Glossaire GRC

Tout ce qui a de la valeur pour l’organisation et doit être protégé : données, applications, serveurs, personnes clés ou locaux. L’inventaire des actifs est le point de départ de toute analyse de risques.

Voir aussi : Sécurité de l’information

Comparaison entre ce que fait l’organisation aujourd’hui et ce qu’exige une norme ou une réglementation. Le résultat est la liste des exigences non couvertes et le plan pour y remédier.

Voir aussi : Conformité réglementaire

Analyse préalable exigée par le RGPD lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les personnes, par exemple des données de santé à grande échelle ou une surveillance systématique.

Voir aussi : RGPD

Niveau de risque que la direction est prête à accepter pour atteindre ses objectifs. Il est formalisé par écrit et sert à décider quels risques sont acceptés et lesquels doivent être traités.

Voir aussi : Gestion des risques

Processus consistant à identifier les risques, les analyser (probabilité et impact) et les évaluer au regard de l’appétence au risque pour décider lesquels traiter en premier.

Voir aussi : Gestion des risques

Revue menée par un organisme accrédité pour vérifier qu’un système de management respecte une norme certifiable, comme ISO 27001 ou ISO 22301. En cas de succès, l’organisation obtient le certificat, maintenu par des audits de surveillance.

Voir aussi : Gestion des audits

Fonction indépendante qui vérifie que les contrôles, la gestion des risques et la gouvernance fonctionnent comme prévu. Elle rend compte au conseil ou au comité d’audit.

Voir aussi : Gestion des audits

Étude qui identifie les processus critiques, la durée pendant laquelle chacun peut être arrêté et les ressources nécessaires pour redémarrer. Elle fixe le RTO, le RPO et les priorités du plan de continuité.

Voir aussi : Continuité d’activité

Voie confidentielle pour signaler des manquements au sein de l’organisation. La directive européenne sur les lanceurs d’alerte (2019/1937) l’impose au secteur public et aux entreprises de 50 salariés ou plus.

Voir aussi : Canal d’alerte

Matrice probabilité-impact où chaque risque occupe une case colorée. Elle montre d’un coup d’œil les risques critiques et permet de comparer risque brut et risque résiduel.

Voir aussi : Gestion des risques

Attribuer à chaque information un niveau (publique, interne, confidentielle, restreinte…) selon le préjudice qu’entraînerait sa divulgation. Chaque niveau a ses règles d’accès, d’envoi et de destruction.

Voir aussi : ISO 27001

Référentiel de l’ISACA pour la gouvernance et la gestion des systèmes d’information. Il aligne les objectifs informatiques sur ceux de l’entreprise et définit processus, responsabilités et indicateurs.

Voir aussi : COBIT

Les trois propriétés que protège la sécurité de l’information : seules les bonnes personnes y accèdent, les données ne sont pas modifiées sans contrôle et elles sont disponibles quand on en a besoin.

Voir aussi : Sécurité de l’information

Ensemble de politiques, de contrôles et de responsables qui garantissent que l’organisation respecte la loi, les normes qu’elle a adoptées et ses propres engagements éthiques. Son but est d’éviter sanctions et atteintes à la réputation.

Voir aussi : Conformité

Résultat de la comparaison entre les preuves et un critère. Il peut s’agir d’une non-conformité, d’une observation ou d’une piste d’amélioration, et donne généralement lieu à un plan d’action.

Voir aussi : Gestion des audits

Mesure qui réduit la probabilité ou l’impact d’un risque. Il peut être technique (chiffrement, sauvegardes), organisationnel (une politique, une séparation des tâches) ou physique (contrôle d’accès à un bâtiment).

Voir aussi : Contrôles internes

Contrôle alternatif appliqué quand le contrôle prévu n’est pas réalisable. Il doit couvrir le même risque avec un niveau de protection équivalent, et il est utile de documenter pourquoi il a été retenu.

Voir aussi : Contrôles internes

Processus conçu par la direction pour donner une assurance raisonnable sur la fiabilité de l’information, l’efficacité des opérations et le respect des règles. Le référentiel le plus utilisé est le COSO.

Voir aussi : Contrôles internes

Relier un même contrôle aux exigences de plusieurs normes (par exemple ISO 27001, NIS2 et DORA) pour le mettre en œuvre et le prouver une seule fois.

