L’article en bref
La GRC désigne la Gouvernance, la gestion du Risque et la Conformité. Le sigle a été formalisé par l’OCEG, une organisation américaine à but non lucratif, à la fin des années 2000. Appliquée à la cybersécurité, la GRC est une approche intégrée : elle relie les décisions stratégiques, l’analyse des cyber-risques et les exigences réglementaires.
L’objectif est de rendre la sécurité pilotable, mesurable et défendable devant un régulateur, un client ou un assureur. Beaucoup d’organisations avancent bien sur les deux premiers piliers, puis butent sur le troisième.
La gouvernance répond à une question : qui décide quoi, et selon quelles règles ? Elle définit la politique de sécurité des systèmes d’information, les rôles, les niveaux de délégation et les instances de pilotage. Sans elle, chaque service arbitre seul. Une bonne gouvernance relie explicitement les objectifs commerciaux et les mesures de sécurité. Elle rend aussi la direction responsable, ce que la directive NIS2 impose désormais de façon très nette.
Le deuxième pilier consiste à cartographier vos actifs, vos flux et vos dépendances. Puis à évaluer les menaces, leur probabilité et leur impact. La méthode française de référence, EBIOS Risk Manager, est publiée par l’ANSSI. Elle permet de hiérarchiser les scénarios plutôt que de traiter tout au même niveau.
La conformité vérifie que vos pratiques respectent les textes applicables et vos propres règles internes. Elle couvre le RGPD, les futures obligations NIS2, le règlement DORA pour le secteur financier, et les référentiels sectoriels. C’est le pilier le plus exigeant. Il demande une lecture juridique fine, une documentation continue et une capacité à produire des preuves. On ne l’improvise pas avec un simple logiciel.
Une GRC unifiée fait gagner du temps. Les mêmes preuves servent à plusieurs référentiels, les contrôles ne sont saisis qu’une fois, et le reporting devient lisible pour la direction. Elle réduit aussi la surface de désaccord entre équipes techniques et juridiques. Surtout, elle produit un actif commercial :
Quand les trois piliers avancent séparément, les angles morts se multiplient. Le coût est mesurable. En 2025, la CNIL a prononcé 83 sanctions pour 486,8 millions d’euros d’amendes, contre 55,2 millions en 2024. Les principaux sujets sanctionnés sont les cookies, la surveillance des salariés et la sécurité des données. La perte de confiance, elle, ne se répare pas par un chèque.
Le modèle de capacité GRC de l’OCEG décrit un cycle en quatre temps. Il aide à structurer la démarche sans se perdre dans les outils :
Ce cycle explique pourquoi une GRC n’est jamais « terminée ». Les menaces évoluent, les textes aussi. Un dispositif figé perd sa valeur en dix-huit mois.
Commencez par délimiter. Quelles entités, quels sites, quels systèmes d’information, quels traitements de données ? Un périmètre trop large devient ingérable, un périmètre trop étroit laisse passer l’essentiel.
Formulez ensuite deux ou trois objectifs mesurables. Par exemple : répondre aux questionnaires clients en cinq jours, ou obtenir la certification ISO 27001 sous dix-huit mois.
Cette phase d’audit est la plus instructive. Vous inventoriez vos applications, vos prestataires cloud, vos flux de données et vos contrats de sous-traitance. Vous évaluez ensuite votre niveau de maturité réel. Presque toujours, l’écart entre le déclaré et le pratiqué surprend. C’est aussi le moment de vérifier votre registre des traitements, exigé par l’article 30 du RGPD.
Trois rôles se complètent :
Ces fonctions doivent être distinctes mais coordonnées.
Vient la mise en œuvre :
Un outil GRC centralise le suivi, mais il ne décide rien à votre place. Il enregistre ce que vous avez défini. La qualité du dispositif dépend d’abord de l’expertise qui l’alimente.
Choisissez peu d’indicateurs, mais des indicateurs utiles :
Ces mesures alimentent le comité et déclenchent les arbitrages.
