GRC (gouvernance, risque et conformité) :
Le guide définitif

La gouvernance, le risque et la conformité – communément appelée GRC – est un ensemble de processus et de procédures visant à aider les organisations à atteindre leurs objectifs commerciaux, à faire face à l’incertitude et à agir avec intégrité.

L’objectif fondamental de la GRC est d’inculquer de bonnes pratiques commerciales dans la vie de tous les jours. Le concept de GRC n’est pas nouveau, mais il a pris de l’ampleur à mesure que les risques sont devenus plus nombreux, plus complexes et plus dommageables.

L’acronyme GRC a été inventé il y a près de vingt ans par l

OCEG

pour désigner les capacités essentielles qui intègrent la gouvernance, la gestion et l’assurance des performances, des risques et des activités de conformité.

Aujourd’hui, la GRC couvre de multiples disciplines, notamment la gestion des risques d’entreprise, la conformité, la gestion des risques de tiers, l’audit interne, etc. Bien que chaque discipline ait ses propres priorités – et souvent sa propre façon de faire les choses – les responsables de la GRC reconnaissent aujourd’hui le pouvoir du partage des données et de l’intelligence pour obtenir de meilleurs résultats et construire une organisation plus forte et plus résiliente.

Aujourd’hui, le paysage des risques est plus encombré, plus incertain et plus interconnecté que jamais. Un risque – par exemple un problème de santé et de sécurité – peut se répercuter sur la chaîne d’approvisionnement, la continuité des activités, les relations commerciales, la sécurité informatique, la productivité de la main-d’œuvre, etc. Dans le même temps, de multiples forces redessinent le terrain des risques, notamment :

• Accroissement du rythme et de la portée de la conformité réglementaire
  Pratiquement toutes les organisations, quel que soit leur secteur d’activité, sont confrontées à un nombre croissant et en constante évolution de réglementations auxquelles elles doivent se conformer.
• Accélérer la numérisation de la gestion des risques
  L’internet des objets, les tiers, la blockchain… chaque nouveau point d’accès ajoute de la vulnérabilité et augmente les risques de manière exponentielle.
• L’importance croissante de la gestion des risques dans la stratégie des entreprises
  La gestion des risques est de plus en plus considérée non seulement comme une fonction tactique, mais aussi comme un élément important de la stratégie de l’entreprise.
• Évolution de la sophistication des analyses
  L’amélioration de l’analyse permet d’obtenir de nouveaux niveaux d’information pour des décisions fondées sur des données.

L’influence des médias sociaux, les menaces constantes de cyberattaques et les exigences d’une plus grande transparence augmentent également la pression sur les dirigeants et les conseils d’administration pour qu’ils prennent des décisions judicieuses en matière de risques, à un rythme accéléré et avec peu de marge d’erreur. Les dirigeants, quant à eux, s’appuient sur un nombre croissant de parties prenantes issues de tous les secteurs de l’organisation pour identifier, gérer et réduire les risques.

Pour orienter l’organisation vers le succès, les dirigeants doivent pouvoir accéder rapidement aux faits et les utiliser pour éclairer leur réponse. Une stratégie globale de GRC peut ouvrir la voie en supprimant les silos et en renforçant la collaboration pour une action plus rapide, plus précise et mieux coordonnée.

La GRC se compose de trois éléments principaux :

• ► Gouvernance – Aligner les processus et les actions sur les objectifs de l’organisation
• ► Risque – Identifier et traiter tous les risques de l’organisation
• ► Conformité – Veiller à ce que toutes les activités soient conformes aux exigences légales et réglementaires

Dans le passé, les organisations abordaient souvent la gouvernance, le risque et la conformité comme des activités distinctes. Les processus ou les systèmes ont souvent été créés en réponse à un événement spécifique – par exemple, une nouvelle réglementation, un litige, une violation de données ou un résultat d’audit – sans que l’on ait vraiment réfléchi à la manière dont cela fonctionnait dans l’ensemble. Il en est résulté un enchevêtrement d’inefficacités, de redondances et d’inexactitudes, notamment :

• Manque de visibilité sur l’ensemble des risques
• Actions contradictoires
• Complexité inutile
• Incapacité d’évaluer les effets en cascade du risque

