Vailor : l'alternative GRC IA souveraine à Tenacy

En acceptant de suivre peu de choses, mais de les tenir vraiment. Trois objets suffisent à porter le pilotage : un registre des risques à jour, l'état réel des mesures rattachées aux référentiels que vous appliquez, et un plan d'action dont chaque ligne a un responsable nommé et une échéance. Le reste est de la documentation, utile mais pas pilotable. Une équipe de deux ou trois personnes échoue rarement par manque d'indicateurs : elle échoue parce que leur mise à jour repose sur des relances et des recopies manuelles qu'aucun agenda ne tient sur douze mois.

Ceux qui déclenchent une décision. La couverture des mesures par référentiel dit où porter l'effort. La part des risques acceptés, et par qui, dit ce que l'organisation assume. Les actions en retard et leur ancienneté disent si le plan avance. L'âge des preuves dit ce qui sera contesté au prochain audit. Un indicateur qui ne change jamais l'ordre des priorités du trimestre encombre le tableau de bord. Dans Vailor, les tableaux de bord des risques et des mesures se construisent à partir des données déjà saisies : le suivi n'ajoute pas une saisie supplémentaire.

En rattachant chaque action à son origine. Une action existe parce qu'un risque doit être réduit, un écart de contrôle corrigé ou une décision de comité appliquée, et ce lien est ce qui tranche l'arbitrage quand les moyens manquent. Vailor conserve ce rattachement, porte le responsable et l'échéance sur l'action elle-même et garde les décisions horodatées. Le suivi cesse alors de dépendre des relances : ce qui approche de son échéance et ce qui n'est plus à jour se lisent dans le plan, pas dans une boîte mail. La revue du plan d'action redevient une lecture, pas une enquête.

Une exposition, des arbitrages et les décisions que vous attendez d'elle, pas un inventaire technique. La directive NIS2 demande aux organes de direction d'approuver les mesures de gestion des risques et d'en superviser la mise en œuvre : la restitution est donc l'acte qui engage leur responsabilité, pas une information de courtoisie. Un format qui tient : ce qui a changé depuis le dernier comité, les risques dont le traitement dépend d'un budget, et les acceptations de risque à valider nommément. L'ISO 27001 attend par ailleurs une revue de direction à intervalles planifiés, à partir de la même matière.

Elle prend la part du travail qui n'exige pas de jugement. Dans une analyse de risque, l'IA lit les documents du projet et préremplit les champs en citant les extraits sur lesquels elle s'appuie ; sans documents, Vailor organise la collecte auprès des métiers avec des questions simples. Elle propose aussi l'effort et le coût des mesures. Les arbitrages restent humains, parce qu'accepter un risque résiduel ou décaler une remédiation engage l'organisation. Chaque décision est tracée : une seule personne peut relire, corriger et assumer le résultat devant un auditeur.

En partant de ce qui doit survivre au changement : le registre des risques, l'état des mesures par référentiel, les preuves et leur date, les actions ouvertes avec leur responsable, et les décisions d'acceptation déjà prises. Ces éléments s'exportent et se reprennent ; ce qui se perd quand la reprise est bâclée, ce sont les liens entre eux. Notre équipe accompagne la reprise, et un partenaire intégrateur comme CYNERS peut prendre le relais : une petite équipe n'absorbe donc pas le chantier seule. Conduire un cycle de revue en parallèle de votre outil actuel suffit à vérifier que rien n'a été laissé de côté.