Vailor : l'alternative GRC IA souveraine à LogicManager

Le risque opérationnel est le risque de perte lié à des processus, des personnes ou des systèmes internes défaillants, ou à des événements extérieurs. La définition vient de la supervision bancaire et s'est diffusée bien au-delà. Elle couvre la fraude, l'erreur humaine, la panne, la défaillance d'un prestataire, le manquement réglementaire, et le risque numérique en fait partie. Le cyber n'est donc pas une discipline à côté : c'est une famille du risque opérationnel, avec la particularité d'être traitée par une équipe, une méthode et un vocabulaire qui lui sont propres.

Parce qu'il est produit par une autre équipe, sur ses propres échelles et selon son propre calendrier. Une analyse cyber raisonne en scénarios de menace, en vulnérabilités et en mesures ; le registre opérationnel raisonne en pertes, en processus dégradés et en impacts métier. Les deux décrivent souvent le même événement sans jamais se croiser. La direction reçoit alors deux photographies qu'elle ne peut pas superposer, et arbitre ses budgets sans voir quelle exposition pèse réellement le plus lourd.

En le cotant sur ce qu'il coûte à l'activité plutôt que sur sa difficulté technique. C'est l'apport d'EBIOS RM : le premier atelier identifie les valeurs métier et les événements redoutés qui s'y rattachent, et la gravité se mesure à l'atteinte portée à ces missions, dans le même langage qu'une rupture d'approvisionnement ou une erreur de traitement. Vailor conserve cette chaîne de bout en bout, du bien support jusqu'à l'impact métier, ce qui permet de verser un scénario cyber dans une cartographie plus large sans avoir à le retraduire.

Vailor est une plateforme GRC dédiée au risque numérique et à la conformité qui l'accompagne : c'est là que des méthodes et des référentiels formalisés, comme EBIOS RM ou NIS2, donnent à l'IA une matière solide à lire. Le socle entreprise reprend vos entités, périmètres et actifs, et chaque analyse s'y rattache. Les scénarios, leur cotation et leurs plans de traitement sont structurés et documentés, ce qui les rend lisibles par la direction des risques, qui peut les reprendre dans son registre sans repartir des documents techniques. Si vous avez votre propre méthode d'analyse, elle s'intègre en développement spécifique.

Le partage courant suit le modèle des trois lignes : le métier porte et traite le risque, les fonctions de contrôle (risque, conformité, sécurité) cadrent la méthode et challengent les évaluations, l'audit interne évalue l'ensemble de façon indépendante. Le RSSI relève de la deuxième ligne : il n'est pas propriétaire du risque, il en organise l'appréciation. Vailor est construit ainsi : le métier lance sa pré-analyse en self-service, la sécurité qualifie ensuite le projet, et des droits fins, avec des rôles sur mesure, gardent chaque rôle à sa place.

On commence par le cadre, pas par les risques : entités, périmètres, actifs et échelles de cotation sont modélisés d'abord, puis les analyses existantes viennent s'y rattacher. C'est aussi le moment de décider ce qui est repris tel quel, ce qui est requalifié et ce qui est archivé, car un registre qui vit depuis plusieurs années accumule des lignes sans propriétaire ni date de revue. Une fois le cadre posé, l'IA lit les documents de chaque projet et préremplit l'analyse à partir d'extraits, et vos experts valident.