Qu'est-ce que la GRC ? Gouvernance, risques et conformité

La GRC (gouvernance, risques et conformité) est l'approche qui relie trois activités souvent menées séparément : fixer les règles et les responsabilités, identifier et traiter les risques, et démontrer que les exigences sont respectées. En cybersécurité, elle permet au RSSI et à la direction de piloter la sécurité avec des informations à jour et partagées, plutôt qu'avec des fichiers dispersés. Voici ce que recouvre la GRC, d'où elle vient, quels référentiels elle mobilise et comment choisir un outil GRC.

GRC : la définition en une phrase

La GRC désigne la manière dont une organisation se dirige (gouvernance), anticipe ce qui pourrait l'empêcher d'atteindre ses objectifs (risques) et respecte les règles qui s'imposent à elle (conformité), en traitant ces trois sujets comme un tout. L'idée de départ est simple : une décision de direction, une analyse de risques et un audit de conformité parlent souvent du même actif, de la même mesure ou du même prestataire. Les mener chacun dans son coin produit des doublons, des angles morts et des tableaux de bord contradictoires.

D'où vient le terme GRC ?

Le terme a été popularisé au début des années 2000 par l'OCEG (Open Compliance and Ethics Group), une association professionnelle américaine qui indique avoir formalisé la notion en 2002. L'OCEG définit la GRC comme l'ensemble intégré des capacités qui permettent à une organisation d'« atteindre ses objectifs de manière fiable, de faire face à l'incertitude et d'agir avec intégrité ». Cette définition a un mérite : elle rappelle que la GRC sert d'abord la performance de l'organisation, et pas seulement le contrôle.

Un point de vocabulaire, enfin : en français, le sigle GRC désigne aussi la gestion de la relation client (l'équivalent du CRM). Rien à voir avec le sujet de cet article, qui traite de la GRC au sens gouvernance, risques et conformité, et plus particulièrement de la GRC cybersécurité.

La gouvernance : qui décide, selon quelles règles

La gouvernance fixe le cap. Elle définit les objectifs de sécurité, les rôles et les responsabilités, les instances de décision (comité de sécurité, comité des risques) et les règles du jeu, au premier rang desquelles la politique de sécurité des systèmes d'information (PSSI). Elle fixe aussi l'appétence pour le risque : le niveau de risque que la direction accepte de prendre pour atteindre ses objectifs. Le guide « Maîtrise du risque numérique », publié par l'ANSSI et l'AMRAE (l'association française des gestionnaires de risques, ou risk managers), le résume ainsi : le risque numérique est « un risque à traiter au plus haut niveau de l'organisation ».

La gestion des risques : prioriser ce qui compte

La gestion des risques identifie ce qui pourrait porter atteinte aux activités de l'organisation, en estime la gravité et la vraisemblance, puis décide du traitement : réduire, transférer, éviter ou accepter. En cybersécurité, elle s'appuie sur une méthode reconnue, comme EBIOS Risk Manager publiée par l'ANSSI ou la norme ISO/IEC 27005. C'est elle qui transforme une liste d'exigences en priorités : toutes les mesures ne se valent pas, et l'analyse de risques dit lesquelles comptent le plus pour vous.

La conformité : démontrer que les règles sont appliquées

La conformité vérifie que l'organisation respecte les exigences qui s'imposent à elle : lois et règlements (NIS 2, DORA, RGPD), normes auxquelles elle s'engage (ISO 27001, HDS), contrats et règles internes. Elle ne se limite pas à cocher des cases : elle doit produire des preuves, mesurer les écarts et suivre les actions correctives jusqu'à leur clôture.

Pris isolément, chaque pilier fonctionne mal. Une gouvernance sans analyse de risques décide à l'aveugle ; une analyse de risques sans suivi de conformité reste un document ; une conformité sans gouvernance devient une course aux audits. La GRC tient en une boucle :

La GRC est née dans le monde financier et de l'audit, où elle couvre l'ensemble des risques de l'entreprise : financiers, juridiques, opérationnels, de réputation. On parle alors de GRC d'entreprise, souvent pilotée par la direction des risques ou du contrôle interne, avec des référentiels comme ISO 31000 pour le management du risque ou ISO 37301 pour les systèmes de management de la conformité.

La GRC cybersécurité (ou GRC informatique, GRC IT) applique la même logique au périmètre de la sécurité de l'information. Elle est le plus souvent portée par le RSSI, et ses objets sont plus concrets : systèmes d'information, données, prestataires, mesures de sécurité.

Les deux se rejoignent : le risque cyber fait partie de la cartographie des risques de l'entreprise, et le RSSI doit pouvoir traduire ses scénarios dans le langage du gestionnaire de risques (impact financier, impact sur l'activité). C'est précisément l'objet du guide de l'ANSSI et de l'AMRAE cité plus haut.

Une démarche GRC cybersécurité s'appuie sur des référentiels de nature différente : certains sont des lois, d'autres des normes volontaires, d'autres encore des méthodes. Les connaître évite de les traiter comme des chantiers séparés, alors qu'ils exigent souvent les mêmes mesures.

NIS 2 illustre bien pourquoi la GRC devient incontournable. La directive impose aux organes de direction d'approuver les mesures de gestion des risques et de suivre une formation, et prévoit leur responsabilité en cas de manquement (article 20). En France, sa transposition par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité était encore en cours d'examen au Parlement à l'automne 2026 ; l'ANSSI accompagne déjà les entités concernées et a publié un référentiel de mesures de sécurité de travail, le ReCyF. Pour le détail, lisez notre article De NIS à NIS 2, et voyez comment piloter ces exigences dans un logiciel de conformité NIS 2 ou, pour le secteur financier, de conformité DORA.

