L'ENISA estime le déficit européen de professionnels de la sécurité et de la conformité à 300 000 postes d'ici fin 2026. Dans le sous-segment GRC — gouvernance des risques et conformité réglementaire —, la pression est encore plus aiguë : NIS2, DORA et l'EU AI Act ont créé une demande simultanée que l'offre de formation ne peut pas absorber. Résultat : le turnover moyen dans les équipes GRC atteint 28 % par an (Gartner, 2024). Autrement dit, environ 1 expert sur 3 quitte son poste dans les 18 mois suivant son recrutement. Dans cet article, vous découvrirez pourquoi les leviers classiques de rétention échouent dans ce domaine, quelles pratiques différencient les organisations qui gardent leurs experts, et comment cadrer une approche adaptée au contexte réglementaire de 2026.
Un marché structurellement déséquilibré — et durablement
La pénurie de talents GRC n'est pas un phénomène nouveau, mais elle s'est considérablement accélérée depuis l'entrée en vigueur de NIS2 (octobre 2024) et l'approche de DORA (janvier 2025). Ces deux textes ont simultanément créé des obligations nouvelles pour des milliers d'entités européennes, augmentant d'un coup la demande en profils qualifiés — DPO, Risk Officers, Compliance Managers, analystes GRC — sans que l'offre de formation ait eu le temps de s'adapter.
ISC² évalue à 4 millions le déficit mondial de professionnels de la cybersécurité en 2024. En France, l'ANSSI signale que moins de 40 % des postes GRC ouverts ont été pourvus dans les délais prévus en 2024. Ce déséquilibre favorise structurellement les candidats, pas les employeurs. Pour les organisations concernées par NIS2 ou DORA, cela crée une contrainte double : recruter des profils qualifiés (difficile) et les garder assez longtemps pour que l'investissement en formation produise un retour (encore plus difficile). Première conclusion importante : dans ce contexte, la rétention n'est pas une problématique RH parmi d'autres — c'est un levier stratégique de continuité de votre programme GRC.
Pourquoi les leviers classiques ne fonctionnent pas dans ce domaine
La réponse habituelle à la pénurie est salariale. Augmenter les rémunérations, ajouter des primes. C'est nécessaire — mais insuffisant, et parfois contre-productif lorsqu'il devient le seul levier actionné.
Les enquêtes menées par des cabinets spécialisés (Robert Half, Michael Page Compliance) convergent sur un point : dans le domaine GRC, les professionnels quittent rarement un employeur pour un salaire. Ils quittent une organisation parce qu'ils ne voient pas leur travail produire d'impact réel. Une étude de Compliance Week (2024) révèle que 67 % des compliance officers ayant quitté leur poste dans l'année citent « le manque d'influence sur les décisions stratégiques » comme facteur déterminant. L'argent n'arrive qu'en troisième position.
Ce mécanisme est spécifique au profil GRC. Ces professionnels ont souvent choisi un domaine exigeant, réglementairement complexe, peu visible en dehors des fonctions de contrôle. Leur motivation intrinsèque est forte : ils veulent que leur programme de conformité protège réellement l'organisation, pas seulement qu'il satisfasse un auditeur externe. Lorsque la culture d'entreprise traite la conformité comme une case à cocher plutôt que comme un levier de résilience, le décalage est insupportable pour les professionnels les plus compétents — précisément ceux qu'on cherche à garder.
L'erreur à éviter : traiter la rétention GRC comme une négociation salariale isolée, sans adresser les conditions d'exercice et la place du GRC dans la gouvernance de l'organisation.
Les trois pratiques des organisations qui gardent leurs experts
Le GRC a une voix directe au niveau décisionnel. Le Directeur des Risques ou le Chief Compliance Officer rapporte au Comex, pas uniquement au DAF ou au RSSI. Cette visibilité organisationnelle change la nature du travail : les experts GRC ne sont plus des producteurs de rapports — ils sont des conseillers stratégiques. C'est un changement de posture qui attire et retient les profils séniors, précisément ceux dont la rareté sur le marché est la plus forte.
