L'ISC2 estime le déficit mondial de professionnels cybersécurité et GRC à 4 millions de postes non pourvus en 2025, avec une accélération attendue liée à NIS2, DORA et l'EU AI Act. En France, l'ANSSI identifie les métiers de conformité et de gouvernance des risques comme parmi les plus sous-dotés du secteur. Pour les directeurs GRC des organisations de 100 à 2 000 collaborateurs, la question n'est plus de trouver l'expert idéal — c'est de comprendre pourquoi ils partent chez quelqu'un d'autre, et ce qu'on peut faire.
Une pénurie structurelle, pas cyclique
Le déficit de talent GRC n'est pas une conséquence de la croissance économique. C'est une transformation réglementaire permanente qui crée une demande structurellement supérieure à l'offre de formation.
La transposition de NIS2 en droit français (août 2024) a créé environ 15 000 nouvelles entités dans le scope réglementaire, chacune devant désigner un responsable de la conformité et structurer une fonction de gestion des risques. DORA impose, à partir de janvier 2025, des exigences similaires dans le secteur financier — avec en plus la cartographie des dépendances tierces et la résilience opérationnelle. L'EU AI Act ajoute une troisième couche : les organisations qui déploient des systèmes IA à risque élevé doivent nommer un responsable de la gouvernance IA avec des compétences GRC.
Résultat : la demande de professionnels capables de naviguer simultanément NIS2, DORA, RGPD et AI Act a augmenté de 34 % entre 2023 et 2025 (Eurostat, enquête compétences numériques). L'offre de formation spécialisée — Masters, certifications CISA/CRISC, programmes ISACA — n'a progressé que de 12 %. Le gap s'élargit chaque année.
L'erreur de la guerre des salaires
La réponse réflexe est d'augmenter les salaires. C'est inefficace pour les organisations de taille intermédiaire — et souvent contre-productif.
Un Chief Compliance Officer senior dans un CAC 40 ou une banque systémique touche entre 120 000 et 180 000 € brut annuel, avec des bonus, un LTIP et un budget d'équipe. Une PME de 300 collaborateurs ne peut structurellement pas aligner cette proposition. Tenter de le faire crée une distorsion salariale interne, génère des frustrations en cascade, et n'attire pas pour autant les meilleurs profils — qui savent que la proposition n'est pas durable.
Erreur courante : surpayer un profil junior pour "tenir" le poste, sans lui donner le mandat ou les ressources pour être efficace. En 18 mois, il part — souvent vers un grand groupe qui lui offre une vrai progression de carrière.
La bonne question n'est pas "combien peut-on payer ?" mais "qu'est-ce qu'un expert GRC cherche, au-delà du salaire ?"
Ce que les experts GRC cherchent vraiment
Les entretiens de sortie et les études de satisfaction dans la profession révèlent trois moteurs de fidélisation qui ne se résument pas à la rémunération.
Mandat réel, pas rôle décoratif
Le professionnel GRC qui accepte un poste dans une PME prend un risque professionnel : si la fonction est perçue comme un "centre de coût" ou un rôle de compliance-theater — cocher des cases pour satisfaire un auditeur — il le sait rapidement. Et il repart.
Ce que les meilleurs profils valorisent : un mandat documenté avec accès au COMEX, une ligne directe avec le DG ou le DirFin, et la capacité à refuser des projets non conformes sans pression de reversion. Ce n'est pas un luxe — c'est la condition pour que la fonction soit crédible.
Signal d'attraction fort : présenter la structure de gouvernance lors du recrutement. Montrer que le RSSI ou le DPO a participé à des décisions stratégiques récentes. Cela se voit dans le reporting, pas dans les fiches de poste.
Investissement dans la montée en compétences
Le domaine GRC évolue à une vitesse que peu de formations initiales anticipent. Un professionnel certifié CISA en 2021 doit se mettre à niveau sur NIS2, DORA, AI Act, et les nouvelles méthodes d'évaluation de la résilience opérationnelle. Les organisations qui financent cette montée en compétences — certifications CRISC, formations ISACA Europe, abonnements ENISA — fidélisent bien au-delà du différentiel salarial.
Métrique : les organisations qui consacrent plus de 3 % de la masse salariale GRC à la formation ont un taux de rétention de 78 % à 3 ans, contre 51 % pour celles en-dessous de 1 % (Gartner, GRC Talent Study 2024).
Outillage qui amplifie l'impact individuel
Un expert GRC seul, sans plateforme, passe 60 à 70 % de son temps sur des tâches de collecte, consolidation et reporting manuel. C'est la principale source de burnout dans la profession — et l'argument le plus sous-utilisé dans le recrutement.
Les organisations qui déploient une plateforme GRC structurée (registre de risques, workflows de conformité, audit trail automatisé) permettent à leur expert de se concentrer sur l'analyse et la prise de décision. Cela change radicalement la proposition de valeur du rôle — et rend l'organisation compétitive face à des grands groupes qui ont des équipes entières pour faire ce qu'un outil fait en quelques heures.
Construire pour fidéliser, pas juste pour recruter
La stratégie talent GRC la plus efficace pour les organisations mid-market est celle qui rend le départ coûteux — non par des clauses de non-concurrence, mais par la qualité de l'environnement de travail.
Trois actions concrètes avec un ROI mesurable :
- Formaliser le mandat GRC par écrit, avec approbation du COMEX. Un document d'une page qui décrit le périmètre, les accès, les droits de veto, et le reporting. Cela prend deux heures et change la perception du rôle.
- Allouer un budget formation annuel dédié : 3 000 à 5 000 € par professionnel GRC couvrent deux certifications ou quatre formations sectorielles par an. C'est moins cher que six mois de poste vacant.
- Équiper avant de recruter : arriver en entretien de recrutement avec une plateforme GRC déjà en place (ou en cours de déploiement) change radicalement l'attractivité du poste. L'expert sait qu'il aura les outils pour être efficace.
Évaluer votre position sur le marché du talent
Si vous avez eu plus d'un départ GRC en 24 mois, ou si votre poste de responsable conformité est resté vacant plus de 4 mois, c'est un signal structurel — pas une question de salaire. L'analyse des entretiens de sortie révèle presque toujours l'une de ces trois causes : mandat insuffisant, absence de formation, environnement de travail manuel et peu outillé.
Presidio accompagne les organisations dans la structuration de leur fonction GRC — non seulement sur le plan technologique, mais aussi sur la définition du mandat, des KPIs, et des workflows qui rendent le rôle attractif pour les meilleurs profils. Découvrir Presidio.
Conclusion
Dans un marché où la demande d'experts GRC croît deux fois plus vite que l'offre, les organisations mid-market ne gagneront pas la guerre du talent par le salaire. Elles la gagneront en offrant ce que les grands groupes ne peuvent pas répliquer : un mandat réel, une montée en compétences visible, et un environnement outillé qui permet à un expert de faire le travail d'une équipe.
Les organisations qui comprennent cela en 2026 auront, en 2028, des fonctions GRC stables et crédibles quand leurs concurrents tourneront encore sur des postes à 6 mois d'ancienneté.