En réalité, il existe de nombreux chevauchements entre la gouvernance, le risque et la conformité. Chacune des trois disciplines crée des informations utiles aux deux autres – et toutes trois ont un impact sur les mêmes technologies, les mêmes personnes, les mêmes processus et les mêmes informations. Une organisation, par exemple, peut être soumise à une nouvelle réglementation en matière de protection des données (activité de conformité), tout en s’astreignant à certains contrôles internes de protection des données (activité de gouvernance), qui contribuent tous deux à atténuer les cyber-risques (activité de gestion des risques).

Lorsque les trois disciplines de la GRC sont gérées séparément, il y a une importante duplication des tâches. Plusieurs équipes finissent par passer des heures à collecter les mêmes données – et des heures encore à démêler les fils de courriels et les feuilles de calcul juste pour commencer l’analyse.

Plus dommageable encore, les processus déconnectés et le manque de transparence rendent l’organisation aveugle aux idées et aux interrelations entre les risques, sapant l’ensemble du système en permettant aux lacunes et aux redondances des contrôles de passer inaperçues. Les équipes cloisonnées ne comprennent pas non plus comment leur domaine particulier influence la position de risque de l’entreprise dans son ensemble ou sa réussite globale.

En bref, la gestion de la GRC dans des silos séparés représente beaucoup d’efforts supplémentaires – et ces efforts sont très peu récompensés. Sans une vision intégrée de toutes les activités liées à la GRC, il est pratiquement impossible d’identifier les problèmes et les incohérences. Un risque préjudiciable peut facilement passer inaperçu et ne pas être traité parce que vous n’avez pas pu en mesurer tout l’impact avant qu’il ne soit trop tard.

Pour en savoir plus sur la transformation de la conformité de la boîte de contrôle au champion, cliquez ici.

Pratiquement toutes les organisations sont engagées dans la gestion des risques d’une manière ou d’une autre, même si le « système » de gestion des risques n’en est qu’à ses balbutiements. Il n’existe pas de méthode unique pour gérer les risques et la conformité, mais si votre système actuel ne peut pas suivre l’évolution des besoins de l’entreprise, il est peut-être temps de réévaluer votre approche. Même un système de gestion des risques de classe mondiale peut être amélioré en raison de l’évolution constante de l’environnement des risques.

L’utilisation d’un modèle de maturité des risques qui évalue votre position en matière de GRC est un excellent moyen d’identifier votre situation actuelle. Vous pouvez alors comparer votre situation actuelle à celle que vous souhaitez atteindre et l’évaluer par rapport à la valeur et au coût d’un investissement supplémentaire dans la gestion des risques. Plus votre programme de GRC est mature, plus vous serez efficace dans la prise de décisions, la prise de risques appropriés et l’obtention de meilleurs résultats pour l’organisation.

Où se situe votre organisation sur ce continuum ?

L’intelligence artificielle a le pouvoir de transformer presque tous les aspects de l’activité, y compris la GRC. L’apprentissage automatique aide depuis longtemps à analyser les données et à prédire les résultats. Mais l’introduction de l’IA générative – comme ChatGPT – porte ce pouvoir à un niveau supérieur.

Pour la GRC, l’IA offre de nouvelles opportunités pour automatiser, augmenter et accélérer les processus de travail. Il peut élargir vos capacités et votre champ d’action en réimaginant la manière dont le travail est effectué.

ChatGPT et d’autres outils d’IA générative s’appuient sur des modèles linguistiques de grande taille formés à partir de quantités massives de textes récupérés sur l’internet afin d’apprendre les schémas du langage humain. Les données décuplent ses capacités, ce qui lui permet d’analyser les données, de trouver des modèles et de concevoir des solutions plus rapidement qu’un humain ne pourrait le faire.

Les impacts potentiels sur la GRC sont importants. D’ores et déjà, l’IA contribue à tester les contrôles, à examiner les preuves et à documenter les résultats. Les entreprises s’interrogent sur la manière dont l’IA peut accélérer, faciliter et améliorer les rapports des conseils d’administration.

