GRC : trois mots, trois métiers, une seule fonction ?

Un sigle pratique qui cache une grande complexité

GRC est un sigle commode et compris en superficie par beaucoup de monde. Il tient sur une carte de visite, il rassure un comité de direction, et il est un requis organisationnel fréquemment mis en avant par les rapports des grands cabinets. Mais il laisse croire que gouvernance, gestion des risques et conformité sont trois facettes d'un même métier aux compétences uniformes. Elles ne le sont pas.

Ces trois pratiques ont des origines et des cultures différentes, des compétences et des clients distincts. La gouvernance descend de la haute direction et du contrôle interne : elle sert l'organe de direction, et sa question est « comment décidons-nous, et sur quelle base (factuelle) ». La gestion des risques provient de l'assurance et de la finance (surtout pour l'approche de quantification) : elle sert celui qui doit arbitrer des investissements, et sa question est « qu'est-ce qui peut nous arriver, et à quel prix ». La conformité descend du droit et de l'audit : elle sert le régulateur et l'auditeur, le client et les tierces partie, et sa question est « pouvons-nous prouver les écarts constatés et quelle priorité de remédiation accorder ».

Le sigle GRC date des années 2000. Il a été popularisé par l'OCEG et par l'analyste Michael Rasmussen, à un moment où le vrai problème n'était pas conceptuel mais logistique : trois équipes collectaient les mêmes preuves auprès des mêmes personnes, trois fois par an, dans trois tableurs différents. Réunir les trois lettres a d'abord résolu un problème d'outillage. On a ensuite raconté que c'était un problème de métier.

Cette nuance n'est pas de l'histoire pour l'histoire. Elle explique la plupart des frictions rencontrée dans la vraie vie : quand une équipe GRC dysfonctionne, c'est rarement parce que ses membres travaillent mal (mais ça arrive aussi). C'est parce qu'on leur demande de servir trois clients différents qui ont leur propre langage et ne veulent pas toujours la même chose, avec un seul budget et un seul calendrier.

__Note__ : au Québec, les gens dans les différents secteurs d'affaires, par blague ou parfois vraie ignorance, considèrent que la GRC signifie Gendarmerie Royale du Canada. Il ne faut donc jamais se sentir en terrain conquis. Un préalable est donc d'expliquer ce qu'on fait et pourquoi on le fait ... ce n'est jamais pour faire le gendarme.

Trois horizons de temps

Une manière rapide de comprendre pourquoi les réunions communes peuvent mal tourner : les trois métiers ne vivent pas dans le même temps.

Mettez ces trois personnes autour d'une table sans expliciter ces horizons, et vous obtiendrez la scène classique : le responsable conformité veut fermer un écart avant vendredi, l'analyste de risque veut relancer une analyse formelle qui prendra six semaines, et le responsable gouvernance veut savoir ce qu'on inscrit au plan de l'an prochain ou de savoir pourquoi les indicateurs n'on pas bougé depuis le dernier comité. Chacun trouvera les deux autres déraisonnables. Maintenant, imaginons que ces 3 fonctions sont portées par une seule personne ...

La GRC n'appartient ni à la sécurité, ni aux TI

Un réflexe s'installe vite quand on entre dans le métier par la porte de la cybersécurité : on finit par dire « la GRC » en pensant « la GRC cyber ». C'est une erreur de perspective, et elle coûte cher en réunion.

L'OCEG, qui a formalisé le sigle, définit la GRC comme l'ensemble intégré des capacités qui permettent à une organisation d'atteindre ses objectifs de façon fiable, de traiter l'incertitude et d'agir avec intégrité. Lisez cette définition deux fois : elle ne mentionne ni la sécurité, ni les systèmes d'information, ni même la technologie. Elle décrit un mode de fonctionnement d'organisation.

Dans une entreprise un peu structurée, vous trouverez donc plusieurs GRC qui s'ignorent poliment :

Ce tableau n'est pas une curiosité encyclopédique. Il a trois conséquences immédiates sur votre travail.

Le vocabulaire est déjà pris. Quand vous arrivez avec « risque », « contrôle », « appétit » ou « registre », ces mots existent déjà dans l'organisation, avec des définitions arrêtées par d'autres, souvent depuis plus longtemps que vous. La GRC financière, en particulier, a un siècle d'avance sur la GRC cyber en matière de formalisme. Vous n'imposerez pas votre glossaire ; vous devrez le raccorder.

Les méthodes voyagent, et pas toujours bien. Une organisation qui a mûri sa gestion des risques par le contrôle interne financier appliquera spontanément à la cybersécurité un raisonnement conçu pour des processus stables, répétitifs et internes. La cybersécurité, elle, doit décrire un adversaire qui change de méthode entre deux comités. Le module sur les deux visions du risque revient en détail sur cette collision.

La direction ne veut pas cinq registres. Elle en veut un. Ce qui suppose une agrégation, donc un langage commun, donc une négociation entre des cultures qui ne se voient pas comme des cultures mais comme des évidences.