Le logiciel GRC qui unifie gouvernance, risque et conformité

Le sigle recouvre la gouvernance, le risque et la conformité. Appliqué à l'informatique et à la cybersécurité, il désigne le pilotage du système de management de la sécurité de l'information : politiques, registre des risques, mesures de sécurité, plans de traitement et preuves d'audit. Attention à l'ambiguïté du sigle en français : dans les directions commerciales, GRC désigne la gestion de la relation client, l'équivalent du CRM anglo-saxon. Les deux familles de produits n'ont rien en commun, vérifiez donc à laquelle appartient un éditeur avant de comparer des fonctionnalités.

Un outil de conformité répond à une seule question : sommes-nous alignés sur un référentiel, contrôle par contrôle ? Un logiciel GRC ajoute la couche de décision qui précède le contrôle : quel risque le justifie, qui a accepté le risque résiduel, dans quel délai et selon quel plan de traitement. C'est ce qu'attend la déclaration d'applicabilité de l'ISO/IEC 27001, qui doit relier les mesures retenues aux risques identifiés et justifier aussi bien celles que vous retenez que celles que vous écartez. Sans registre des risques vivant, cette pièce se rédige après coup.

Oui, à condition de regarder au bon endroit. Les questions utiles ne portent pas sur le mot cloud mais sur le droit applicable : où les données sont physiquement hébergées, à quelles juridictions répondent l'éditeur et ses sous-traitants, et quelles autorités étrangères peuvent en exiger l'accès. Un hébergement en France ou en UE chez un fournisseur soumis au seul droit européen écarte les législations extraterritoriales comme le CLOUD Act américain. Vérifiez aussi la réversibilité : pouvez-vous exporter votre registre des risques et vos preuves le jour où vous partez ?

Non, et aucun éditeur ne peut le promettre. La certification ISO/IEC 27001 est délivrée par un organisme de certification accrédité, à l'issue d'un audit initial en deux étapes, puis maintenue par des audits de surveillance sur un cycle de trois ans. Un logiciel GRC ne remplace pas cet audit : il allège la préparation, en tenant à jour le périmètre, l'appréciation des risques, la déclaration d'applicabilité et les preuves rattachées à chaque mesure. L'auditeur évalue votre système de management et vos pratiques réelles, pas l'outil qui les a documentés.

Le déclencheur n'est pas l'effectif mais le nombre de croisements à tenir. Un référentiel unique, une entité et un audit annuel se pilotent encore à la main. Dès que vous cumulez deux ou trois référentiels (ISO 27001, NIS2, DORA, RGPD), plusieurs filiales ou pays, un flux régulier de questionnaires de tiers et des demandes de preuves répétées, la coordination devient un travail à part entière. Le signal le plus fiable reste le temps passé à reconstituer la même information pour deux destinataires différents.

Un tableur stocke des lignes, pas des liens. Rien n'y rattache un risque à la mesure qui le réduit, ni cette mesure à la preuve qui l'atteste : le jour de l'audit, c'est vous qui refaites chaque rapprochement à la main. Il ne garde pas non plus de trace fiable de qui a modifié quoi et quand, il ignore la date de péremption d'une preuve, et il oblige à ressaisir un contrôle commun autant de fois qu'il y a de référentiels. Utile pour un calcul ponctuel, il devient risqué dès qu'il sert de source de vérité partagée.