L’IA peut étendre la portée de la GRC en rendant les tâches associées plus faciles et plus rapides. L’IA peut même réduire les étapes d’un flux de travail. Avec plus d’automatisation, vous avez moins d’interactions manuelles, et ces actions se combinent pour former un flux de travail plus solide.

L’IA générative est la meilleure pour générer du contenu. Il suffit de quelques invites pour que ChatGPT produise un projet en quelques secondes. Cette première ébauche ne sera peut-être pas parfaite, mais elle vous permettra probablement d’atteindre 50 à 70 % de votre objectif. Vous pouvez ensuite l’affiner en y ajoutant de la substance, du ton et de la voix pour l’adapter à votre organisation.

Considérez l’IA comme un accélérateur. Il peut simplifier des données complexes, traduire des informations longues et techniques (comme des règlements) en un langage clair et simple, et éliminer le travail manuel fastidieux. Cependant, vous devez encore examiner la réponse, l’ajuster et la faire progresser.

Les cas d’utilisation de ChatGPT dans le cadre de la GRC sont les suivants :

• Déclarations de risque et notations
• Demande de produits informatiques
• Projets de politiques
• Contenu du contrôle
• Interprétation des lois et règlements
• Contrôles potentiels
• Traductions linguistiques

Cette liste n’est qu’un début. L’IA pourrait facilement être utilisée pour rédiger des plans de continuité des activités ou pour commencer à gérer les risques liés aux tiers. Le potentiel est presque infini. Il s’agit de comprendre ce que vous essayez d’accomplir et où l’IA peut apporter un plus.
Certes, l’IA générative n’est pas exempte de préoccupations. Tout le monde – des régulateurs aux inventeurs eux-mêmes – essaie de trouver les garanties appropriées. En attendant, voici quelques risques à surveiller :

Hallucinations – ChatGPT est programmé pour fournir une réponse, en particulier le meilleur mot suivant dans une phrase. Dans ce processus, il pourrait inventer la réponse sans aucune base factuelle. Examinez et validez toujours la réponse avant de transmettre l’information.

Biais – ChatGPT utilise des informations historiques pour créer de nouveaux contenus. Le problème est que ce qui était acceptable en 1970, par exemple, peut ne pas correspondre aux normes d’aujourd’hui. Et vice versa. Assurez-vous que le contenu généré par ChatGPT est pertinent et approprié à votre question ainsi qu’aux politiques et à la culture de votre organisation.

Confidentialité et sécurité des données – ChatGPT capture tout ce que vous tapez dans l’invite et l’incorpore dans le modèle. Soyez conscient des informations que vous communiquez à l’extérieur de votre organisation. Protégez-vous en définissant des cas d’utilisation appropriés et vos paramètres pour les utiliser en toute sécurité. ChatGPT ne cite pas non plus ses sources, ce qui rend difficile la vérification de l’exactitude et de la fiabilité des informations fournies.

La technologie GRC intégrée réunit les processus et les rôles dans l’ensemble de l’organisation pour une collaboration transparente et des informations intelligentes qui soutiennent les décisions basées sur les données. Elle fait tomber les murs et assure la transparence entre les parties prenantes afin que vous puissiez comprendre les liens entre les risques individuels, ainsi que la manière dont tout s’articule dans l’ensemble. Vous gagnez ainsi énormément en efficacité et en précision, tout en réduisant vos coûts.

Avec le logiciel GRC, vous pouvez :

Soyez plus efficace. La technologie GRC intégrée automatise les tâches de routine, les flux de travail et le suivi, ce qui réduit considérablement le nombre d’heures humaines nécessaires. Et comme toutes les données sont regroupées en un seul endroit pour être utilisées par tous, il n’y a pas de double travail, ce qui vous permet de redoubler d’efforts en matière d’analyse.

Faire face à des changements incessants. Au dernier décompte,
plus de 61 000 alertes réglementaires provenant de 1 374 organismes de réglementation.
Les logiciels GRC intégrés sont conçus non seulement pour suivre efficacement les nouvelles réglementations et lois, mais aussi pour garder une longueur d’avance sur le risque de conformité et l’impact sur l’organisation.

