Dans la grande majorité des organisations régulées, la conformité est devenue une fin en soi. On coche des cases, on produit des documents, on obtient des certifications. Et pourtant, 68 % des entreprises certifiées ISO 27001 ont subi au moins un incident de sécurité significatif dans les 18 mois suivant leur audit (Ponemon Institute, 2024). La certification n'a pas protégé. Elle a donné l'illusion de la protection. Ce paradoxe mérite une analyse franche — parce que si votre programme GRC repose sur une logique compliance-first, vous avez peut-être construit une façade très solide devant une structure fragile.
Le piège de la conformité performative
La compliance-first n'est pas une erreur de bonne volonté. C'est une réponse rationnelle à une pression mal orientée. Quand le Conseil d'administration mesure la réussite d'un programme GRC par le taux de conformité aux frameworks (NIS2, DORA, RGPD, ISO 27001), les équipes optimisent précisément ce que l'on mesure.
Le problème : un framework réglementaire est une photographie à un instant T. Il capture le consensus du marché sur ce que les risques importants étaient au moment de sa rédaction. NIS2 codifie les leçons des incidents de 2019-2022. DORA cristallise les manquements observés dans le secteur financier entre 2017 et 2021. Par construction, ils regardent dans le rétroviseur.
Résultat : une organisation parfaitement conforme à NIS2 peut être totalement aveugle à une classe d'attaque émergente que le texte n'anticipe pas. Elle a répondu à hier. Elle est vulnérable à demain.
L'erreur architecturale : partir du contrôle plutôt que du risque
Une approche compliance-first commence par le contrôle : quels contrôles le framework exige-t-il ? Elle mappe ensuite ces contrôles sur l'organisation, identifie les écarts, et les comble.
Une approche risk-first commence par une question différente : quels événements menacent réellement la continuité de l'activité, la confiance des clients, ou la viabilité du modèle ? Elle construit ensuite des contrôles proportionnés à ces risques. Parfois, ces contrôles recouvrent exactement ce qu'exige le framework. Souvent, ils vont plus loin sur certains axes et moins loin sur d'autres.
La différence n'est pas sémantique. Une organisation qui part du risque identifie des menaces que son secteur sous-estime encore, parce qu'elle ne se limite pas au scope de l'auditeur. Une organisation compliance-first peut dépenser des ressources considérables sur des contrôles peu pertinents pour son profil de risque — simplement parce que le framework les exige.
Exemple concret : un éditeur de logiciels B2B en croissance rapide, dont 90 % du revenu dépend de trois clients grands comptes, a un risque de concentration client qui ne figure dans aucun article de NIS2. Aucun auditeur ne lui demandera comment il gère ce risque. Et pourtant, c'est peut-être son premier risque de rupture d'activité.
Trois signaux que votre programme est en mode compliance-first
Signal 1 — Le rapport d'audit est votre KPI principal. Si la question « comment va notre programme GRC ? » reçoit une réponse en termes de taux de conformité aux contrôles plutôt qu'en termes d'évolution du profil de risque, le cadre de mesure est inversé. Un programme de maîtrise du risque se pilote sur des métriques de risque : probabilité et impact des scénarios identifiés, délai moyen de détection, couverture des actifs critiques.
Signal 2 — Les exercices de crise ne mobilisent pas la direction. Dans les organisations compliance-first, les simulations d'incident sont des exercices de documentation — qui remplit quel formulaire, quand notifier l'ANSSI. Dans les organisations risk-first, ce sont des exercices de décision sous pression : que fait-on si notre principal prestataire cloud est compromis à 14h un vendredi ? La distinction révèle si la résilience est opérationnelle ou simplement certifiable.
Signal 3 — Le programme GRC et la roadmap produit ne se parlent pas. Un vrai programme de maîtrise du risque remonte jusqu'aux décisions d'architecture : quels fournisseurs, quelles dépendances, quelle exposition. Si votre RSSI découvre les nouvelles intégrations techniques en lisant le changelog plutôt qu'en étant consulté en amont, votre programme est réactif par construction.
Comment inverser la logique sans tout reconstruire
La bonne nouvelle : on n'a pas besoin de jeter le programme existant. La compliance-first a produit de la documentation, des processus, des cartographies. Ce n'est pas du travail perdu — c'est une base.
Le pivot se fait en trois mouvements.
D'abord, qualifier les risques plutôt que les contrôles. Pour chaque domaine couvert par votre programme, posez la question : quel scénario ce contrôle cherche-t-il à empêcher ? Si personne ne sait répondre, le contrôle est orphelin. Il consomme des ressources sans ancrage dans la réalité de l'organisation.
Ensuite, introduire des scénarios adversariaux dans votre gouvernance. Pas des simulations de conformité, mais des scénarios réels : compromission d'un tiers critique, exfiltration progressive de données clients sur six mois, arrêt inopiné d'un service cloud central. Ces scénarios révèlent les angles morts du programme existant.
Enfin, aligner les indicateurs de reporting direction. Si vous rapportez au Comex un taux de conformité à 94 %, vous avez répondu à une question que le Comex ne devrait pas poser. La question utile est : sur nos cinq risques critiques identifiés, lesquels avons-nous réduits ce trimestre ? C'est cette question qui motive un programme utile.
Ce que les organisations les mieux positionnées font différemment
Les organisations qui gèrent réellement leur risque (et pas seulement leur conformité) ont une caractéristique commune : leur programme GRC est piloté par un responsable qui a voix au chapitre sur les décisions stratégiques, pas seulement sur les processus de contrôle. Le risque n'est pas une ligne de coût à minimiser — c'est une information stratégique à intégrer.
Elles traitent la conformité réglementaire comme un sous-produit de la maîtrise du risque : en maîtrisant vraiment leurs risques, elles se trouvent naturellement conformes. L'inverse ne fonctionne pas.
Dans votre contexte, la question n'est pas de savoir si vous êtes conformes à NIS2 ou DORA. Elle est de savoir si votre programme vous protège réellement des événements qui menaceraient votre activité — qu'ils soient couverts par un article réglementaire ou pas. C'est une question différente. Et souvent, une réponse différente.
Presidio propose un module de pilotage du risque résiduel qui distingue explicitement les métriques de couverture des métriques d'exposition. Lire aussi notre analyse sur les 5 signaux que votre programme GRC finance la conformité plutôt que le risque, ou contacter notre équipe pour un entretien de cadrage.