Les organisations européennes ont investi massivement dans la conformité depuis 2023. NIS2, DORA, EU AI Act, RGPD : les programmes se multiplient, les budgets augmentent, les comités de pilotage se réunissent. Et pourtant, selon une analyse de PwC publiée début 2026, près de 58 % des responsables GRC interrogés déclarent que leur niveau d'exposition au risque perçu n'a pas diminué malgré la hausse des dépenses de conformité. Ce chiffre révèle une confusion structurelle : la conformité réglementaire et la gestion du risque sont deux disciplines distinctes. L'une répond au régulateur. L'autre protège l'organisation. Savoir dans laquelle vous investissez réellement est la première question stratégique de tout Directeur des risques.
La distinction que les régulateurs n'établissent pas clairement
NIS2 exige une politique de gestion des risques. DORA impose des tests de résilience. EU AI Act demande une évaluation de conformité avant déploiement. Ces obligations créent une activité documentaire intense — registres, politiques, rapports — qui peut donner l'illusion d'une gestion du risque mature. La réalité est plus nuancée. Une organisation peut passer un audit NIS2 avec succès et être victime d'un incident cyber majeur trois mois plus tard, précisément parce que les contrôles formels et les risques opérationnels réels ne coïncident pas toujours. Ce décalage n'est pas une défaillance du cadre réglementaire : c'est la conséquence d'une réponse conçue pour satisfaire l'auditeur plutôt que pour réduire l'exposition. Les cinq signaux suivants permettent de diagnostiquer ce décalage dans votre propre organisation.
Signal 1 — Votre budget GRC est structuré par régulation, pas par risque
Si vos lignes budgétaires s'appellent "NIS2", "DORA" et "AI Act" plutôt qu'"infrastructures critiques", "continuité opérationnelle" et "risque fournisseurs", votre allocation suit les échéances réglementaires, pas l'exposition effective. Cette structure crée des angles morts prévisibles : les risques qui ne sont pas explicitement adressés par un texte en vigueur — une dépendance technologique émergente, une concentration géographique de prestataires, un vecteur d'attaque non couvert par les cadres actuels — restent hors périmètre. Une organisation qui gère réellement le risque alloue ses ressources là où l'exposition est la plus forte, indépendamment du calendrier réglementaire. La conformité en découle ; elle n'en est pas le moteur.
Signal 2 — Vos tableaux de bord mesurent la couverture des contrôles, pas la réduction du risque
« 74 % des contrôles sont au vert. » Cette métrique est confortable et parfaitement inutile pour piloter le risque réel. Elle vous indique ce que vous avez déclaré faire, pas ce que vous avez réduit. Les indicateurs d'une gestion du risque opérationnelle se lisent différemment : délai moyen de détection d'un incident, concentration des prestataires TIC critiques en dessous d'un seuil de substituabilité, variation du score de risque résiduel sur les actifs prioritaires trimestre après trimestre. Si votre reporting au Comex présente des taux de couverture mais pas de variation du risque résiduel, vous avez un tableau de bord de conformité, pas un tableau de bord de gestion du risque.
Signal 3 — Vos incidents surviennent dans des zones déclarées conformes
C'est le signal le plus révélateur — et le plus inconfortable. Si vos incidents de sécurité, vos interruptions de service ou vos manquements de tiers surviennent régulièrement dans des périmètres que votre programme GRC avait classés comme conformes ou à faible risque, il y a une déconnexion entre votre cartographie documentaire et la réalité opérationnelle. Un prestataire TIC qualifié conforme à vos exigences DORA peut tout de même causer une interruption de service critique, si la qualification a porté sur la documentation contractuelle plutôt que sur les tests de continuité effectifs. La conformité d'une zone ne garantit pas l'absence de risque dans cette zone.
Signal 4 — Votre comité de risque est moins actif que votre comité de conformité
La gouvernance révèle les priorités réelles d'une organisation mieux que n'importe quelle politique écrite. Si votre comité de pilotage conformité se réunit mensuellement avec un ordre du jour fourni, tandis que votre comité de risque se réunit trimestriellement avec un ordre du jour résiduel, la hiérarchie implicite est claire. La gestion du risque opérationnel exige une fréquence de revue au moins comparable à celle de la conformité — les expositions évoluent, les menaces se déplacent, les prestataires changent de profil de risque. Une organisation qui traite le risque avec moins d'attention cadencée que la conformité investit structurellement dans la mauvaise discipline.
Signal 5 — Vous ne pouvez pas quantifier votre variation de risque d'une année sur l'autre
Posez la question directement à votre équipe : quel est votre niveau d'exposition au risque opérationnel aujourd'hui, comparé à il y a douze mois ? Dans quelle direction êtes-vous allé, et de combien ? Si votre équipe peut répondre avec précision à la couverture NIS2 ou DORA mais pas à cette question, le diagnostic est posé. Une gestion du risque mature produit une mesure longitudinale de l'exposition — pas parfaite, mais documentée, discutée, et utilisée pour orienter les investissements futurs. C'est cette mesure qui distingue un programme GRC qui gère réellement le risque d'un programme qui documente sa conformité.
Comment évaluer votre position
Un audit de positionnement GRC — conformité vs. maîtrise du risque — peut se conduire en quelques semaines : analyse des indicateurs reportés au Comex sur les douze derniers mois, revue de la structure budgétaire et de son alignement avec la cartographie des risques, entretiens avec les responsables opérationnels pour qualifier le décalage perçu entre documentation et réalité terrain. Presidio intègre un module de pilotage du risque résiduel qui distingue explicitement les métriques de couverture des métriques d'exposition, permettant aux équipes GRC de reporter les deux dimensions en parallèle. Voir aussi notre analyse sur la convergence NIS2-DORA-EU AI Act et la gouvernance des risques fournisseurs, ou contacter notre équipe pour un entretien de cadrage.
Conclusion
La conformité réglementaire est une obligation. La maîtrise du risque est un avantage concurrentiel. Les organisations qui confondent les deux consacrent des ressources croissantes à satisfaire des auditeurs sans nécessairement réduire leur exposition opérationnelle. Les cinq signaux décrits ici sont des diagnostics, pas des jugements. La plupart des programmes GRC ont commencé comme des réponses à une obligation réglementaire urgente — et n'ont pas encore effectué la transition vers une logique de pilotage du risque. Cette transition est le prochain chantier structurant pour les Directeurs des risques qui veulent que leur programme compte vraiment.