GRC IA vs Excel : pourquoi les tableurs ne suffisent plus

Techniquement oui, et c'est ainsi que la plupart des démarches commencent. La difficulté n'est pas de produire une première analyse, elle est de la maintenir. Une analyse de risque manipule des objets liés : un actif porte des scénarios, un scénario appelle des mesures, une mesure s'appuie sur des preuves datées. Dans un classeur, ces liens sont tenus à la main et se cassent dès qu'une ligne est insérée ou qu'un onglet est dupliqué. Le tableur ne devient un problème qu'au deuxième cycle, quand il faut expliquer pourquoi une décision a été prise l'année précédente.

Rarement son contenu, presque toujours sa traçabilité. Un auditeur demande qui a saisi une valeur, quand, sur quelle base, et si la version qu'il consulte est bien celle qui a servi à décider. Un classeur partagé ne répond à aucune de ces questions : il n'a ni journal, ni identité, ni horodatage fiable. S'y ajoute le contrôle d'accès, puisque le registre des risques et la liste des vulnérabilités figurent souvent dans le même fichier, accessible à qui possède le lien.

Trois signaux reviennent systématiquement. Le premier est le nombre de contributeurs : au-delà de deux ou trois personnes qui écrivent, les versions divergent. Le deuxième est le nombre de référentiels : dès qu'ISO 27001, NIS2 ou DORA se superposent, les contrôles communs doivent être mutualisés, ce qu'un classeur ne sait pas faire sans duplication. Le troisième est la fréquence de revue : une analyse revue une fois par an tient dans un tableur, une posture pilotée en continu non.

Il se reprend, à condition de savoir ce qui doit survivre. Ce qui compte est le registre des risques, l'état des mesures par référentiel, les preuves et leur date, les actions ouvertes avec leur responsable, et les acceptations de risque déjà signées. Ces éléments s'exportent depuis un classeur et se rechargent. Ce qui se perd quand la reprise est bâclée, ce sont les liens entre eux, et c'est précisément ce que l'on cherchait à gagner. Prévoyez donc la reprise comme un exercice de rattachement, pas comme un import.

Non, elle change surtout ce qui se passe entre deux revues. Dans un tableur, l'information est vraie le jour où elle est saisie et vieillit sans que personne ne le voie. Sur une plateforme, une preuve porte une date, une action porte une échéance, et ce qui a expiré se lit sans enquête. Chez Vailor s'ajoute l'IA, qui lit vos documents et préremplit les analyses de risque à partir d'extraits cités. Les arbitrages, eux, restent humains.

Non, et vouloir tout basculer d'un coup est la meilleure façon d'échouer. La transition qui fonctionne commence par un périmètre : une application critique, un référentiel, un cycle de revue. Vous conduisez ce cycle sur la plateforme pendant que le classeur reste en place, puis vous comparez ce que chacun sait dire à date. L'écart est en général suffisamment net pour trancher, et l'organisation change d'outil parce qu'elle en a fait l'expérience, pas parce qu'on le lui a demandé.