Voyez qui a fait quoi et quand. Le fait de disposer de toutes les données relatives aux risques et à la conformité dans un référentiel unique doté de solides capacités de suivi vous permet de disposer d’une piste d’audit claire documentant chaque modification.

Collaborez en toute transparence. Les logiciels de GRC intégrés regroupent toutes les politiques, procédures et risques d’entreprise et juridiques en un seul endroit facilement accessible à toutes les parties prenantes. Elle supprime les cloisonnements en établissant des processus et des contrôles cohérents dans l’ensemble de l’organisation. Elle favorise également une culture consciente des risques et crée un sentiment d’appartenance où chacun joue un rôle pour minimiser les surprises.

Ayez une vue d’ensemble. Un logiciel GRC intégré vous permet de relier les initiatives et les données afin d’obtenir de véritables informations sur la manière dont une partie du programme influe sur une autre et de comprendre l’impact total sur l’organisation. Grâce à une meilleure connaissance de votre programme dans son ensemble, vous pouvez mieux identifier, hiérarchiser et traiter les problèmes avant qu’ils ne se transforment en problèmes à part entière.

Répondez aux questions difficiles. Avec des processus rationalisés, des données en temps réel et des analyses intégrées, les logiciels GRC intégrés permettent de créer rapidement et facilement des rapports significatifs qui inspirent des décisions fondées sur des données. Les tableaux de bord vous permettent de connaître en permanence l’efficacité de vos programmes. Les analyses avancées renforcent l’intelligence humaine en extrayant des données des informations nouvelles et plus détaillées. Ce niveau de connaissance permet également aux équipes chargées du risque et de la conformité d’offrir des conseils stratégiques et des prévisions à la direction.

Des programmes de GRC solides et fondés sur la technologie peuvent constituer un véritable facteur de différenciation concurrentielle pour les organisations, c’est pourquoi il est essentiel de faire le bon choix. Avec de multiples options technologiques et l’absence de définitions communes, il n’est pas facile de savoir quand vous avez besoin d’une solution GRC – ou laquelle -.

Voici quatre questions qui vous aideront à définir votre objectif lorsque vous entamerez le processus d’achat d’un logiciel GRC :

1. Quels sont les problèmes que vous essayez de résoudre ?

   Quelles sont vos principales préoccupations ? Risque cybernétique ? Conformité commerciale ? Impacts sur la réputation ? Risques émergents ?

   La première étape de l’achat d’un logiciel GRC consiste à comprendre vos besoins spécifiques. Il est facile de se focaliser sur la recherche et l’achat du « meilleur » produit et du produit le plus riche en fonctionnalités sur le marché. Mais si ces solutions ne fournissent pas les informations exploitables dont vous avez besoin pour atteindre vos objectifs, elles n’apporteront pas la valeur dont vous avez besoin.

2. Quelles sont les caractéristiques et les fonctionnalités les plus importantes aujourd’hui ?

   Avez-vous besoin d’une solution ERM et d’un outil d’audit ? Ou un logiciel ERM avec des fonctions de conformité supplémentaires ? Qu’en est-il des capacités d’analyse et de reporting ? Devriez-vous opter pour une plateforme unique avec plusieurs outils pour une meilleure collaboration – ou rechercher des solutions ponctuelles distinctes pour chaque fonction ?

   Avec autant de solutions sur le marché, des questions se posent inévitablement sur la bonne combinaison d’outils, de caractéristiques et de fonctions. Le meilleur plan d’attaque consiste à séparer les éléments indispensables de ceux qui ne le sont pas. Examinez ce dont vous avez besoin aujourd’hui et ce dont vous aurez probablement besoin à l’avenir. Achetez la combinaison d’outils qui vous apportera à la fois les fonctionnalités dont vous avez besoin dans l’immédiat et l’évolutivité nécessaire pour aller de l’avant, dans le cadre d’un budget raisonnable.

3. Qui doit être directement impliqué dans le processus d’achat ?

   Constituez une équipe d’acheteurs sur la base de trois facteurs :

   • Qui a besoin du logiciel ?
   • Qui assure la maintenance du logiciel ?
   • Qui contrôle les fonds ?

