Pourquoi les trois lettres vont ensemble
La gouvernance fixe l’appétence et la responsabilité ; la gestion des risques mesure l’exposition contre cette appétence ; la conformité prouve que les contrôles demandés par l’analyse de risque fonctionnent réellement. Séparées, les trois dérivent : le registre note un risque que l’audit ne vérifie jamais, l’audit certifie un contrôle qu’aucun risque n’a demandé, et le conseil lit un rapport qu’aucun des deux n’a produit. La Cyber-GRC les garde sur les mêmes faits : un changement dans l’une déplace les deux autres.
Ce que NIS2 et DORA ont changé
Les textes européens ont fait de la Cyber-GRC un dispositif légal, et plus seulement une bonne pratique. NIS2 rend les organes de direction responsables de l’approbation et de la supervision des mesures de gestion des risques ; DORA demande aux entités financières de tenir le risque TIC, la notification des incidents, les tests de résilience et le risque tiers dans un cadre unique. Les deux attendent une preuve d’efficacité, pas une intention documentée. Une GRC qui produit des PDF une fois par an ne peut pas répondre ; une GRC qui vérifie en continu le peut.
De la déclaration à la vérification
L’outil GRC historique est un formulaire : questionnaires, attestations, captures d’écran classées comme preuves. La génération actuelle remplace la déclaration par le fait vérifié : un statut de contrôle calculé sur une preuve vivante, une note fournisseur qui bouge avec ses signaux, un score de risque qui hérite du risque résiduel de ses contrôles. C’est le basculement sur lequel Mindlapse est construit, et celui que les autres termes de ce glossaire décrivent pièce par pièce.