L’audit parle d’un seul jour
Un audit ou une certification annuelle dit ce qui était vrai le jour de la revue. Le GRCOps couvre les autres jours. Le postulat : un contrôle dérive, un fournisseur se dégrade et une dérogation expire entre deux audits, et l’organisation doit l’apprendre au moment où cela se produit, pas douze mois plus tard. La preuve est donc collectée en continu, et un contrôle dont la preuve a dépassé sa cadence est traité comme un constat, pas comme un test réussi avec une vieille date.
Un cycle de vie pour tous les constats
Constats d’audit, plans de traitement des risques, remédiations fournisseurs et suivis de vulnérabilités vivent d’ordinaire dans quatre outils avec quatre vocabulaires. Le GRCOps les place dans un seul cycle : ouvert, porté, planifié, en cours, clôturé avec preuve. La même échelle s’applique que le constat vienne d’un test d’intrusion, d’une réponse de questionnaire ou d’une revue de politique expirée. C’est ce qui permet à un RSSI de lire un seul backlog et à un conseil de lire un seul burndown.
Des niveaux de service plutôt que des bonnes intentions
La pratique emprunte sa discipline aux opérations : un délai cible de prise en compte, un délai cible de remédiation par criticité, et un taux de dépassement mesuré sur les deux. La communauté qui a nommé l’approche GRC Engineering pousse la même logique plus loin, avec des contrôles as code et des preuves collectées par des pipelines. Dans les deux lectures, l’idée est identique : la gouvernance cesse d’être un document et devient un run.