Que retenir du GRC ?

En résumé, le GRC représente un terme générique qui montre comment une organisation définit ses objectifs, politiques et autres procédures qui vont lui permettre de se gérer et de progresser tout en évitant ou en gérant les incidents et en démontrant sa conformité aux lois, réglementations, politiques, obligations contractuelles et autres standards. Les organisations pratiquent le GRC depuis des décennies au coup par coup et n’ont adopté que récemment une stratégie de management du risque et de la conformité de façon transverse, impliquant l’ensemble des domaines fonctionnels. Dans le contexte actuel d’une régulation croissante et d’augmentation des risques et de leur complexité, une stratégie GRC est plus importante que jamais. Retenons en synthèse qu’une telle stratégie doit avant tout permettre de répondre rapidement aux questions de sécurité et de conformité par rapport à des règlements, lois, engagements contractuels et autres standards. La réponse à ces questions, directement liées à l’information, doit également participer à l’amélioration de la gouvernance globale de l’information au sein de l’organisation. Il est ainsi demandé en permanence aux équipes de sécurité et de conformité de réduire les coûts de cette mise en conformité tout en assurant le niveau de sécurité requis et une mise en place efficace. Par ailleurs tout problème de sécurité et/ou de conformité doit être géré rapidement et avec un minimum d'impact sur l'activité de l’organisation.

De fait, un système de GRC doit donc permettre de :

> se conformer à toutes les réglementations et autres standards, de façon simple et économique ;

> créer un moyen efficace d’application des politiques dans chaque environnement ;

> identifier, prioriser et répondre aux problèmes au sein l’organisation concernée ;

> communiquer le risque à tous les niveaux de l'activité de manière claire et concise. Comme le montre le schéma précédent (source RSA), la vraie valeur d’un outil de GRC se mesurera à son degré d’intégration permettant :

> d’automatiser les processus de sécurité et de conformité ;

> d’éliminer au maximum les nombreux processus manuels consommateurs de temps ;

> de rationaliser le processus de réponse aux incidents ;

>d’incorporer les données sur les menaces afin d’en mesurer leur impact sur l'activité. Au final, un bon outil de GRC doit permettre à toute organisation de réduire le coût de traitement des problèmes liés à la sécurité ou à la conformité, en particulier en matière de traitement d’incidents et de diminuer l'exposition aux problèmes de sécurité et de conformité qui ont un réel impact sur l'activité de l’organisation. En réalité il s’agit de répondre à un certain nombre de défis, notamment ceux consistant à gérer le risque organisationnel, sécuriser l’accès mobile et la collaboration, prouver la conformité et sécuriser les environnements virtuels et “Cloud”.