La GRC en entreprise désigne la démarche qui pilote ensemble la gouvernance, la gestion des risques et la conformité. Elle fait travailler ces trois fonctions sur les mêmes données, au lieu de les traiter dans trois démarches séparées. L’acronyme GRC désigne aussi la gestion de la relation client : cet article traite du sens gouvernance, risques et conformité.
Ce que recouvre la GRC en entreprise
La gouvernance fixe qui décide et selon quelles règles : répartition des pouvoirs, délégations, politiques internes. Une société qui impose deux signatures au-delà d’un certain montant de dépense met en pratique ce premier pilier.
A voir aussi : L'entreprise la plus puissante de l'histoire : analyse et faits marquants
La gestion des risques identifie ce qui peut empêcher d’atteindre les objectifs (panne informatique, dépendance à un fournisseur, impayés) et décide de l’éviter, de le réduire, de le transférer ou de l’accepter.
La conformité vérifie le respect des lois, des normes et des règles internes. Elle s’appuie sur l’élaboration des règles internes, puisqu’une règle mal rédigée ne se contrôle pas.
A lire également : Portail métier : erreurs courantes à éviter lors de la mise en place
GRC intégrée ou GRC cloisonnée : ce qui change
Dans une organisation cloisonnée, le contrôle interne dépend d’un service, la conformité d’un autre et le suivi des risques de la direction financière. Chacun tient son propre inventaire, ses propres questionnaires et ses propres tableaux de bord.
Une approche intégrée met en place un référentiel de risques commun, des contrôles mutualisés et un reporting unique à la direction. Un même contrôle, par exemple la revue des accès aux données clients, répond alors à plusieurs exigences à la fois.
Le gain est une vision cohérente des risques, avec moins de sollicitations des équipes opérationnelles. La limite est l’effort de coordination, qui demande un sponsor à la direction. L’outillage vient ensuite : les logiciels de GRC et critères de choix sont détaillés dans un article dédié.
Qui porte la GRC : direction, risques, conformité, audit
Le modèle des trois lignes de l’IIA, publié en 2020, sert de repère pour répartir les rôles. Les équipes opérationnelles (première ligne) gèrent les risques au quotidien, les fonctions de gestion des risques et de conformité (deuxième ligne) les encadrent, et l’audit interne (troisième ligne) évalue l’ensemble de façon indépendante.
Au-dessus, le conseil d’administration ou le comité d’audit supervise la démarche. Dans une PME, une même personne cumule souvent plusieurs de ces rôles : l’essentiel est de séparer ceux qui exécutent d’un contrôle de ceux qui le vérifient.
Les textes qui imposent une démarche GRC
Plusieurs textes rendent la démarche obligatoire ou attendue. La loi Sapin II impose un programme de prévention de la corruption aux grandes entreprises, le RGPD encadre les données personnelles et la directive NIS 2 renforce les exigences de cybersécurité pour de nombreux secteurs.
Les enjeux financiers sont réels : le RGPD prévoit des amendes pouvant atteindre 4 % du chiffre d’affaires mondial ou 20 millions d’euros, le montant le plus élevé étant retenu. Pour la partie cybersécurité, voir comment renforcer la sécurité de l’entreprise.
Une entreprise non soumise à ces textes y est souvent rattachée par ses clients : un donneur d’ordre exige fréquemment de ses fournisseurs des garanties sur la protection des données ou la lutte contre la corruption, et la démarche GRC sert alors de preuve.
Les étapes d’un processus GRC
Le processus GRC suit une suite d’étapes qui se répète chaque année :
- Cadrage : la direction fixe les objectifs et le niveau de risque qu’elle accepte de prendre.
- Cartographie des risques : chaque service recense ses risques, notés par probabilité et par gravité.
- Inventaire des obligations : lois, normes et engagements contractuels sont rattachés aux risques concernés, y compris envers les partenaires, dont il faut pouvoir vérifier qu’un partenaire existe.
- Contrôles et suivi : un contrôle est affecté à chaque risque majeur, avec un responsable et des indicateurs.
Le reporting et la revue périodique ferment la boucle : les résultats alimentent le cadrage de l’année suivante.
Dans une petite structure, ce processus tient dans un tableur partagé et une réunion trimestrielle. Le choix d’un logiciel ne devient utile que lorsque le nombre de risques, de contrôles et d’intervenants rend le suivi manuel difficile à tenir.
Mesurer si la démarche GRC fonctionne
Trois indicateurs simples suffisent pour commencer : la part des risques majeurs couverts par un contrôle, le délai de traitement d’un incident et le nombre de non-conformités relevées en audit.
Une GRC devenue paperasse se reconnaît à des signes concrets : des registres de risques jamais mis à jour, des contrôles que personne ne sait expliquer, des rapports que la direction ne lit pas.
La démarche vaut ce que valent ses mises à jour. Un registre revu chaque trimestre par ses responsables vaut mieux qu’une cartographie exhaustive produite une seule fois.