La GRC n'est pas le métier d'une seule personne. Elle répartit les responsabilités entre plusieurs acteurs :

• La direction générale fixe l'appétence pour le risque, arbitre les budgets et, avec NIS 2 et DORA, porte une responsabilité directe.
• Le RSSI organise la gouvernance de la sécurité, conduit les analyses de risques, rédige la PSSI et suit la conformité. Dans beaucoup de PME et d'ETI, il est de fait le responsable GRC.
• Le gestionnaire de risques intègre le risque cyber à la cartographie des risques de l'entreprise et le traduit en impacts financiers et métiers.
• Le DPO (délégué à la protection des données) veille à la conformité au RGPD et conseille sur les analyses d'impact (AIPD) ; sa désignation est obligatoire dans certains cas, précisés par la CNIL.
• Le responsable conformité suit les obligations réglementaires, en particulier dans les secteurs régulés (banque, assurance, santé).
• L'audit interne vérifie de façon indépendante que le dispositif fonctionne.
• Les métiers enfin connaissent la valeur de leurs activités et de leurs données : sans eux, l'analyse de risques reste théorique.

Pour organiser ces rôles, beaucoup d'organisations s'appuient sur le modèle des trois lignes de l'Institute of Internal Auditors (IIA), mis à jour en 2020 : les opérationnels gèrent les risques au quotidien (première ligne), les fonctions risques, conformité et sécurité apportent expertise et contrôle (deuxième ligne), l'audit interne donne une assurance indépendante (troisième ligne). Le RSSI se situe le plus souvent en deuxième ligne.

• Évaluer une fois, servir plusieurs référentiels. Une même mesure (gestion des accès, sauvegardes, journalisation) répond à ISO 27001, à NIS 2, à DORA et à votre PSSI. Reliés, ces référentiels ne demandent plus quatre évaluations.
• Prioriser les investissements. L'analyse de risques indique où chaque euro réduit le plus le risque, au lieu de financer la mesure la plus visible.
• Donner à la direction une vision lisible. Niveau de risque, taux de conformité, avancement des plans d'action : des indicateurs calculés à partir des mêmes données.
• Préparer les audits sans panique. Les preuves sont rattachées aux exigences au fil de l'eau, pas rassemblées la veille de l'audit.
• Maîtriser la chaîne de sous-traitance. Les prestataires sont évalués avec les mêmes exigences que l'interne : c'est l'objet de la gestion des risques tiers.
• Gagner la confiance des clients et partenaires. Une organisation capable de démontrer sa maîtrise du risque répond plus vite aux questionnaires de sécurité et aux appels d'offres.

Il n'existe pas de recette unique, mais les démarches qui fonctionnent suivent souvent le même ordre :

1. Obtenir le mandat de la direction : un commanditaire, un périmètre, des moyens.
2. Lister les exigences applicables : lois, normes, contrats, règles internes.
3. Définir les rôles et les instances de décision (comité de sécurité, revues).
4. Choisir une méthode d'analyse de risques et l'appliquer d'abord au périmètre le plus critique.
5. Évaluer les écarts de conformité et rattacher les preuves existantes.
6. Construire un plan d'action unique, alimenté par les risques et par les écarts, avec des responsables et des échéances.
7. Mesurer et rendre compte à intervalles réguliers, puis recommencer.

Avant de choisir un outil, il est utile de savoir d'où l'on part. Les modèles de maturité, comme celui que propose l'OCEG ou les grilles par paliers utilisées par les cabinets, distinguent généralement une organisation réactive d'une organisation qui pilote ses risques avec des indicateurs. Situez-vous en cinq questions :

Beaucoup d'organisations commencent leur GRC dans des tableurs. Cela fonctionne tant que le périmètre est petit ; au-delà, les liens entre risques, exigences et actions se cassent à chaque mise à jour, et la préparation d'un audit devient un chantier de consolidation. Un logiciel GRC prend alors le relais. Pour le choisir, voici les critères qui comptent vraiment ; notre comparatif des outils GRC les détaille avec une grille d'évaluation interactive :

Couverture fonctionnelle

• Analyse de risques selon une méthode reconnue : en France, un module EBIOS RM labellisé par l'ANSSI est un gage de fidélité à la méthode.
• Catalogue de référentiels (ISO 27001/27002, NIS 2, DORA, RGPD…) et possibilité d'ajouter sa propre PSSI.
• Correspondances entre référentiels, pour ne pas évaluer deux fois la même mesure.
• Évaluations de conformité avec preuves, et accès pour les auditeurs.
• Plans d'action avec responsables, échéances et relances.
• Risques tiers : questionnaires et suivi des prestataires.

Adaptation et adoption

• L'outil s'adapte-t-il à vos méthodes, vos échelles et vos bases de risques, ou faut-il tout changer ?
• Les contributeurs métier peuvent-ils participer sans formation lourde ?
• Peut-on reprendre l'historique de vos fichiers existants ?
• Peut-on démarrer par un module et étendre ensuite ?

Exigences de souveraineté et de sécurité

• Où sont hébergées les données (vos analyses de risques sont sensibles) ? Une option de cloud qualifié SecNumCloud ou une installation sur site est-elle possible ?
• L'authentification unique (SAML, OAuth) et la gestion fine des rôles sont-elles prévues ?

À titre d'exemple, Phinasoft est un logiciel GRC français dédié à la cybersécurité qui réunit cinq modules partageant les mêmes données : analyses de risques (avec un module EBIOS RM labellisé par l'ANSSI et ISO 27005), référentiels et PSSI, campagnes de conformité, évaluation des tiers et conformité RGPD. Il s'héberge en SaaS européen, en cloud souverain français avec option SecNumCloud, ou sur site. Le plus simple pour juger un outil reste de le voir sur vos propres cas : c'est l'objet d'une démonstration.