Voir aussi : Conformité réglementaire

Référentiels du Committee of Sponsoring Organizations of the Treadway Commission. Le COSO Contrôle interne définit cinq composantes du contrôle ; le COSO ERM étend cette approche à la gestion des risques de toute l’entreprise.

Voir aussi : COSO ERM

Directive (UE) 2022/2464 sur la publication d’informations en matière de durabilité. Elle impose aux entreprises concernées de publier selon les normes ESRS et de faire vérifier ce rapport.

Voir aussi : CSRD

Capacité à continuer de fournir un service pendant une cyberattaque et à s’en remettre ensuite. Au-delà de la prévention, elle couvre la détection, la réponse, la reprise et le retour d’expérience.

Voir aussi : DORA

Document obligatoire dans ISO 27001 qui liste les contrôles de l’annexe A, indique ceux qui s’appliquent et justifie les exclusions. C’est l’une des premières choses que regarde l’auditeur.

Voir aussi : ISO 27001

Rôle qui contrôle le respect du RGPD, conseille l’organisation et sert d’interlocuteur avec l’autorité de contrôle. Il est obligatoire pour les organismes publics et pour certains traitements à grande échelle.

Voir aussi : RGPD

Durée au-delà de laquelle l’arrêt d’un processus cause un préjudice inacceptable à l’organisation. Le RTO doit toujours être plus court.

Voir aussi : Continuité d’activité

Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique, applicable depuis janvier 2025 aux banques, assureurs, sociétés de gestion et autres entités financières. Il couvre la gestion du risque informatique, la notification des incidents, les tests de résilience et le risque lié aux prestataires TIC.

Voir aussi : DORA

Principe de la CSRD selon lequel un sujet de durabilité est important si l’entreprise a un impact sur les personnes ou l’environnement (matérialité d’impact) ou s’il affecte ses résultats (matérialité financière). L’une des deux suffit.

Voir aussi : ESG et durabilité

Revue menée avant et pendant une relation avec un tiers (fournisseur, partenaire, client) pour connaître ses risques financiers, de sécurité, de conformité ou de réputation.

Voir aussi : Risque tiers

Sigle pour environnement, social et gouvernance. Regroupe les critères extra-financiers avec lesquels investisseurs, clients et régulateurs évaluent une entreprise.

Voir aussi : ESG et durabilité

Normes européennes d’information en matière de durabilité. Elles définissent quelles données, et sous quel format, les entreprises soumises à la CSRD doivent publier.

Voir aussi : CSRD

Processus pour détecter, enregistrer, classer, résoudre les incidents et en tirer des leçons. Avec DORA, NIS2 et le RGPD, il inclut aussi la notification au régulateur dans les délais.

Voir aussi : Gestion des incidents

Approche qui gère tous les risques de l’organisation (stratégiques, financiers, opérationnels, de conformité) avec une même méthode et une vue d’ensemble, plutôt que service par service.

Voir aussi : Gestion des risques

Politiques, rôles et contrôles pour développer et utiliser des systèmes d’intelligence artificielle de manière sûre, éthique et conforme à la loi. Elle inclut l’inventaire des systèmes, leur classification par risque et leur supervision.

Voir aussi : Gouvernance de l’IA

Manière de travailler qui réunit la gouvernance d’entreprise, la gestion des risques et la conformité réglementaire dans un même modèle, avec des données partagées plutôt que des tableurs isolés.

Voir aussi : Plateforme GRC

Mesure qui signale qu’un risque augmente avant qu’il ne se concrétise, comme le nombre de vulnérabilités critiques ouvertes ou le turnover sur un poste clé. On lui fixe des seuils d’alerte.

Voir aussi : Gestion des risques

Installation ou système indispensable à des services essentiels comme l’énergie, l’eau ou les transports. Dans l’Union européenne, la directive CER fixe les obligations des entités critiques.

Voir aussi : Infrastructures critiques

Norme internationale certifiable pour les systèmes de management de la continuité d’activité. Elle impose d’analyser l’impact, de définir des stratégies de reprise et de tester les plans.

Voir aussi : ISO 22301

Norme internationale certifiable pour les systèmes de management de la sécurité de l’information (SMSI). Elle repose sur une appréciation des risques et une annexe de contrôles à appliquer ou à justifier.

