L'outil de conformité qui relie tous vos référentiels à un seul socle de contrôles

Gouvernance, risque, conformité. La gouvernance fixe les rôles, les droits de décision et les arbitrages ; la gestion des risques identifie ce qui peut empêcher l'organisation d'atteindre ses objectifs et décide du traitement ; la conformité vérifie que les obligations applicables sont respectées et démontrables. L'expression IT GRC désigne la même démarche restreinte au système d'information et à la cybersécurité. Les trois volets ne se juxtaposent pas : un risque accepté par la gouvernance devient une décision à justifier en audit, et une exigence que personne ne couvre devient un risque.

Un GRC intégré partage un seul référentiel de contrôles, un seul registre de risques et un seul stock de preuves entre toutes les obligations suivies, au lieu d'un silo par norme. Une mesure sur la gestion des accès est décrite une fois, rattachée à chaque exigence qu'elle couvre, et sa preuve vaut pour toutes. L'inverse, un fichier par référentiel, produit des états contradictoires : le même contrôle est jugé conforme d'un côté et en écart de l'autre, selon la date de la dernière mise à jour.

Aucune obligation réglementaire n'impose de logiciel. NIS2, DORA et le RGPD fixent des résultats : des mesures définies, mises en oeuvre, tenues à jour et démontrables sur demande ; l'ISO/IEC 27001 raisonne de la même façon. C'est cette obligation de démonstration, et non une règle d'outillage, qui rend une plateforme nécessaire au-delà d'un certain volume. Avec un référentiel unique et un périmètre stable, une documentation bien tenue peut suffire. Dès que plusieurs textes se recoupent, que les échéances se multiplient et que les preuves doivent rester fraîches, la tenue manuelle coûte plus cher que l'outil.

Non. Seul un organisme de certification accrédité peut émettre un certificat ISO/IEC 27001, et seulement après un audit initial en deux étapes ; viennent ensuite des audits de surveillance, puis un audit de renouvellement au bout de trois ans. En France, l'accréditation relève du Cofrac, celles de ses homologues européens étant reconnues au même titre. Aucun éditeur ne délivre ce certificat. Ce qu'une plateforme apporte, c'est le dossier qui le soutient : périmètre, appréciation des risques, déclaration d'applicabilité, preuves datées et écarts suivis. L'auditeur juge ce dossier et vos pratiques, pas votre logiciel.

Oui, et c'est là que se trouve l'essentiel du gain. La gestion des fournisseurs, le contrôle d'accès, le traitement des incidents ou la continuité d'activité apparaissent sous une forme ou une autre dans l'ISO/IEC 27001, dans NIS2 et dans DORA. La mesure est mutualisable, la preuve un peu moins : chaque texte garde ses exigences propres, par exemple les délais de notification d'incident à l'autorité pour NIS2, ou le registre d'informations sur les prestataires TIC pour DORA. Un bon mapping distingue ce qui se réutilise de ce qui reste spécifique.

Le jour où l'on vous demande l'état à une date passée. Un auditeur ou une autorité ne se contente pas de la photo du jour : il veut savoir ce qui était en place au moment d'un incident, ou sur toute la période examinée, et qui l'avait validé. Un classeur écrase cette histoire à chaque enregistrement. Il ignore aussi qu'un même contrôle sert plusieurs référentiels : on le ressaisit autant de fois qu'il y a de normes, et les copies finissent par diverger. Sur un périmètre étroit, cela passe. Au-delà, la reconstitution du dossier devient le vrai budget de l'audit.

Vous, et la réglementation ne laisse pas de place au doute : NIS2 comme DORA placent l'approbation et le suivi du dispositif de gestion des risques au niveau de l'organe de direction, le RSSI et les métiers instruisant les décisions. Vailor travaille en amont. Dans l'analyse de risque, l'IA lit vos documents et préremplit les champs à partir d'extraits. En conformité, le Vailor Control Framework relie chaque contrôle aux référentiels qui le demandent et à ses preuves. Accepter un risque ou arbitrer un plan de traitement reste humain, tracé et daté.