   .
   L’implication d’un trop grand nombre de parties prenantes peut conduire à l’achat d’outils dont vous n’avez pas besoin ou à un gaspillage d’argent pour de multiples solutions ponctuelles dont les fonctionnalités se chevauchent. Vous ne pouvez pas plaire à tout le monde, alors concentrez-vous sur les aspects pratiques de ceux qui sont concernés par le jeu.

   Il est généralement logique que la gestion des risques prenne les devants. L’équipe de gestion des risques est généralement celle qui a le plus de visibilité sur les caractéristiques et les fonctions qui permettront de réaliser les priorités de l’organisation. Cette équipe a également la meilleure vision de la manière dont le risque affecte l’ensemble de l’organisation et a le pouvoir d’aider tout le monde à voir et à penser le risque de manière plus uniforme.

4. Qui doit conseiller ?
   Les autres départements et parties prenantes ont leur mot à dire, mais pas de manière égale. L’audit interne, par exemple, est un conseiller précieux dans le processus d’achat d’un logiciel GRC. Ce service peut vérifier que la solution envisagée dispose de bons contrôles, que les bonnes personnes évaluent les bons risques et que les informations sont fiables. De même, l’informatique peut offrir une expertise importante en matière de déploiement, de formation et d’intégration.

La meilleure solution GRC permet aux organisations de comprendre ce qui pourrait se produire et ce qui peut être fait pour y remédier, afin que les dirigeants puissent prendre des décisions rapides et intelligentes pour protéger l’organisation.

Pour suivre l’évolution constante des risques, des réglementations et des politiques, il faut une solution technologique GRC flexible, évolutive et intégrée. Le bon logiciel de GRC augmentera l’efficacité, prouvera l’efficience et augmentera la valeur de la fonction de gestion des risques pour l’organisation. Lorsque vous évaluez les solutions possibles, pensez à poser des questions :

Le succès ou l’échec de la mise en œuvre d’un logiciel de GRC repose en grande partie sur la solidité de votre partenariat avec le fournisseur choisi et sur votre degré de préparation avant la mise en œuvre. Dans cette optique, voici huit conseils qui vous mettront sur la voie d’une mise en œuvre réussie du logiciel :

