Vailor : l'alternative GRC IA souveraine à Cisopolis

Moins les documents que les liens entre eux : le registre des risques, les actions ouvertes avec leur responsable et leur échéance, les contrôles et les preuves qui les attestent, les dérogations acceptées et leur date de réexamen, les référentiels qui s'appliquent. Le test utile tient en une question : pouvez-vous dire en une manipulation où en est un risque et qui l'a validé ? Vailor maintient ce fil dans un référentiel unique, où un scénario, la mesure qui le réduit et sa preuve restent rattachés quand le périmètre bouge.

Un arbitrage ne tient que si les deux risques sont décrits sur la même échelle : même méthode de cotation, même définition de la gravité, même hypothèse de vraisemblance. Ce que l'on compare ensuite, c'est le coût du traitement, le délai de mise en œuvre et le risque résiduel que l'on accepte de conserver. L'ISO/IEC 27001 demande d'ailleurs que ce risque résiduel soit approuvé par le propriétaire du risque, et pas seulement constaté. Dans Vailor, chaque mesure porte sa charge en jours-homme, son coût et sa priorité (P1 à P4), conservés avec la décision pour que l'arbitrage reste relisable.

Trois choses, rarement des indicateurs techniques : où l'organisation est exposée, ce qui a changé depuis la séance précédente, et quelles décisions sont attendues aujourd'hui (budget, acceptation d'un risque, priorisation d'un plan). La directive NIS2 durcit cette attente : elle prévoit que l'organe de direction approuve les mesures de gestion des risques de cybersécurité et supervise leur mise en œuvre. Le point n'est donc plus seulement informatif, il engage. Vailor produit cette matière à partir des données déjà saisies, avec une synthèse décideur et une vue dirigeant exportable en PowerPoint.

Le temps de préparation passe rarement dans l'analyse : il passe dans la collecte, le rapprochement de versions et la mise en forme. La règle pratique est simple : le reporting doit être une vue du référentiel, pas un document entretenu à côté de lui. Dans Vailor, l'avancement des plans d'action et l'état des risques se lisent dans des tableaux de bord, avec des indicateurs proposés ou sur mesure, et la vue dirigeant s'exporte en PowerPoint. Ce qui reste à écrire, c'est le commentaire.

En conservant le contexte, pas seulement la conclusion : ce qui était connu à la date de la décision, l'option retenue, celle écartée, la personne qui a tranché et l'échéance de réexamen. Sans cela, une décision raisonnable devient indéfendable en revue de direction, exercice que l'ISO/IEC 27001 impose à intervalles planifiés, comme devant un auditeur. Vailor trace ces éléments dans un journal d'audit sans fonction d'effacement, et quand l'IA s'appuie sur vos documents, l'extrait cité reste rattaché à sa proposition, de sorte que la responsabilité de la décision reste attribuable à une personne.

Traitez la migration comme un inventaire : quels risques sont encore actifs, quelles actions sont encore ouvertes, quelles preuves sont encore valides, quels référentiels s'appliquent vraiment. Tout reprendre à l'identique est rarement le bon objectif, car une partie de l'historique n'a plus de valeur opérationnelle. En pratique, on repart du registre des risques et des actions ouvertes, puis on rattache les preuves au fil des revues. Vailor se déploie en SaaS ou dans votre infrastructure, et nos équipes accompagnent cette reprise étape par étape.