Quatre millions. C'est l'estimation du déficit mondial de professionnels cybersécurité et GRC selon l'étude ISC² 2025. En Europe, la situation est amplifiée par une vague réglementaire sans précédent — NIS2, DORA, EU AI Act — qui a mécaniquement créé une demande en experts conformité que le marché ne peut pas absorber. Le résultat : les directeurs GRC que vous recrutez aujourd'hui ont en moyenne deux autres offres actives sur la table. La question n'est plus "comment trouver un expert GRC ?". Elle est : pourquoi les perdez-vous avant même qu'ils aient livré leur première valeur ?
Le paradoxe de la réglementation et du recrutement
Depuis octobre 2024 (NIS2) et janvier 2025 (DORA), les organisations critiques européennes ont dû structurer ou renforcer leur fonction conformité dans des délais contraints. L'EU AI Act, entré en application progressive depuis août 2025, a ajouté une strate supplémentaire : des rôles de "AI Compliance Officer" qui n'existaient pas il y a dix-huit mois.
Ce n'est pas uniquement un problème de volumes. C'est un problème de profils. Les experts qui maîtrisent à la fois le cadre NIS2, les obligations de reporting DORA et la gouvernance d'IA sont rares parce qu'ils sont récents. Les formations s'adaptent avec un décalage de deux à trois ans. Les cabinets conseil et les éditeurs SaaS leur offrent des conditions que les équipes internes GRC ont du mal à égaler — et les font souvent sortir du marché avant que vous ayez finalisé votre offre.
L'erreur classique : recruter en urgence sur les compétences techniques (ISO 27001, certifications CISM, connaissance DORA) sans évaluer ce qui fait réellement tenir quelqu'un dans une fonction GRC sur la durée.
Ce que les experts GRC fuient vraiment
Les enquêtes de départ dans le secteur convergent sur un point contrariant : la rémunération n'est pas le premier motif de départ des experts GRC. Elle arrive systématiquement en troisième ou quatrième position. Ce qui précède :
1. L'absence de périmètre décisionnel. Un expert GRC recruté pour "déployer NIS2" mais qui doit obtenir cinq validations internes pour modifier un processus de contrôle va partir dans les huit mois. La frustration n'est pas salariale — c'est structurelle. Les meilleurs praticiens de la conformité ont besoin d'un mandat clair, pas d'une position consultative sans autorité.
2. La dette de documentation héritée. Rejoindre une organisation qui n'a jamais formalisé ses politiques, dont les registres de traitements RGPD sont dans des tableurs Excel de 2019, et dont le business continuity plan n'a pas été testé depuis trois ans, c'est un travail ingrat à l'horizon indéfini. Les experts seniors le voient immédiatement en entretien. Plusieurs fuient avant même de signer.
3. Le manque de progression visible. La GRC est une fonction de fond. Sans indicateurs de maturité clairs — score de conformité avant/après, réduction des findings d'audit, délai de remédiation — les experts ne voient pas l'effet de leur travail. Cette invisibilité finit par éroder l'engagement, même chez les profils les plus motivés.
L'erreur d'acquisition : recruter un technicien, perdre un stratège
La plupart des fiches de poste GRC que l'on trouve aujourd'hui sur le marché ressemblent à des listes de certifications. "CISM ou CISSP requis, connaissance ISO 27001/27701, expérience DORA appréciée." C'est nécessaire, mais insuffisant — et parfois contre-productif.
Les profils ultra-certifiés sont aussi les plus courtisés. En les ciblant exclusivement, vous vous placez en compétition directe avec les cabinets de conseil, les ESN et les grands groupes qui peuvent y mettre le prix.
Une approche alternative, que certains RSSI européens adoptent avec succès : recruter des profils analytiques solides (juristes spécialisés en droit numérique, risk managers issus de la finance) et les former sur les cadres GRC en interne. Ces profils sont moins disputés, s'intègrent mieux aux cultures d'organisation et restent davantage — parce qu'ils sentent que leur développement est lié à l'organisation.
L'indicateur à surveiller : le ratio certifications/années d'expérience sur votre pile de CVs. Si tous vos candidats ont plus de certifications que d'années en poste, vous cherchez au mauvais endroit.
Fidéliser par la clarté, pas par la rémunération
Trois leviers de rétention que les directions GRC sous-estiment systématiquement :
Visibilité du progrès. Implémenter un tableau de bord de maturité conformité — même simple — change la dynamique. Quand un expert GRC peut montrer que le score NIS2 de l'organisation est passé de 42 % à 78 % en dix-huit mois, il existe. Il peut défendre sa valeur en CODIR. Cette visibilité vaut plus qu'une prime.
Autonomie de périmètre. Définir contractuellement ce sur quoi l'expert peut décider seul, ce qui nécessite une validation, et ce qui remonte au CODIR. Cette clarté réduit la friction opérationnelle et évite la démotivation par micro-management implicite.
Parcours de montée en compétences financé. Un budget formation annuel dédié — pas un accès générique à une plateforme en ligne — avec une feuille de route personnalisée. Les certifications coûtent cher. Prendre en charge CISM, CRISC ou une spécialisation EU AI Act, c'est un signal fort que l'organisation investit dans le long terme de l'expert, pas dans son exploitation à court terme.
Comment évaluer votre maturité sur la dimension talent
Avant de recruter le prochain expert GRC, posez trois questions à votre organisation.
Le mandat est-il documenté ? Avez-vous une charte GRC qui définit les responsabilités, le périmètre d'autorité et le rattachement hiérarchique ?
La dette documentaire est-elle visible ? L'entrant peut-il évaluer rapidement l'état réel de conformité — ou doit-il mener une archéologie pendant trois mois ?
La progression est-elle mesurable ? Disposez-vous d'indicateurs de maturité que l'expert pourra piloter et revendiquer ?
Si vous répondez non à l'une de ces trois questions, vous recruterez peut-être — mais vous ne retiendrez pas. Pour les équipes qui souhaitent structurer ce socle avant d'ouvrir un poste, le registre de contrôles Presidio offre un point de départ : cartographie des obligations réglementaires, score de conformité par domaine, suivi des écarts. Un état des lieux objectif, lisible par un expert dès son premier jour. Lire aussi notre analyse sur les 7 pièges au démarrage d'un programme TPRM.
Conclusion
Le déficit de talent GRC est structurel. Il ne se résoudra pas par une augmentation du budget recrutement. Les organisations qui sortent du lot sur la rétention sont celles qui ont compris que l'expert GRC ne cherche pas à être mieux payé — il cherche à exister dans l'organisation. Cela passe par un mandat réel, une dette documentaire maîtrisée, et des indicateurs de progrès visibles. Les organisations qui construisent ces conditions avant de recruter ne se contentent pas d'attirer des experts — elles en font des acteurs durables de leur résilience. Et dans votre contexte : lequel de ces trois leviers est le plus urgent à adresser ?