La GRC ou l'art de transformer le risque en stratégie

L'appétence au risque n'est pas un curseur à régler. C'est un choix stratégique qui détermine ce qu'une organisation peut devenir.

Le risque comme boussole stratégique

Il existe une confusion tenace sur la GRC. On la présente comme l'outil de déclinaison de la stratégie sur l'organisation : gouvernance pour aligner, risques pour protéger, conformité pour rassurer. Une mécanique bien huilée, descendante, rassurante. Et fondamentalement incomplète.

Car la question centrale dépasse la simple déclinaison. Ce qui compte : comment la posture face au risque définit-elle la stratégie elle-même ?

L'appétence au risque n'est pas un curseur technique à régler une fois pour toutes. C'est un choix existentiel qui détermine tout le reste. Une organisation qui refuse le risque se condamne à l'immobilisme. Celle qui l'embrasse sans discernement court à sa perte. Entre les deux, le positionnement choisi dessine les contours de ce qui est possible : les marchés accessibles, les innovations envisageables, les paris autorisés.

La GRC se situe donc au cœur de la stratégie, pas en aval.

La boucle récursive

C'est ici qu'apparaît la dimension récursive, rarement comprise. La stratégie définit l'appétence au risque, mais l'analyse des risques informe la stratégie. Les deux termes s'influencent mutuellement dans une boucle continue.

Une organisation mature pratique cette récursivité naturellement. Le comité de direction ne demande pas « quels sont nos risques » comme on consulterait un bulletin météo. Il interroge : notre posture risque actuelle nous permet-elle encore d'exécuter notre stratégie ? Notre stratégie est-elle cohérente avec les risques que nous sommes prêts à assumer ?

Cette boucle s'applique à la GRC elle-même. Une fonction gouvernance qui ne questionne jamais sa propre gouvernance, une gestion des risques aveugle aux risques qu'elle fait peser sur l'organisation, une conformité non conforme à ses propres exigences : autant de symptômes d'un système en circuit ouvert, incapable de s'améliorer.

L'antifragilité comme posture

Le concept d'antifragilité éclaire cette vision. Un système fragile se brise sous le stress. Un système résilient résiste puis revient à l'équilibre. Un système antifragile se renforce quand on le soumet à la pression.

La GRC traditionnelle vise au mieux la résilience : encaisser les audits, survivre aux incidents, s'adapter aux nouvelles réglementations. Mais revenir à l'équilibre dans un monde en mutation permanente, c'est déjà être en retard.

Une GRC antifragile adopte une posture radicalement différente face au risque. Elle ne cherche pas à le minimiser mais à l'utiliser comme carburant. Chaque incident devient apprentissage, chaque contrainte réglementaire (NIS2, DORA) une opportunité de refondation, chaque friction avec les métiers un signal à exploiter.

Cette posture est un choix stratégique, pas une contrainte subie. L'organisation qui décide de transformer l'incertitude en avantage ne joue plus le même jeu que ses concurrents. Dans un environnement où les crises se succèdent sans répit, c'est peut-être la seule posture tenable.

La conformité comme acte stratégique

Reste le « C » de la GRC, trop souvent réduit à un exercice de cochage de cases. Là encore, la distinction entre subir et choisir est déterminante.

La conformité choisie ne consiste pas à sélectionner ISO 27001 plutôt que SOC 2. C'est définir ses propres règles, son propre niveau d'exigence, ce que l'on décide d'être indépendamment de toute contrainte externe. C'est la traduction en engagements concrets de sa posture risque et de sa stratégie. Une organisation qui sait ce qu'elle exige d'elle-même n'a pas besoin qu'on le lui impose.

La conformité imposée vient de l'extérieur : NIS2, DORA, CRA arrivent non négociables. Mais même là, le choix existe. L'organisation fragile subit : projet dédié, ressources consumées, deadline atteinte dans la douleur, retour à la normale. L'organisation antifragile intègre l'exigence externe à sa propre exigence. Elle ne la traite pas comme un corps étranger mais comme une validation ou un enrichissement de ce qu'elle avait déjà choisi d'être.

La ligne de démarcation passe exactement là. Toutes les organisations doivent se conformer aux mêmes réglementations. Ce qui les distingue : la posture adoptée, rester maître de sa conformité ou la déléguer à l'extérieur. Et cette posture se décide en amont, dans le « R » qui donne le la.

Le CISO, stratège du risque

Dans cette logique, le rôle du CISO se transforme. Il n'est plus le gardien d'un temple de procédures ni le contrôleur qui dit non. Il devient le stratège qui aide l'organisation à définir sa posture face au risque, et donc, indirectement, sa stratégie.

Sa valeur ne se mesure plus aux incidents évités mais à la qualité des décisions qu'il permet. Les questions qu'il doit aider à trancher : saisir une opportunité malgré un risque identifié, vérifier si la posture actuelle autorise tel pari, évaluer quels risques supplémentaires l'organisation peut assumer pour accélérer.

La GRC cesse alors d'être un centre de coût pour devenir un avantage compétitif, grâce à une relation au risque que d'autres n'osent pas construire.

Article publié dans Global Security Mag N°62 (février – avril 2026), pages 52-53.