Il est essentiel de ne pas confondre une norme volontaire, un règlement directement applicable et une directive à transposer.
| Référentiel | Nature | Portée | Statut |
| ISO/IEC 27001:2022 | Norme certifiable, volontaire | Système de management de la sécurité de l’information | Certification par organisme accrédité |
| NIST CSF 2.0 | Cadre méthodologique | Six fonctions : gouverner, identifier, protéger, détecter, répondre, récupérer | Publié en 2024, usage volontaire |
| RGPD (UE) 2016/679 | Règlement européen | Tout traitement de données personnelles | Applicable depuis le 25 mai 2018 |
| NIS2 (UE) 2022/2555 | Directive, à transposer | Entités essentielles et importantes, 18 secteurs | Transposition française en cours via la loi Résilience |
| DORA (UE) 2022/2554 | Règlement européen | Résilience opérationnelle du secteur financier | Applicable depuis le 17 janvier 2025 |
Un point mérite attention. La France n’a pas encore promulgué sa loi de transposition de NIS2, dont l’échéance européenne était fixée au 17 octobre 2024. L’ANSSI a néanmoins publié en mars 2026 son Référentiel Cyber France, qui détaille les mesures attendues. Anticiper reste la meilleure stratégie.
Le RGPD est le seul texte transversal qui s’applique à toutes les organisations traitant des données personnelles. Son article 5.2 pose le principe d’accountability : vous devez démontrer votre conformité, pas seulement l’affirmer. Cette exigence de preuve rejoint exactement la logique GRC. L’article 32 impose par ailleurs des mesures de sécurité techniques et organisationnelles adaptées au risque. Sécurité et conformité y sont donc juridiquement liées.
Le délégué à la protection des données est défini aux articles 37 à 39 du RGPD. Sa désignation est obligatoire pour les organismes publics, en cas de suivi systématique à grande échelle, ou de traitement à grande échelle de données sensibles. Il informe, conseille, contrôle et sert de point de contact avec la CNIL. Dans une GRC, il apporte ce que ni le RSSI ni un outil ne peuvent produire : une lecture juridique fiable, actualisée et opposable.
Trois livrables structurent ce pilier. Le registre des traitements (article 30) recense finalités, catégories de données et destinataires. L’analyse d’impact ou AIPD (article 35) s’impose quand un traitement présente un risque élevé pour les personnes. Les durées de conservation, elles, découlent du principe de limitation posé à l’article 5.1.e. Ces trois briques sont exactement ce qu’un contrôleur demande en premier.
Nous mettons à votre disposition des juristes et d’ex-avocats spécialisés en droit des données, désignés officiellement auprès de la CNIL. Notre outil SaaS sert de support à cette expertise humaine. Il centralise le registre, les AIPD, les preuves et le suivi des actions. Mais c’est un expert identifié qui prend les décisions et qui répond en cas de contrôle.
Nous commençons par un audit complet et rapide de l’existant. Nous construisons ensuite une feuille de route priorisée selon vos risques réels et votre secteur, puis nous produisons l’ensemble des documents nécessaires : registre, politiques, mentions d’information, contrats de sous-traitance et procédure de gestion des violations de données.
Enfin, nous assurons le suivi permanent de votre conformité et l’interface avec l’autorité de contrôle. Grâce à notre Trust Center, vous disposez d’une page dédiée, accessible à tous, qui centralise vos preuves de conformité et vous permet de démontrer facilement votre niveau de conformité à vos clients, prospects, partenaires et donneurs d’ordre.
La cybersécurité désigne l’ensemble des moyens techniques et organisationnels qui protègent vos systèmes. La GRC est le cadre de pilotage qui décide de ces moyens, les priorise selon le risque et vérifie leur conformité réglementaire.
Gouvernance, Risque et Conformité. En anglais : Governance, Risk and Compliance.
Trois piliers : la gouvernance, qui fixe les règles et les responsabilités ; la gestion des risques, qui identifie et réduit les menaces ; la conformité, qui garantit le respect des textes et des normes applicables.
La GRC en tant que méthode n’est pas obligatoire. En revanche, plusieurs de ses composantes le sont.
En France, un consultant GRC junior se situe généralement entre 35 000 et 45 000 euros bruts annuels. Avec cinq à huit ans d’expérience, la fourchette monte souvent entre 55 000 et 75 000 euros. Les postes de manager en cabinet dépassent régulièrement ce niveau.
Un bac+5 en sécurité des systèmes d’information, en droit du numérique ou en management des risques constitue la voie classique. L’alternance est très répandue. Les certifications ISO 27001 Lead Implementer, CISA, CISM ou EBIOS Risk Manager renforcent nettement un profil.
Le RGPD alimente directement le pilier conformité de la GRC. Son exigence d’accountability impose de documenter et de prouver, ce qui correspond à la logique même d’un cadre GRC.