Voir aussi : ISO 27001

Extension du management de la sécurité de l’information à la protection de la vie privée. Elle aide à démontrer la conformité au RGPD et aux autres lois sur la protection des données.

Voir aussi : ISO 27701

Lignes directrices internationales pour le management du risque dans tout type d’organisation. Elle n’est pas certifiable : elle décrit des principes, un cadre et un processus.

Voir aussi : ISO 31000

Norme certifiable pour les systèmes de management anticorruption. Elle impose d’évaluer le risque de corruption, de contrôler les tiers et de prévoir des canaux pour signaler les soupçons.

Voir aussi : ISO 37001

Norme certifiable pour les systèmes de management de la conformité. Elle sert de base pour organiser le respect de toute obligation, légale ou volontaire.

Voir aussi : ISO 37301

Première norme certifiable pour les systèmes de management de l’intelligence artificielle. Elle encadre le développement et l’usage responsables de l’IA et s’articule avec les exigences du règlement européen sur l’IA.

Voir aussi : ISO 42001

Tableau qui relie chaque risque aux contrôles qui l’atténuent, à leur responsable, leur fréquence et la preuve attendue. C’est la base de la revue du contrôle interne.

Voir aussi : Contrôles internes

Cause potentielle d’un incident pouvant endommager un actif : une attaque par rançongiciel, une erreur humaine, une coupure de courant ou une inondation. Quand une menace rencontre une vulnérabilité, le risque apparaît.

Voir aussi : Gestion des risques

Répartition des rôles dans la gestion des risques : la première ligne (les opérationnels) gère le risque, la deuxième (risques et conformité) le supervise et la troisième (audit interne) apporte une assurance indépendante.

Voir aussi : Gestion des audits

Directive (UE) 2022/2555 sur la cybersécurité. Elle élargit les secteurs concernés, impose des mesures de gestion des risques, engage la responsabilité des dirigeants et fixe des délais de notification des incidents : alerte précoce sous 24 heures et notification sous 72.

Voir aussi : NIS2

Cadre de cybersécurité du NIST américain, utilisé dans le monde entier. Il organise la cybersécurité en six fonctions : gouverner, identifier, protéger, détecter, répondre et rétablir.

Voir aussi : NIST CSF

Non-respect d’une exigence de la norme ou du système de management lui-même. Elle est classée majeure ou mineure et impose d’en analyser la cause et d’appliquer une action corrective.

Voir aussi : Gestion des audits

Norme de sécurité du secteur des cartes de paiement. Elle s’applique à tous ceux qui stockent, traitent ou transmettent des données de cartes.

Voir aussi : PCI DSS

Ensemble de tâches avec un responsable et une échéance pour traiter un risque, clore un constat ou corriger une non-conformité. Son suivi montre que l’organisation progresse.

Voir aussi : Atténuation des risques

Document qui décrit comment maintenir ou rétablir les processus critiques après une interruption grave : qui décide, ce qui est activé et dans quel ordre.

Voir aussi : Continuité d’activité

Volet technique de la continuité : comment restaurer les systèmes et les données après un sinistre dans le RTO et le RPO convenus.

Voir aussi : ISO 27031

Document approuvé par la direction qui fixe les objectifs et les règles de sécurité de l’information. Tout le reste (normes, procédures, contrôles) en découle.

Voir aussi : Sécurité de l’information

Dans DORA, entreprise qui fournit des services numériques ou de données à une entité financière. L’entité doit l’évaluer, l’inscrire dans son registre d’informations et prévoir une stratégie de sortie.

Voir aussi : Risque tiers

Élément qui démontre qu’un contrôle a été exécuté : un journal, une capture d’écran, un compte rendu ou un rapport. Sans preuve, pour l’auditeur, le contrôle n’existe pas.

Voir aussi : Gestion des audits

Personne qui a la responsabilité et l’autorité pour gérer un risque précis. Elle décide de son traitement et répond de son évolution.

Voir aussi : Gestion des risques

Principe du RGPD qui impose de prendre en compte la protection des données dès la conception d’un produit, d’un service ou d’un processus, et non à la fin.

Voir aussi : Protection des données

Inventaire exigé par le RGPD de chaque traitement de données personnelles : finalité, catégories de données, destinataires, durées de conservation et mesures de sécurité.

