Logiciel · GRC
GRC signifie gouvernance, risques et conformité (Governance, Risk and Compliance). Un logiciel GRC réunit exigences, risques, preuves et mesures en un seul endroit, même lorsque plusieurs normes et lois s’appliquent en même temps. Cette page montre ce qu’un outil GRC doit offrir, à quoi vous devez veiller lors du choix et comment Sightadel le met en œuvre.
Situation de départ
La gouvernance désigne le pilotage par la direction : objectifs, lignes directrices, rôles et décisions. Les risques désignent la gestion des risques : identifier, évaluer, traiter et réexaminer les risques. La conformité désigne le respect des normes, des lois et des exigences des clients, ainsi que la preuve de ce respect. Les trois domaines s’imbriquent. Une évaluation des risques sans décision de la direction est aussi peu vérifiable qu’une politique sans preuve qu’elle est appliquée.
Dans beaucoup d’entreprises, tout cela se trouve aujourd’hui dans des fichiers séparés. Un tableur pour la déclaration d’applicabilité selon ISO 27001, un pour les mesures NIS2, une liste de fournisseurs aux achats, des justificatifs dans des dossiers et des boîtes mail. Chaque référentiel supplémentaire alourdit la charge, car les mêmes sujets sont documentés plusieurs fois : sauvegarde des données, droits d’accès, formations, fournisseurs, audit interne.
Un logiciel GRC remplace cette collection par un modèle de données commun. Les exigences proviennent des frameworks, les preuves et les mesures sont créées une seule fois et liées à toutes les exigences qu’elles couvrent. Les décisions restent là où les normes les exigent : à la direction. Les objectifs, l’acceptation des risques et les responsabilités sont fixés par votre entreprise, pas par le logiciel.
Pourquoi maintenant
Vous avez ISO 9001 ou ISO 27001 et relevez désormais de NIS2 ou de DORA, ou un grand client exige sa propre annexe de sécurité. C’est le moment de passer à un système dans lequel une preuve compte pour plusieurs exigences.
L’organisme de certification, le commissaire aux comptes ou l’autorité de surveillance veulent voir des justificatifs datés. Qui ne rassemble les pièces qu’avant l’échéance recommence chaque année à chercher.
NIS2 et DORA rendent expressément responsable la direction ou l’organe de direction. La direction a besoin d’un état des lieux qu’elle peut lire et de décisions archivées de manière traçable.
Le responsable connaît tous les tableurs, personne d’autre. S’il est absent ou s’en va, le système s’arrête. Un outil GRC rend les responsabilités et les échéances visibles pour tous.
Chaque client interroge sur les mêmes sujets dans un format différent. Un état à jour et un Trust Center répondent une fois pour toutes aux questions habituelles.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Le référentiel de sécurité de l’information le plus répandu. Les chapitres 4 à 10 régissent le système de management, l’annexe A contient 93 contrôles. Beaucoup de preuves issues d’ISO 27001 servent aussi pour NIS2, DORA et les mesures techniques du RGPD.
Voir le framework →Obligatoire pour les entités importantes et essentielles au sens de la loi allemande sur le BSI (BSIG). Dix domaines de mesures selon le § 30 de la BSIG, obligations de notification selon le § 32, enregistrement selon le § 33 et responsabilité de la direction selon le § 38.
Voir le framework →Contraignant depuis janvier 2025 pour les entités financières de l’UE, où il prime sur NIS2. À la gestion du risque lié aux TIC et à la notification des incidents s’ajoutent les tests de résilience et le registre d’informations sur les prestataires de services TIC.
Voir le framework →Management de la qualité avec la même structure de base des chapitres 4 à 10 qu’ISO 27001. Maîtrise des documents, audit interne, revue de direction et actions correctives peuvent être gérés ensemble.
Voir le framework →S’applique à toute organisation qui traite des données personnelles. Les mesures techniques et organisationnelles selon l’art. 32 peuvent être justifiées par les mêmes preuves que beaucoup de contrôles d’ISO 27001.
Voir le framework →Ordre recommandé
Déterminez quelles normes et lois s’appliquent à vous et ce que vos clients exigent en plus. Cela détermine les frameworks que vous créez dans Sightadel.
Les tableaux existants sur les exigences, les risques et les fournisseurs arrivent par import Excel, les politiques par import Word. Vous chargez les justificatifs dans l’archive des preuves et les rattachez.
Parcourez de manière guidée le framework dont l’échéance est la plus proche, contrôle par contrôle. Vous créez les autres frameworks à côté. Ce qui est déjà justifié y apparaît comme justifié.
Les écarts deviennent des plans d’action avec responsable et échéance. Les collègues de l’informatique, des ressources humaines et des achats traitent leur partie avec le rôle Contributor, la direction suit en lecture avec le rôle Viewer.
Audit interne, revue de direction, évaluations des fournisseurs et preuves arrivant à échéance sont gérés comme des rendez-vous avec rappel. Le système reste ainsi à jour entre les audits.
Choix
La plupart des outils GRC se ressemblent en démonstration. Les différences apparaissent la deuxième année : dans la maintenance, avec le deuxième framework et lors de l’audit.
