La plateforme GRC IA pensée pour les ESN et leurs missions clients

Trois modèles coexistent et ne s'équivalent pas. La prescription, où votre client signe directement avec l'éditeur et où vous facturez votre accompagnement. La revente ou le service managé, où c'est vous qui contractez avec l'éditeur, opérez la plateforme pour le compte de votre client et restez son interlocuteur unique. La marque blanche au sens strict, où l'outil porte votre identité visuelle. Ce qui compte contractuellement n'est pas le logo : c'est qui détient les données, qui signe l'accord de sous-traitance exigé par le RGPD, et ce que devient l'accès de votre client si la mission s'arrête. Tranchez ces trois points avant de choisir un modèle.

Le terme désigne un socle prêt à l'emploi : modèles de politiques, bibliothèque de mesures, questionnaires d'entretien, correspondances entre référentiels. Son intérêt réel tient à la mutualisation : une mesure de sécurité correctement décrite sert simultanément à plusieurs référentiels, puisque l'ISO/IEC 27001, NIS2 et le NIST CSF demandent largement les mêmes pratiques sous des formulations différentes. L'accélération vient de là, pas d'un gabarit de rapport. Un accélérateur qui ne maintient plus ces correspondances quand une édition change redevient un dossier de fichiers en quelques mois.

Votre client. Externaliser l'exécution ne transfère pas la responsabilité : c'est l'entité régulée qui répond devant son autorité de contrôle, et NIS2 va plus loin en chargeant ses organes de direction d'approuver les mesures de gestion des risques et d'en superviser la mise en oeuvre. Votre rôle est de produire une démonstration qui tienne sans vous : décisions datées, preuves rattachées à une exigence, responsable interne identifié pour chaque mesure. Un dossier qui ne se comprend qu'avec votre consultant au téléphone est un dossier fragile.

Non. Le certificat ISO/IEC 27001 est délivré par un organisme de certification accrédité, et les règles d'impartialité qui s'imposent à ces organismes leur interdisent de certifier un système de management sur lequel ils ont eux-mêmes fourni du conseil. La séparation est nette : vous préparez, documentez, formez et conduisez l'audit à blanc ; un tiers indépendant audite et décide. Rien ne vous empêche d'aider votre client à choisir cet organisme et à aborder l'audit sans surprise. Le dire en avant-vente évite l'ambiguïté la plus coûteuse du métier, celle du client qui croyait acheter un certificat.

Cinq points reviennent dans presque tous les questionnaires fournisseurs, et ils sont légitimes : où sont hébergées les données, comment son périmètre est cloisonné de celui de vos autres clients, quels sous-traitants ultérieurs interviennent, ce que l'éditeur fait des contenus soumis à l'IA, et comment il récupère ses données si la relation s'arrête. Côté Vailor, en SaaS, les données sont stockées en France (AWS, région Paris) et les traitements d'IA passent par AWS Bedrock dans des régions de l'Union européenne ; la plateforme peut aussi s'installer dans l'infrastructure de votre client, et les contenus ne servent jamais à entraîner des modèles : cela répond au premier et au quatrième point. Les autres se répondent par écrit, dans le contrat, pas à l'oral en réunion.

Parce que le coût du tableur n'apparaît pas sur une mission, il apparaît sur le portefeuille. Chaque client finit avec sa propre variante du modèle, plus personne ne sait laquelle fait foi, et une question simple devient un chantier : quels clients sont exposés à cette nouvelle exigence, lesquels ont une revue en retard ce mois-ci ? Une plateforme commune applique la même méthode partout, conserve l'historique des décisions et évite de ressaisir la même preuve. Sur Vailor, l'IA préremplit en plus les analyses de risque à partir des documents du client.

Dans Vailor, elle prend en charge la partie mécanique : lecture des documents projet, préremplissage de la pré-analyse et de l'analyse de risque à partir d'extraits, proposition des mesures avec leur effort et leur coût. Sans documents, Vailor organise la collecte auprès des métiers avec des questions simples. Ce qui reste à vos consultants est précisément ce que vous facturez : le choix du périmètre, l'arbitrage entre traiter et accepter un risque, la discussion avec la direction du client, l'engagement signé. L'IA déplace l'effort vers l'analyse, elle ne remplace pas la décision.