和记录当前的商业活动，采取措施和步骤来保证符合确定的方针，并且能够在误解、曲解或未遵守原则时提供矫正措施。风险管理 是组织识别潜在的风险、根据组织的商业目标区分风险的优先级、判断其抗风险度的一个流程。风险管理通过组织的内部控制来管理和减轻风险。合规审查通过记录和检测控制项，来确认其符合法律规定、行业规范以及组织的内部政策。非常重要的一点是，在 GRC 的领域中，如果并不具备第一个(公司治理), 那么后面两个(风险管理、合规审查)就显得毫无用处并且很有可能无法真正达到。类似地，如果不具备第二个(