fähigkeiten
- Unterstützt Personal in anderen IT-Abteilungen bei der Lösung technischer und/oder Anwendungsfragen
- Nimmt an internen und externen Audits teil und unterstützt diese
- Weitere nach Bedarf anfallende Aufgaben
- Erfahrung mit dem Management des Richtlinienlebenszyklus, der Entwicklung von Standards, dem Ausnahmemanagement, der Dokumentation von Risikobestätigungen und der Berichterstattung über Governance ist von Vorteil.
- Erfahrung in der Überprüfung von Sicherheitsartefakten von Lieferanten wie SOC-Berichten, Fragebögen, Zertifizierungen, Sicherheitszusätzen und Abhilfemaßnahmen ist von Vorteil.
- Professionelle Zertifizierung ist von Vorteil, wie z. B. CISA, CRISC, CGRC, CISM, CISSP, Security+, ISO/IEC 27001 Lead Implementer oder Lead Auditor oder Cyber AB CMMC Certified Professional.
Gehaltsspanne
Die erwartete Vergütung für diese Position beträgt USD $120,000.00/Jahr - USD $140,000.00/Jahr, abhängig von Erfahrung, Qualifikationen und Standort.
EEO-Erklärung
Reliance, Inc. IST EINE DROGENFREIE ARBEITSUMGEBUNG EEO/BEHINDERUNG/VETERAN
Mehr Möglichkeiten mit einem Profil
Für mehr Stellen berücksichtigt werden, ohne den ganzen Prozess zu wiederholen? Erstellen Sie Ihr Profil, damit Unternehmen auf Nort Sie finden.
Profil erstellen