GRC, risque, conformité et juridique

Objectif et carte de la zone

Cette zone couvre la gouvernance, le risque, la conformité et les aspects juridiques. Elle se compose de quatre hubs liés : GRC (politiques, contrôles, audits, constats), Compliance (obligations, preuves, attestations), Risk (registre des risques avec des méthodologies structurées) et Legal (dossiers juridiques et documents). Elle couvre les types GRC-*, IT-RISK, IT-POLICY, IT-CONTROL, IT-AUDIT-FINDING et les entités juridiques.

GRC

À quoi elle sert. C’est le tableau de bord GRC (Governance, Risk & Compliance) : pilotage des politiques, contrôles, audits et constats mis en correspondance avec les référentiels réglementaires.

Quand l’utiliser. Pour la vue d’ensemble du programme GRC et l’accès à ses objets.

Comment l’ouvrir. Depuis la Home / le Security Hub (encadré GRC).

Ce qu’elle affiche et comment l’utiliser. Le tableau de bord GRC avec les objets GRC-POLICY (cycle de vie : brouillon→revue→approbation→publication→mise à jour→retrait, avec attestation), GRC-CONTROL (contrôles mis en correspondance avec les référentiels : état, preuves, tests), GRC-AUDIT (planification, exécution, revue des constats, rapport) et GRC-FINDING (sévérité, responsable de la remédiation, suivi jusqu’à la clôture/l’acceptation du risque).

Ce qui se passe ensuite. Les politiques publiées exigent une attestation ; les constats ouverts guident la remédiation.

Remarques. Les référentiels pris en charge incluent ISO 27001, NIS2, SOC2, RGPD.

Compliance & Governance

À quoi elle sert. Elle gère les contrôles de conformité mis en correspondance avec les référentiels, avec l’état de conformité, les preuves et les tests périodiques.

Quand l’utiliser. Pour gérer le dispositif de contrôles et en vérifier la conformité.

Comment l’ouvrir. Depuis la zone GRC / le Legal Hub.

Ce qu’elle affiche et comment l’utiliser. La liste des contrôles par référentiel avec leur état, leurs preuves et leurs dates de test.

Ce qui se passe ensuite. Les contrôles non conformes génèrent des constats/actions.

Remarques. Complémentaire du Compliance Workspace (Compliance Workspace).

Compliance Hub

À quoi elle sert. C’est l’entrée du module de conformité de l’entreprise, qui réutilise le moteur des campagnes RH (avec le tag module) pour les obligations, contrôles, preuves et attestations.

Quand l’utiliser. Pour choisir la zone de travail de la conformité.

Comment l’ouvrir. Depuis la Home / le Security Hub (encadré Compliance).

Ce qu’elle affiche et comment l’utiliser. Les encadrés vers les vues du Compliance Workspace (Compliance Workspace).

Ce qui se passe ensuite. La vue choisie s’ouvre.

Remarques. Module Core qui partage le moteur de campagnes avec les RH.

Compliance Workspace

À quoi elle sert. C’est la console de travail de la conformité, organisée en vues.

Quand l’utiliser. Pour gérer obligations, contrôles, preuves, audits, protection des données et attestations.

Comment l’ouvrir. Depuis le Compliance Hub (encadrés).

Ce qu’elle affiche. Les vues disponibles :

Vue	Contenu
board	Tableau de bord de synthèse de la conformité
adempimenti	Obligations et échéances
controls	Contrôles de conformité
ccm	Continuous Controls Monitoring
evidence	Preuves collectées
gap	Analyse des écarts
audit	Audits de conformité
incidents	Incidents de conformité
risk	Risques de conformité
privacy	Protection des données / RGPD
m231	Modèle 231
cra	Cyber Resilience Act
esg	ESG (durabilité)
regwatch	Veille réglementaire
suppliers	Conformité des fournisseurs
training	Formation à la conformité
catalog	Catalogue des obligations/exigences
aigov / aiasst	AI Governance et assistant IA

Comment l’utiliser. Vous sélectionnez la vue ; chaque vue propose ses propres listes, détails et actions (création d’obligations, collecte de preuves, lancement de campagnes d’attestation, analyse des écarts). Les campagnes d’attestation exigent la signature de prise de connaissance.