Voir aussi : RGPD

Règlement (UE) 2024/1689, première loi générale sur l’intelligence artificielle. Il classe les systèmes par niveau de risque : il interdit certains usages, impose des obligations strictes aux systèmes à haut risque et exige de la transparence pour d’autres.

Voir aussi : EU AI Act

Capacité d’une organisation à continuer de fournir ses services importants face à toute interruption, qu’elle soit technologique, liée à un fournisseur ou physique.

Voir aussi : DORA

Règlement (UE) 2016/679, qui encadre le traitement des données personnelles dans l’Union européenne. Il exige une base légale, de la transparence, de la sécurité et une responsabilité démontrable.

Voir aussi : RGPD

Niveau de risque avant l’application de tout contrôle. Il montre l’exposition réelle si rien ne fonctionnait.

Voir aussi : Gestion des risques

Pertes causées par des défaillances de processus, de personnes ou de systèmes, ou par des événements externes. C’est l’un des risques que les superviseurs de la banque et de l’assurance surveillent le plus.

Voir aussi : Banque

Analyse qui exprime le risque en argent plutôt qu’en échelles de couleurs, généralement en simulant des milliers de scénarios avec la méthode de Monte-Carlo. Elle répond à des questions comme « combien pouvons-nous perdre en un an ? ».

Voir aussi : Quantitative Risk

Risque qui subsiste après l’application des contrôles. S’il reste au-dessus de l’appétence au risque, il faut renforcer le traitement ou l’accepter explicitement.

Voir aussi : Gestion des risques

Risque qui arrive par les fournisseurs, partenaires ou sous-traitants. On le gère en les évaluant avant de contracter, en les suivant pendant la relation et en préparant la sortie.

Voir aussi : Risque tiers

Quantité maximale de données que l’on peut perdre, mesurée en temps. Un RPO de quatre heures impose des sauvegardes datant au plus de quatre heures avant l’incident.

Voir aussi : Continuité d’activité

Délai maximal pour rétablir un processus ou un système après une interruption. Il découle du bilan d’impact et doit être inférieur à la DMIA.

Voir aussi : Continuité d’activité

Répartir entre des personnes différentes les tâches qui, confiées à une seule, lui permettraient de commettre et de dissimuler une erreur ou une fraude, comme approuver un paiement et l’enregistrer.

Voir aussi : Contrôles internes

Ensemble de politiques, processus et contrôles avec lequel une organisation gère la sécurité de son information de façon systématique et en amélioration continue. C’est ce que certifie ISO 27001.

Voir aussi : ISO 27001

Personne ou organisation qui traite des données personnelles pour le compte d’une autre, le responsable du traitement. Leur relation est encadrée par le contrat de sous-traitance qu’exige le RGPD.

Voir aussi : Protection des données

Loi américaine de 2002 visant les sociétés cotées aux États-Unis et leurs filiales. Sa section 404 impose d’évaluer et de certifier le contrôle interne sur l’information financière.

Voir aussi : SOX

Vue qui rassemble les risques, leurs indicateurs et l’avancement des plans d’action, pour que la direction voie d’un coup d’œil où se situe l’exposition et comment elle évolue.

Voir aussi : Rapports

Dispositif d’évaluation de la sécurité de l’information du secteur automobile, géré par l’association ENX et fondé sur le questionnaire VDA ISA. Les constructeurs l’exigent de leurs fournisseurs.

Voir aussi : TISAX

Écart acceptable par rapport à l’appétence au risque pour un objectif précis. Elle traduit l’appétence, plus générale, en limites mesurables.

Voir aussi : Gestion des risques

Décision sur ce que l’on fait d’un risque : le réduire avec des contrôles, le transférer (par une assurance, par exemple), l’éviter en abandonnant l’activité ou l’accepter.

Voir aussi : Atténuation des risques

Incident entraînant la destruction, la perte, l’altération ou l’accès non autorisé à des données personnelles. Selon le RGPD, si elle présente un risque pour les personnes, elle doit être notifiée à l’autorité de contrôle dans les 72 heures.

Voir aussi : Protection des données

Faiblesse d’un actif ou d’un contrôle qu’une menace peut exploiter, comme un logiciel non corrigé ou un mot de passe partagé.

Voir aussi : Sécurité de l’information