Les trois parties
- Gouvernance : qui décide, qui rend des comptes, et les politiques qui transforment les orientations de la direction en règles.
- Gestion des risques : trouver ce qui pourrait nuire à l'entreprise, l'évaluer, et décider quoi faire.
- Conformité : savoir quelles lois, normes et contrats s'appliquent, les respecter, et pouvoir le prouver.
Pourquoi elles vont ensemble
Traitées séparément, les trois créent du travail en double : la même mesure est documentée trois fois pour trois audits, et les risques sont revus par des personnes qui ne voient jamais les politiques.
Traitées ensemble, un seul ensemble de mesures répond à plusieurs obligations. Un risque justifie une mesure, une politique l'exige, et la même preuve sert à chaque audit.
Par où commencer
- Définir le périmètre : quelles activités, quels sites et quels systèmes sont concernés.
- Lister vos obligations : lois, normes, contrats clients.
- Apprécier vos risques et les consigner dans un registre des risques.
- Écrire les politiques qu'exigent vos obligations et vos risques, et les faire approuver.
- Mener une analyse d'écarts pour voir ce qui manque, puis planifier le travail avec des responsables et des dates.
- Revoir régulièrement : risques, mesures et documents vieillissent tous.
Qui est responsable de la GRC
La direction reste responsable. Le travail quotidien revient en général à un responsable sécurité, conformité ou qualité, et chaque risque et chaque mesure a un propriétaire désigné dans les métiers. Des réglementations comme NIS2 et DORA rendent désormais les organes de direction explicitement responsables.
Questions
- Que signifie GRC ?
- Gouvernance, risques et conformité : la façon dont une entreprise se dirige, gère ses risques et respecte ses obligations.
- La GRC est-elle réservée aux grandes entreprises ?
- Non. Les petites entreprises reçoivent les mêmes questionnaires clients et sont soumises à bon nombre des mêmes lois. Il leur faut moins de documents et des processus plus simples, pas aucun.
- Quelle différence entre GRC et SMSI ?
- La GRC est la discipline entière. Un système de management de la sécurité de l'information (SMSI) l'applique à la sécurité de l'information, tel que défini par l'ISO/IEC 27001.