1. Définissez la ligne d’arrivée avant de commencer. Prendriez-vous le départ d’une course sans savoir où se trouve la ligne d’arrivée ? Bien sûr que non, car vous risquez de perdre un temps précieux et de l’énergie en vous trompant de direction. De même, commencer un projet de mise en œuvre d’un logiciel GRC sans définir clairement une ligne d’arrivée – c’est-à-dire des critères de réussite – peut entraîner des retards, de la confusion et un glissement du champ d’application. Commencez par définir clairement les besoins de l’entreprise en fonction de votre organisation. Ces exigences détermineront les spécifications fonctionnelles/techniques et les critères de test d’acceptation par l’utilisateur – et, en fin de compte, mesureront le succès de votre projet.
2. N’automatisez pas un processus défaillant. Aussi à l’aise que vous puissiez être avec vos flux de travail actuels, concevoir le nouveau système GRC sur la base des anciennes méthodes est une erreur coûteuse, mais courante. Une personnalisation poussée des nouveaux flux de travail GRC pour imiter les anciens peut avoir de graves conséquences, notamment un allongement des délais de mise en œuvre, une augmentation du champ d’application, des problèmes de supportabilité future et l’impossibilité d’utiliser d’autres fonctionnalités standard de base (ou futures). Les fournisseurs investissent d’innombrables heures et dollars pour développer des normes configurables basées sur les meilleures pratiques, alors soyez ouvert à l’idée d’apprendre comment ces normes peuvent répondre aux besoins de votre entreprise.
3. Communiquez, communiquez, communiquez. Ne supposez pas que le vendeur comprendra automatiquement ce que vous voulez dire sans que vous l’expliquiez. Lorsqu’il s’agit d’une mise en œuvre réussie, il n’y a jamais trop de communication. Discutez de tous les problèmes possibles dès les premières étapes de la mise en œuvre – et n’hésitez pas à poser des questions ou à exprimer vos préoccupations. Même des problèmes apparemment mineurs peuvent avoir un impact important sur le succès de la mise en œuvre s’ils ne sont traités qu’à un stade ultérieur, ou pire, s’ils ne sont pas traités du tout.
4. Les mises en œuvre réussies sont comme un mariage. Comme dans un mariage, votre entreprise et le fournisseur doivent tous deux contribuer à la réussite de l’union. La communication et la confiance sont essentielles, les deux parties doivent être tenues pour responsables et il faudra travailler dur pour que la relation s’épanouisse. Si l’une des parties reste à l’écart, ses besoins risquent de ne pas être pris en compte correctement, ce qui peut compromettre la mise en œuvre. Et si la relation devient trop déséquilibrée, vous risquez de vous retrouver dans une situation de divorce désagréable.
5. Oui, vous avez besoin d’un chef de projet désigné. Bien qu’une mise en œuvre puisse être réussie sans le rôle du gestionnaire de projet, vos chances de succès augmentent de façon exponentielle lorsqu’un gestionnaire de projet est impliqué. La coordination de l’ensemble des ressources et des tâches lors d’une mise en œuvre de grande envergure peut s’avérer une tâche ardue. Une chose aussi simple que la programmation d’une réunion pour plusieurs personnes dans des organisations distinctes peut s’avérer difficile si le rôle du gestionnaire de projet est réparti entre plusieurs membres de l’équipe de mise en œuvre. L’existence d’un point de contact unique permet de centraliser les communications, de rationaliser toutes les activités de mise en œuvre et de maintenir tout le monde sur la bonne voie.
6. Soyez réaliste quant à vos autres engagements en termes de temps. Faire partie d’une équipe de mise en œuvre peut n’être qu’une des nombreuses tâches qui vous incombent. Soyez réaliste quant au temps que vous pouvez consacrer au processus de mise en œuvre et informez le vendeur – et les membres de l’équipe – de vos autres engagements ou conflits dès que le calendrier de référence du projet est établi.
7. Ne négligez pas le processus de test. Même s’il est tentant d’accélérer les tests pour respecter les délais, ce n’est pas le moment de faire des économies. En contournant ou en condensant les tests d’acceptation par les utilisateurs, vous vous exposez à des montagnes de problèmes après la mise en service, à un surcroît de travail et à des retards dans vos processus d’entreprise. Il faut du temps pour réaliser correctement l’UAT, mais cet effort supplémentaire vous évitera bien des maux de tête par la suite.
8. Préparez-vous à l’inattendu. Quelle que soit votre diligence, il est pratiquement impossible d’identifier tous les problèmes possibles et de s’y préparer. Un événement inattendu est inévitable, mais son impact dépend souvent plus de votre réaction que de l’événement lui-même. Lorsqu’un problème inattendu menace de faire dérailler la mise en œuvre, travaillez de manière constructive avec votre équipe pour l’aborder de front et aller de l’avant. Et si vous avez choisi le bon fournisseur, vous pourrez ensemble gérer de manière experte toutes les surprises qui se présenteront à vous.

Mais qu’est-ce qui parlera le plus fort aux dirigeants ? Il n’y a pas de surprise. Il n’y a rien que le conseil d’administration et la suite C détestent plus que d’être pris au dépourvu par quelque chose qu’ils auraient dû – auraient pu – savoir.

Une plateforme GRC intégrée met tous les risques sur votre radar, ce qui minimise les surprises. Et puis il y a la visibilité. Avec un logiciel GRC intégré, chaque risque est documenté et présenté dans le contexte des autres risques – ainsi que des objectifs de l’organisation.

Les dirigeants sont bien conscients que la survie même de l’organisation peut dépendre de leur capacité à accéder instantanément aux données sur les risques en temps réel afin d’éclairer les choix stratégiques difficiles qui conduiront à la réussite de l’organisation. Et avec une stratégie GRC bien planifiée – soutenue par une technologie GRC intégrée – vous avez enfin la visibilité nécessaire pour voir vos risques et l’agilité nécessaire pour contourner les obstacles afin de rester sur la voie du succès.

Pour en savoir plus sur le logiciel GRC de Riskonnect, cliquez ici.