Ce qui se passe ensuite. Les obligations et les preuves alimentent l’état de conformité ; les campagnes génèrent les demandes de signature.

Remarques. Le moteur des campagnes est partagé avec le Hub RH.

Risk Management Hub

À quoi elle sert. C’est l’entrée de la gestion des risques.

Quand l’utiliser. Pour accéder au registre, au cockpit et aux outils d’analyse du risque.

Comment l’ouvrir. Depuis la Home / le Security Hub (encadré Risk).

Ce qu’elle affiche et comment l’utiliser. Les encadrés vers le Risk Cockpit et le Risk Register (et les outils bowtie/FAIR/entity/crosswalk).

Ce qui se passe ensuite. L’outil choisi s’ouvre.

Remarques. Couvre IT-RISK et les risques GRC.

Enterprise Risk Register

À quoi elle sert. C’est le registre des risques de l’entreprise : catalogue des risques avec évaluation et traitement.

Quand l’utiliser. Pour enregistrer, évaluer et suivre les risques.

Comment l’ouvrir. Depuis le Risk Hub, encadré Register.

Ce qu’elle affiche. La liste des risques avec likelihood, impact, score calculé et plan de traitement (Accept/Mitigate/Transfer/Avoid), responsable et date de revue ; une heat map (probabilité × impact) et l’exposition par catégorie.

Comment l’utiliser. Vous créez/évaluez un risque, attribuez le traitement et le responsable, planifiez la revue.

Ce qui se passe ensuite. Les risques élevés guident les actions d’atténuation et les décisions de la direction (Risk Cockpit).

Remarques. Le score est calculé à partir de likelihood × impact.

Risk Cockpit

À quoi elle sert. C’est la vue de direction du risque : synthèse pour la direction.

Quand l’utiliser. Pour le suivi stratégique du profil de risque.

Comment l’ouvrir. Depuis le Risk Hub, encadré Cockpit.

Ce qu’elle affiche et comment l’utiliser. Les KPI de risque agrégés, les tendances et les principaux risques, avec drill-down.

Ce qui se passe ensuite. Elle guide les décisions de la direction en matière de risque.

Remarques. Réservée aux rôles de direction (voir Cockpits et vues de direction).

Risk Bowtie

À quoi elle sert. Elle réalise l’analyse bow-tie : causes → événement → conséquences, avec les barrières préventives et réactives.

Quand l’utiliser. Pour analyser un risque en profondeur et concevoir les barrières.

Comment l’ouvrir. Depuis le Risk Hub / le registre.

Ce qu’elle affiche et comment l’utiliser. Le diagramme bow-tie avec causes, événement central, conséquences et barrières ; vous modélisez les éléments.

Ce qui se passe ensuite. Les barrières deviennent des contrôles/actions à suivre.

Remarques. Méthodologie qualitative structurée.

Risk FAIR

À quoi elle sert. Elle réalise l’analyse quantitative FAIR (Factor Analysis of Information Risk) : estimation économique du risque.

Quand l’utiliser. Pour quantifier en termes monétaires l’exposition à un risque.

Comment l’ouvrir. Depuis le Risk Hub / le registre.

Ce qu’elle affiche et comment l’utiliser. Les facteurs FAIR (fréquence, ampleur) et la distribution des pertes estimées.

Ce qui se passe ensuite. La quantification étaye les décisions de traitement et d’assurance.

Remarques. Méthodologie quantitative.

Risk Entity

À quoi elle sert. Elle gère les entités de risque (objets/actifs/processus auxquels les risques se rapportent).

Quand l’utiliser. Pour relier les risques à leurs entités de référence.

Comment l’ouvrir. Depuis le Risk Hub.

Ce qu’elle affiche et comment l’utiliser. Les entités avec les risques associés.

Ce qui se passe ensuite. Elle améliore la traçabilité risque↔entité.

Remarques. Complémentaire du registre.

