Sommaire
Le comparatif
| Critère | Conformité classique | Approche GRC intégrée |
|---|---|---|
| Point de départ | Chaque texte, chaque audit, pris séparément | Les objectifs de l'organisation et les risques qui les menacent |
| Organisation | Des équipes qui travaillent chacune de leur côté | Un référentiel commun des risques, des obligations et des contrôles |
| Posture | Réactive : on réagit à un audit ou à un incident | Proactive : on anticipe selon l'appétit au risque |
| Contrôles | Répétés pour chaque exigence | Un même contrôle couvre plusieurs exigences |
| Reporting | Plusieurs rapports non reliés | Une vue consolidée pour la direction et le conseil |
| Coût | Doublons et sollicitations répétées des métiers | Effort mutualisé |
Le modèle des trois lignes
Publié par l'Institute of Internal Auditors (IIA) en 2020, ce modèle clarifie qui fait quoi :
- L'organe de gouvernance (conseil d'administration) rend compte aux parties prenantes et supervise.
- La direction porte les rôles de première ligne (les métiers qui gèrent les risques au quotidien) et de deuxième ligne (gestion des risques, conformité, qui apportent expertise et contrôle).
- L'audit interne, en troisième ligne, fournit une assurance indépendante.
Le modèle de 2020 insiste sur la collaboration entre ces lignes plutôt que sur des frontières rigides.
Les niveaux de maturité
- Réactif : la conformité est traitée au moment d'un contrôle ou d'un incident.
- Structuré : chaque fonction a ses procédures, mais sans lien entre elles.
- Coordonné : un référentiel commun des risques et des obligations existe.
- Intégré : risques, conformité et contrôle nourrissent les décisions stratégiques.
- Optimisé : le dispositif s'améliore en continu grâce à des indicateurs fiables et partagés.
Quand passer à une approche GRC ?
- Quand plusieurs régulateurs ou référentiels s'appliquent en même temps : loi 09-08, AI Act, ISO 27001, exigences sectorielles.
- Quand les métiers se plaignent d'être sollicités plusieurs fois pour les mêmes contrôles.
- Quand la direction ne dispose pas d'une vue d'ensemble des risques majeurs.
- Quand des clients ou des partenaires internationaux exigent des preuves de maîtrise des risques.
Commencer sans tout reconstruire
Il n'est pas nécessaire d'acheter un logiciel GRC pour commencer. Un référentiel commun, même dans un tableur, qui relie chaque risque aux obligations et aux contrôles correspondants, avec un responsable nommé pour chacun, constitue déjà un vrai pas vers l'intégration. Voir le cadre COSO ERM.
À lire aussi
- 4 min de lecture
- 4 min de lecture
- 4 min de lecture
Questions fréquentes
Quelle est la différence entre GRC et conformité ?
La conformité consiste à respecter ses obligations. Le GRC intègre cette conformité avec la gouvernance et la gestion des risques dans un même pilotage, pour éviter les doublons et donner à la direction une vue d'ensemble.
Faut-il un logiciel pour faire du GRC ?
Non, pas au départ. Un référentiel commun des risques, des obligations et des contrôles, même tenu dans un tableur, suffit pour commencer. Un logiciel devient utile quand le volume et le nombre de contributeurs augmentent.
Qu'est-ce que le modèle des trois lignes ?
Un modèle publié par l'IIA en 2020 qui répartit les rôles entre l'organe de gouvernance, la direction (première ligne opérationnelle et deuxième ligne d'expertise risque et conformité) et l'audit interne, qui fournit une assurance indépendante.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (4)
- OCEG — GRC Capability Model (« Red Book »).
- The Institute of Internal Auditors (2020). The IIA's Three Lines Model.
- COSO (2017). Enterprise Risk Management — Integrating with Strategy and Performance.
- ISO 37301:2021 — Systèmes de management de la conformité — Exigences et recommandations. (nouvel onglet)