Vérifiez si un justificatif peut être déposé une seule fois et lié à des exigences de plusieurs référentiels. Des copies par framework mènent à des états divergents.
Un test de restauration ou une liste de formation devient obsolète. L’outil doit gérer version, validité et rappel avant expiration, pas seulement le stockage de fichiers.
Une liste de textes normatifs aide peu les services métiers. Veillez à disposer de questions de contrôle expliquées, auxquelles des collègues sans connaissance des normes peuvent aussi répondre.
L’IA peut fournir des projets. Les objectifs, l’acceptation des risques et les responsabilités doivent être fixés par la direction, et l’outil doit signaler ces points plutôt que de les préremplir.
Un rôle dédié pour l’auditeur, sans droit de suppression, évite l’envoi de fichiers. Les consultants externes doivent pouvoir collaborer avec leur propre rôle, de manière traçable dans le journal.
Demandez où se trouvent les données, qui les exploite et comment vous pouvez les récupérer. L’export vers Excel et Word fait partie de l’équipement de base.
Comment Sightadel vous aide
Chaque exigence sous forme de question expliquée, contrôle par contrôle, avec des modèles sectoriels issus d’une longue pratique du conseil et de la certification. Réponse, justification et justificatif se trouvent au même endroit.
En savoir plus →Des justificatifs avec version, date de validité et rappel avant expiration. Une preuve est liée à des contrôles de plusieurs frameworks, par exemple un concept de sauvegarde à la fois pour ISO 27001, NIS2 et DORA.
En savoir plus →Les écarts issus des évaluations, des audits internes et des constats externes deviennent des mesures avec responsable et échéance. Les points en retard sont visibles pour tous les intervenants.
En savoir plus →Les prestataires avec criticité, questionnaires et preuves dans une seule liste, avec rappel de la prochaine évaluation. Cela couvre les exigences relatives à la chaîne d’approvisionnement de plusieurs référentiels.
En savoir plus →Vous créez les directives de groupe ou les annexes de sécurité de vos clients comme framework personnalisé. Il utilise les mêmes preuves et mesures que les normes.
En savoir plus →Synchronisation régulière avec Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics et Salesforce. Actifs, preuves et tâches proviennent des systèmes dans lesquels ils sont de toute façon produits.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont la situation de départ, la taille du périmètre et le temps qu’il reste à côté des affaires courantes. Le logiciel réduit la recherche, la maintenance et les relances, pas les décisions.
Ce que vous souscrivez · généralement Professional
La licence est accordée par framework et par édition. Une entreprise avec un SMSI, soumise à NIS2 et concernée par la protection des données prend typiquement ISO 27001, NIS2 et le RGPD dans l’édition Professional. Comme ISO 27001 en fait partie, NIS2 et le RGPD coûtent durablement moins cher. Avec de nombreuses sociétés ou de nombreux fournisseurs, l’édition Enterprise convient.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Un système dans lequel convergent gouvernance, gestion des risques et conformité : exigences issues des normes et des lois, risques, preuves, mesures et décisions de la direction. L’essentiel est qu’une preuve compte pour plusieurs référentiels et que les échéances ne dépendent pas d’une seule personne.
Pour un framework et une personne responsable, Excel peut suffire. Avec plusieurs référentiels, de nombreux intervenants et des preuves qui expirent, cela devient pénible : les versions divergent, les échéances ne se remarquent qu’à l’audit. Les tableaux existants peuvent être importés dans Sightadel, vous ne repartez pas de zéro.
Sightadel est proposé sous licence par framework et par édition. Si ISO 27001 ou ISO 9001 est sous licence, chaque autre framework coûte durablement moins cher. Les montants actuels figurent sur la page des tarifs. Vous pouvez tester gratuitement pendant 14 jours, sans données de paiement.
Entre autres ISO 27001, NIS2, DORA, ISO 9001 et le RGPD. Ce qu’un logiciel doit offrir pour chaque référentiel est décrit sur les pages logiciel ISO 27001, logiciel NIS2, logiciel DORA et logiciel ISO 9001. Vous créez vos propres exigences, par exemple des directives de groupe ou des exigences de clients, comme framework personnalisé.
Non. Sightadel vous guide à travers les exigences et consigne l’état d’avancement. Vous choisissez votre consultant dans le réseau de partenaires depuis l’application ou venez avec le vôtre. Le contrôle est assuré par des auditeurs indépendants et accrédités. Sightadel ne certifie pas et ne perçoit aucune commission, les partenaires non plus.
Rien. Elle fait des propositions à partir de données que vous avez déjà saisies ou importées. Vous les reprenez, les modifiez ou les complétez. Les objectifs, l’acceptation des risques et les responsabilités, c’est vous qui les fixez.
Oui, par des intégrations avec Jira, Confluence, Zendesk, Microsoft Azure, SAP, Microsoft Dynamics et Salesforce avec synchronisation régulière. Sont repris les actifs, les preuves et les tâches. Vous créez les utilisateurs manuellement ou par CSV. Il n’existe pas d’API publique pour les clients, d’autres systèmes sur demande.
Sightadel est développé en Allemagne et exploité en Allemagne. Nous concluons avec chaque client un accord de sous-traitance (art. 28 RGPD).
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
