Vailor : l'alternative GRC IA souveraine à Archer

Une même organisation relève souvent de plusieurs cadres à la fois : ISO/IEC 27001 pour la certification de son système de management, la directive NIS2 telle que transposée en droit national, le règlement DORA pour les entités financières, sans compter les exigences contractuelles de ses clients et ses propres politiques internes. Traiter chaque cadre dans son silo revient à réécrire les mêmes mesures plusieurs fois. L'approche multi-référentiels consiste à tenir un socle unique de contrôles, à rattacher chaque contrôle aux exigences qu'il couvre, et à ne collecter chaque preuve qu'une fois pour tous les cadres qui la réclament. Dans Vailor, NIS2 et ReCyF, DORA, NIST CSF 2.0 et le guide d'hygiène de l'ANSSI sont disponibles ; ISO/IEC 27001 est prévu, et d'autres référentiels peuvent être ajoutés par l'équipe Vailor.

La règle qui tient dans la durée : un propriétaire par mesure, pas un propriétaire par référentiel. Chaque cadre a un porteur, responsable de la démonstration faite à un auditeur ou à une autorité, mais la mesure elle-même reste sous la responsabilité d'une seule équipe opérationnelle. Quand deux exigences se recouvrent, l'arbitrage se fait sur la plus stricte des deux. Dans Vailor, un contrôle porte ses preuves et les actions qui le font progresser ; la lecture par référentiel est une vue sur ce même socle, donc le comité sécurité et les métiers discutent des mêmes chiffres.

La mise à disposition de la plateforme est rarement le facteur limitant. Ce qui prend du temps, c'est la matière : arrêter le périmètre, inventorier les actifs et les processus, rattacher les contrôles aux exigences de chaque cadre et nommer les responsables. D'où la séquence que nous recommandons : ouvrir sur un premier référentiel et un premier périmètre, produire un résultat exploitable, puis étendre. Un programme découpé en paliers donne des points de contrôle réguliers et évite qu'il dérive sans qu'on s'en aperçoive.

Les contributeurs hors sécurité vivent la GRC comme une charge supplémentaire, formulée dans un vocabulaire qui n'est pas le leur. Deux leviers fonctionnent : réduire ce qu'on leur demande de produire, et rendre visible ce à quoi cela sert. Dans Vailor, le métier démarre sa pré-analyse en répondant à des questions simples, puis l'IA lit les documents du projet et préremplit l'analyse de risque : le contributeur relit et corrige au lieu de partir d'une page blanche. Quand l'IA s'appuie sur les documents, elle cite l'extrait, vérifié mot à mot, et chaque décision est tracée, condition pour qu'un métier accepte de la valider en comité.

L'ordre qui limite le risque : reprendre d'abord ce qui porte de la valeur et de l'historique, soit le registre des risques, le référentiel de mesures avec ses responsables et ses statuts, les plans d'action ouverts et les preuves du cycle d'audit en cours. Les versions périmées et les échanges clos partent dans un export d'archive plutôt que dans la nouvelle plateforme. En pratique, nous reconstruisons d'abord le rattachement des mesures aux référentiels, puis nous importons, puis nous réconcilions sur un périmètre que les équipes connaissent. Un cycle de reporting mené en parallèle permet de comparer les chiffres avant de basculer.

Les cadres bougent : l'édition 2022 d'ISO/IEC 27001 a restructuré son annexe A en 93 mesures réparties en quatre thèmes, et les textes nationaux de transposition de NIS2 arrivent à des rythmes différents selon les États membres. Sur un socle multi-référentiels, un changement de version est d'abord une analyse d'impact : quelles exigences se déplacent, quels contrôles sont touchés, quelles preuves restent valables. Comme chaque contrôle est maintenu à un seul endroit dans Vailor, l'impact se lit sur le socle au lieu d'être refait cadre par cadre, et l'historique des décisions reste attaché au contrôle.