ORSA · RISQUE OPÉRATIONNEL
Ce qui peut mal se passer dans l'activité
L'auto-évaluation part des processus et de leurs défaillances possibles, à la tâche où elles apparaissent.
xGRC · conformité et normes
Du texte de référence au score, sans rupture.
Ailleurs, un texte réglementaire se lit, se commente dans un document, puis quelqu'un ressaisit à la main les risques qu'il en déduit. Trois outils, trois formats, trois moments. La chaîne casse à chaque étape, et la traçabilité avec elle.
Dans e-Beyonder, le texte n'est pas un document joint au dispositif. Il en est la matière première.
Les écrans qui suivent sont des représentations non contractuelles, épurées pour isoler le mécanisme. Les écrans réels portent une densité de données structurées que nous ne publions pas — vous les verrez en démonstration.
DISPOSITIF DÉCLARATIF
Le texte vit dans un répertoire. L'analyse vit dans une note. Les risques vivent dans un registre. Rien ne relie les trois, sauf la mémoire de celui qui a fait le travail.
Question du régulateur : « montrez-moi l'article qui fonde ce risque ». Réponse : une recherche.
DISPOSITIF EXÉCUTABLE
Le texte est un objet du système, versionné, rattaché aux processus qu'il engage. Les risques de conformité en sont dérivés et gardent le lien vers l'article qui les fonde.
Même question. Réponse : l'ouverture d'une page.
La chaîne
Cinq temps, un seul système.
Aucun des cinq ne demande de ressaisir ce que le précédent a produit. C'est la définition même de l'absence de rupture — et c'est ce qui rend la chaîne opposable de bout en bout.
-
01
Texte de référence
Loi, règlement, norme, standard informatique, cahier des charges. Versionné, rattaché aux processus qu'il engage.
-
02
Évaluation
Le texte devient un questionnaire d'évaluation du risque de conformité, adressé là où l'obligation s'applique.
-
03
Création automatique
Les risques de non-conformité sont créés par le système, pas ressaisis. Chacun garde le lien vers l'article qui le fonde.
-
04
Mise sous contrôle
Chaque risque reçoit ses contrôles, qui s'exécutent selon la même mécanique que les contrôles opérationnels.
-
05
Score
Brut, puis net selon la performance mesurée des contrôles. La conformité cesse d'être une affirmation.
01 — 03 · le texte devient des risques
L'article n'est pas une pièce jointe. C'est le parent du risque.
Le corpus entre article par article. Chacun est rattaché aux processus qu'il engage — c'est ce rattachement qui permet au système de savoir où l'obligation s'applique, et donc à qui adresser l'évaluation.
De l'évaluation naissent les risques de non-conformité, créés par le système. Personne ne les retape dans un registre : ils y arrivent déjà qualifiés et déjà reliés à leur fondement.
Quand le texte change de version, ce qui en dépend est connu. Un dispositif déclaratif, lui, ne sait pas ce qu'une modification réglementaire vient d'invalider.
02 · les deux auto-évaluations
Le CRA et l'ORSA, même moteur.
Beaucoup d'organisations portent les deux dispositifs d'auto-évaluation dans deux outils différents, avec deux référentiels de processus, deux taxonomies et deux calendriers. Les écarts entre les deux ne sont alors jamais des informations — seulement des incohérences à expliquer.
CRA · RISQUE DE CONFORMITÉ
Ce qui peut manquer à une obligation
L'auto-évaluation part du texte et de ce qu'il exige, là où le texte engage un processus.
Les deux portent sur le même référentiel de processus, la même taxonomie et la même mécanique de contrôle. Un risque opérationnel et un risque de conformité qui pointent la même tâche se voient — et se traitent une fois.
03 · les politiques internes
Une politique est censée décliner un texte. Encore faut-il pouvoir le vérifier.
Les politiques internes suivent le même chemin que les textes externes : versionnées, rattachées aux processus comme jeu de règles, et confrontées aux textes qu'elles déclinent.
Versionnée
Chaque version sait à quels processus elle s'applique et depuis quand. L'historique n'est pas un dossier d'archives, c'est une dimension de l'objet.
Alignée, ou pas
L'alignement sur le texte de référence se vérifie dans le système. Un écart est un constat daté, pas une impression de relecture.
Opérante
Rattachée au processus, la règle est visible là où le travail se fait — et contrôlable là où elle peut être enfreinte.
04 · au-delà du réglementaire
Un texte qui engage est un texte qui entre.
Le moteur ne distingue pas la nature du texte, seulement le fait qu'il crée une obligation vérifiable. Ce qui vaut pour un règlement vaut donc aussi pour ce qui n'est pas réglementaire.
NORMES INFORMATIQUES
Le risque normatif, traité comme les autres
Standards et exigences techniques entrent dans la même chaîne, rattachés aux actifs informatiques concernés, jusqu'au score.
CAHIERS DES CHARGES
L'engagement commercial est une obligation
Un cahier des charges client s'évalue comme un texte : ce que vous avez promis devient contrôlable, et le manquement devient visible avant la réclamation.
SERVICE CONTRACTUEL
Le prestataire critique, sous le même régime
Les obligations portées par un tiers s'instruisent dans la même chaîne, puisque c'est le même mécanisme : un texte, un processus engagé, un contrôle.
05 · là où la chaîne arrive
Le risque de conformité n'est pas un registre à part.
Une fois créé et mis sous contrôle, il est scoré comme les autres : brut, puis net selon la performance mesurée de ses contrôles. Il remonte dans la taxonomie, et de là dans la cartographie d'exposition de l'organisation entière.
C'est ce qui permet de répondre à une question que peu d'organisations savent traiter : non pas « sommes-nous conformes », mais de combien, où, et par rapport à quel texte.
La conformité cesse d'être une affirmation annuelle. Elle devient une mesure, à la date d'aujourd'hui.
Apportez un article. Nous en sortons les risques devant vous.
Un texte qui vous engage, et les processus qu'il touche. Vous verrez la chaîne se faire — du texte au score — sans qu'un seul risque soit retapé.