Vailor : l'alternative GRC IA souveraine à GRChive

Un registre des risques n'est pas une liste de menaces : c'est l'ensemble des liens entre un actif, un scénario de risque, ses niveaux de vraisemblance et d'impact, la décision de traitement retenue, la personne qui en répond et le risque résiduel accepté. S'y ajoutent la date de la dernière revue et la justification de chaque arbitrage. L'ISO/IEC 27005 fournit les lignes directrices de cette démarche, et l'ISO/IEC 27001 impose de conserver des informations documentées sur les résultats des appréciations du risque. Sans ces liens, un registre décrit un état sans expliquer comment on y est arrivé.

Parce que ce qu'il décrit change plus vite que lui. Un actif est décommissionné, un prestataire est remplacé, une mesure glisse d'un trimestre, un propriétaire de risque change de poste. Chacun de ces événements devrait déclencher une revue et aucun ne le fait spontanément. Douze mois plus tard, le registre décrit le périmètre de l'an dernier. Le symptôme classique est la reconstitution dans les semaines qui précèdent l'audit, qui produit un document exact le jour de l'audit et faux le reste de l'année.

Une preuve tient dans le temps quand elle est datée, attribuable à un auteur identifié, rattachée à l'exigence ou à la mesure qu'elle soutient, et retrouvable sans dépendre de la mémoire d'une personne. La vraie contrainte est la durée : un cycle de certification ISO/IEC 27001 se déroule sur trois ans, ponctué d'audits de surveillance, et l'auditeur peut demander comment une décision a été prise deux ans plus tôt. Une capture d'écran sans horodatage ni contexte ne répond pas à cette question.

Vailor traite le registre comme un objet vivant plutôt que comme un livrable annuel. Chaque risque est relié aux mesures du plan d'action, avec leur priorité, et des relances aident à tenir le rythme. Côté analyse, l'IA lit les documents du projet et préremplit les champs en citant ses sources, et chaque proposition reste soumise à validation. EBIOS RM est couverte de bout en bout, ce qui évite de reconstruire le registre à chaque nouvel exercice.

Chaque décision est horodatée et attribuée dans un journal d'audit sans fonction d'effacement. La piste d'audit se construit donc au fil du travail, et non la veille de l'audit. Quand l'IA intervient, elle cite les extraits de vos documents sur lesquels elle s'appuie, vérifiés mot à mot, et rien n'est validé sans un humain : un auditeur voit ce qui a été retenu, par qui et quand, et un rôle auditeur en lecture seule lui donne accès sans risque de modification. Vos registres et les preuves associées sont hébergés en France par défaut.

Le travail se fait avant la bascule. On fige le périmètre, on aligne les échelles de vraisemblance et d'impact pour que les niveaux gardent le même sens, puis on rejoue quelques scénarios connus afin de vérifier que les résultats restent cohérents. L'antériorité doit voyager avec le registre et rester rattachée aux risques concernés, sinon l'historique disparaît au moment précis où un auditeur le réclame. La migration s'opère par étapes, avec un accompagnement dédié, sans interrompre le cycle d'audit en cours.