Compliance Crosswalk

À quoi elle sert. C’est le crosswalk qui met en correspondance les risques/contrôles avec les différents référentiels de conformité (correspondances entre normes).

Quand l’utiliser. Pour réutiliser un contrôle sur plusieurs référentiels et éviter les doublons.

Comment l’ouvrir. Depuis le Risk Hub / la zone Compliance.

Ce qu’elle affiche et comment l’utiliser. La matrice de correspondance entre les contrôles et les exigences des différents référentiels.

Ce qui se passe ensuite. Elle réduit l’effort de conformité multi-référentiels.

Remarques. Elle relie Risk et Compliance.

Legal Hub

À quoi elle sert. C’est l’entrée de la zone juridique : dossiers, contrats, consentements, DSAR, legal hold, signature électronique.

Quand l’utiliser. Pour accéder aux outils juridiques.

Comment l’ouvrir. Depuis la Home / le Security Hub (encadré Legal).

Ce qu’elle affiche et comment l’utiliser. Les encadrés vers le Legal Cockpit, les entités juridiques (par catégorie), les contrats, la KB, le report builder, et les liens vers GRC/Risk/PSA.

Ce qui se passe ensuite. L’outil choisi s’ouvre.

Legal Entity

À quoi elle sert. Elle gère les entités juridiques, par catégorie.

Quand l’utiliser. Pour traiter les dossiers, consentements, DSAR, legal holds et enveloppes de signature.

Comment l’ouvrir. Depuis le Legal Hub, encadrés par catégorie.

Ce qu’elle affiche. Les entités par catégorie :

Catégorie	Contenu
matter	Dossier/contentieux juridique
legal_intake	Prise en charge des demandes juridiques
dsar_request	Demandes DSAR (droits de la personne concernée, RGPD)
consent_record	Registre des consentements
legal_hold	Gels juridiques (conservation des documents)
esign_envelope	Enveloppes de signature électronique

Comment l’utiliser. Vous sélectionnez la catégorie et gérez les entités correspondantes (création, avancement, signature).

Ce qui se passe ensuite. Les dossiers suivent leur parcours ; les enveloppes de signature déclenchent la signature électronique.

Remarques. La gestion documentaire utilise les collections juridiques.

Legal Cockpit

À quoi elle sert. C’est la vue de direction juridique : synthèse des dossiers et des indicateurs.

Quand l’utiliser. Pour la supervision de la zone juridique.

Comment l’ouvrir. Depuis le Legal Hub, encadré Cockpit.

Ce qu’elle affiche et comment l’utiliser. Les KPI juridiques (dossiers ouverts, échéances, exposition) avec drill-down.

Ce qui se passe ensuite. Elle guide les priorités de la zone juridique.

Remarques. Réservée aux rôles juridiques/de direction.

Records Management

À quoi elle sert. Elle pilote la conservation des records (documentaires et génériques) selon les politiques de rétention.

Quand l’utiliser. Pour gérer les records soumis à conservation et les legal holds.

Comment l’ouvrir. Depuis le Legal Hub / le Builder.

Ce qu’elle affiche et comment l’utiliser. Les records avec leur classe de conservation et leur état ; les records génériques peuvent être des entités construites avec le Builder (Administration).

Ce qui se passe ensuite. Les records sont conservés/supprimés selon les règles ; les legal holds en bloquent la suppression.

Remarques. Lié au legal hold (Legal Entity).

Collections (risk-collections, legal-collections)

À quoi elles servent. Elles gèrent les collections documentaires des domaines Risk et Legal (ensembles de documents/preuves).

Quand les utiliser. Pour organiser et consulter les documents liés aux risques et aux dossiers juridiques.

Comment les ouvrir. Depuis les pages Risk/Legal.

Ce qu’elles affichent et comment les utiliser. Les collections avec les documents associés ; ouverture dans la visionneuse/signature.

Ce qui se passe ensuite. Les documents alimentent les preuves et les dossiers.

Remarques. Elles réutilisent la visionneuse des pièces jointes et la signature des documents.