- Gestion des actifs & des tiers
Que protégeons-nous, et de qui dépendons-nous ?
Tout dispositif GRC mature repose sur deux fondations invisibles : un inventaire structuré de ce que votre organisation possède réellement, et une cartographie claire des tiers dont vos opérations dépendent. Sans elles, la gestion des risques n’est que spéculation.
- Le problème
La plupart des organisations ne savent plus répondre à des questions élémentaires sur leurs propres opérations.
Demandez à dix responsables quels sont les actifs critiques de l’entreprise : vous obtiendrez dix réponses différentes. Demandez qui a accès à vos données, quels prestataires manipulent des informations sensibles, où commence précisément un processus régulé — et le silence en dit long.
- La couche fondation
Tout l'édifice GRC repose sur cette couche
Programmes d’audit, registres de risques, contrôles de conformité, reporting réglementaire — aucun n’a de valeur s’il s’appuie sur des actifs flous et des tiers non maîtrisés. Ce module n’est pas une fonctionnalité de plus : c’est le sol sur lequel reposent tous les autres modules.
- Structure organisationnelle
Avant de cataloguer le quoi, il faut comprendre le qui.
Les unités métiers et les processus forment l'architecture de la responsabilité.
Le module commence par modéliser votre organisation telle qu’elle fonctionne réellement — et non telle que l’organigramme le laisse croire. Départements, filiales, entités juridiques, processus opérationnels : chacun devient un nœud nommé, capable de porter des actifs, des obligations, d’être audité.
C’est ici que la gouvernance cesse d’être abstraite. Chaque risque, chaque contrôle, chaque constat d’audit se rattache toujours à une unité humaine qui en est responsable.
- Identification des actifs
On n'inventorie pas des objets. On structure des catégories.
Cataloguer chaque ordinateur portable ne mène nulle part. Cataloguer les familles de valeur dont dépend l’organisation — voilà où commence la GRC. Trois familles comptent : les données que vous détenez, les systèmes qui les traitent, et les personnes qui les font vivre.
Données personnelles · PI · Financier · Stratégique
Rôles · Compétences · Propriété · Accès
ERP · Cloud · Réseaux · Applications
- Obligations contractuelles
Les contrats ne sont pas stockés. Ils sont connectés.
Chaque clause se rattache à un actif et à une partie.
Une obligation de confidentialité n’a aucun sens isolée. Liée à un jeu de données précis, détenu par un fournisseur identifié, régie par une juridiction donnée — elle devient un engagement opposable, à l’exposition mesurable.
Le module transforme les contrats en objets vivants : rattachés aux actifs qu’ils protègent, aux tiers qu’ils lient, aux obligations qu’ils créent.
- Contextualisation du risque
Le risque devient réel lorsqu'il se rattache à des actifs, unités et fournisseurs concrets.
« Risque cyber » est un titre de journal. « Risque cyber sur la base CRM, exploitée par la direction commerciale, hébergée chez CloudOps, couverte par le contrat C-2142 » — voilà un risque qu’on peut évaluer, traiter, et présenter en comité.
Parce que ce module porte les objets du monde réel, chaque risque enregistré en aval hérite d’un contexte concret : responsable, périmètre d’impact, exposition légale, options de traitement.
- Évaluation fournisseurs
Faire confiance, mais tracer.
L'évaluation est structurée, répétable, humaine.
L’assurance tiers n’est pas une case à cocher à l’entrée. Le module orchestre un cycle vivant : questionnaires, collecte de preuves, notation, suivi des remédiations, réévaluation périodique — calibré selon la criticité de chaque relation.
Ce qui fait la différence, ce n’est pas le formulaire, c’est la gouvernance derrière : qui relit, qui escalade, qui accepte le risque résiduel, et ce qui se passe quand un fournisseur ne répond pas dans les délais.
- Protection des données
Le RGPD est un problème de flux de données déguisé en problème juridique.
La carte de vos données est déjà là.
Cartographie des données, Registre des traitements, cadrage d’AIPD — ces obligations ne réclament pas un outil séparé. Elles émergent directement d’actifs bien structurés et de relations tiers maîtrisées.
Qui traite quoi, pour le compte de qui, sur quelle base contractuelle, pour quelle finalité : les réponses sont dans la fondation que vous avez déjà bâtie.
- Approche pragmatique
Commencer par ce qui compte. Ignorer le reste.
Beaucoup de projets GRC s’effondrent sous leur propre ambition — inventaires exhaustifs, politiques de cent pages, taxonomies que personne n’utilise. Notre approche est délibérément l’inverse : structure minimale viable, étendue uniquement là où la gouvernance l’exige.
- Automatisation & gouvernance
Le système remarque ce que les humains oublient.
Certifications expirées, réévaluations en retard, contrats dormants, vides de responsabilité : le module surveille ce qui compte et sollicite les bonnes personnes au bon moment — sans devenir une boîte mail de plus.
- Prochaine étape
Voyez comment les fondations de votre organisation tiennent vraiment.
Une session de travail de 45 minutes avec un consultant senior. Ensemble, nous cartographions un processus critique, une famille d’actifs et trois tiers — et nous vous montrons où sont les failles.