Le consultant GRC (gouvernance, risques et conformité) organise la sécurité de l'information comme un sujet de direction et non comme une addition d'outils. Il conduit l'analyse de risques, rédige ou met à jour la politique de sécurité du système d'information (PSSI) et les procédures associées, met en place le système de management de la sécurité de l'information (SMSI), suit les indicateurs et prépare les audits. Il fait le lien entre la direction générale, le RSSI, les équipes techniques, les métiers et les fournisseurs.
La conformité structure aujourd'hui la plupart des demandes. La certification ISO 27001 (version 2022) reste la référence attendue par les clients et les donneurs d'ordre. La directive NIS2 étend fortement le nombre d'organisations soumises à des obligations de cybersécurité ; en France, sa transposition par le projet de loi dit Résilience n'est pas encore achevée en octobre 2026 : adopté par le Sénat en mars 2025, le texte attend toujours son examen en séance publique à l'Assemblée nationale, et la Commission européenne a saisi la Cour de justice de l'Union européenne en juillet 2026. L'ANSSI a publié en mars 2026 une version de travail de son référentiel ReCyF, sur laquelle les entités concernées peuvent déjà s'appuyer. Dans la finance, le règlement DORA s'applique directement depuis le 17 janvier 2025, avec ses exigences de gestion du risque informatique, de déclaration des incidents et de maîtrise des prestataires.
L'IA modifie aussi ce métier. Elle aide à cartographier les exigences d'un référentiel sur un autre, à rédiger une première version de procédure ou à analyser des questionnaires fournisseurs. Mais une politique générée sans connaissance du contexte reste une politique de façade, et un auditeur le voit vite. Les organisations doivent en outre encadrer leurs propres usages d'IA, désormais visés par l'AI Act et par la norme ISO 42001. Un bon consultant GRC sait utiliser l'IA et sait la gouverner. C'est ce que nous évaluons.