Les frameworks réglementaires sont traités comme une opportunité. Les organisations qui utilisent NIS2 ou DORA pour moderniser leur gouvernance (et pas seulement pour satisfaire l'auditeur) offrent à leurs experts GRC des problèmes réels à résoudre. L'intérêt intellectuel du travail est un moteur de rétention majeur dans un domaine où la complexité réglementaire est en évolution permanente. Un expert GRC qui traite simultanément des enjeux DORA de résilience opérationnelle, d'EU AI Act et de gouvernance des données clients n'est pas en train de cocher des cases — et ne part pas.
La montée en compétence est structurée et financée. Les organisations qui investissent dans des certifications ciblées (CISM, CRISC, DPO certifié CNIL) et des participations aux forums sectoriels réduisent significativement leur turnover. Ce n'est pas un coût : c'est un investissement avec un retour calculable. Former un expert GRC coûte en moyenne 8 000 € en certification et 60 jours de montée en compétence. Le coût moyen d'un remplacement dépasse 35 000 € en recrutement, intégration et perte de productivité (Robert Half, 2024). La formation est rentable.
L'environnement de travail : un levier sous-estimé
Au-delà de la gouvernance et de la formation, la rétention se joue sur l'environnement quotidien — et particulièrement sur les outils.
Un expert GRC qui passe 60 % de son temps à consolider manuellement des données depuis des feuilles Excel distribuées est un expert GRC frustré. L'automatisation des tâches à faible valeur ajoutée — collecte de preuves, suivi des échéances réglementaires, génération de rapports de conformité — libère du temps pour l'analyse de risques, le conseil aux métiers, et la préparation des revues de direction. Les organisations qui ont investi dans des plateformes GRC intégrées signalent une amélioration mesurable de la satisfaction de leurs équipes conformité.
La collaboration multidisciplinaire est également un facteur différenciant. Les meilleurs experts GRC ne veulent pas travailler en silo. Une organisation qui structure cette collaboration — comités de risque actifs, revues de sécurité intégrées dans les projets, canaux de remontée d'information fluides — offre un environnement plus stimulant qu'un concurrent qui se contente d'un salaire supérieur.
Auto-diagnostic en trois questions
Presidio intègre un module de gouvernance des risques qui réduit significativement la charge manuelle des équipes GRC, en centralisant la collecte de preuves, le suivi réglementaire et la génération de rapports. Avant d'évaluer un outil, posez ces trois questions à votre organisation.
Votre Chief Compliance Officer ou Risk Manager est-il présent lors des décisions stratégiques qui créent ou modifient des expositions ? Si la réponse est non, votre programme GRC est perçu — à juste titre — comme une fonction de contrôle, pas de gouvernance.
Votre organisation a-t-elle formalisé un parcours de développement pour les profils GRC en poste ? Une feuille de route de certifications, des missions transversales, un accès aux instances sectorielles — leur absence signal un investissement à court terme uniquement.
Vos experts passent-ils moins de 30 % de leur temps à des tâches de collecte et consolidation manuelle ? Si la réponse est non, le premier levier de rétention n'est pas RH — c'est opérationnel.
Lire aussi notre analyse sur les erreurs de conception du Risk Dashboard, ou contacter notre équipe pour un entretien de cadrage.
Conclusion
La pénurie de talents GRC est structurelle et durable. Elle ne se résout pas par le seul jeu salarial. Les organisations qui gardent leurs experts ont compris que la rétention commence dans la gouvernance : donner au GRC une voix stratégique, un environnement de travail stimulant, et les outils pour que l'expertise produise un impact visible. Ce n'est pas un programme RH — c'est une décision de management sur la place que l'organisation accorde à la maîtrise de ses risques. Les organisations qui font ce choix n'ont pas à recruter aussi souvent — et leur programme GRC est d'autant plus solide.