GRC : ce que recouvre vraiment le sigle

Un sigle utilisé pour trois choses différentes

La première consiste à traiter le GRC comme un synonyme de gestion des risques. C'est réducteur : la gestion des risques n'est qu'une des trois dimensions, et le GRC ne s'y substitue pas — il l'inscrit dans la poursuite des objectifs de l'organisation.

La deuxième en fait une affaire de conformité. Cette lecture s'explique historiquement, une part des travaux fondateurs étant née dans le champ de la conformité, mais elle ampute le concept de sa dimension stratégique.

La troisième, la plus répandue dans les organisations, réduit le GRC à un sujet informatique — souvent parce que le premier contact avec le terme s'est fait par un logiciel. Or aucun outil ne constitue à lui seul un dispositif GRC.

Une définition qui tient en trois verbes

La définition la plus opérante, issue des travaux de l'OCEG (Open Compliance and Ethics Group), organisation à l'origine de la formalisation du concept, décrit le GRC comme une capacité permettant à une organisation d'atteindre ses objectifs de façon fiable, de traiter l'incertitude et d'agir avec intégrité.

Chaque terme correspond à une dimension :

• Gouvernance — atteindre de façon fiable les bons objectifs : les définir, les piloter, en rendre compte.
• Risques — traiter l'incertitude : identifier ce qui peut affecter ces objectifs, et prendre les risques justifiés plutôt que les fuir.
• Conformité — agir avec intégrité : respecter les obligations applicables et les valeurs que l'organisation s'est données.

Une capacité, pas un département

De cette définition découle une conséquence pratique importante : le GRC ne s'incarne pas dans un service. Créer une « direction GRC » qui absorberait les fonctions existantes est un contresens, et une source d'inefficacité.

Le GRC traverse en réalité toute l'organisation. Le conseil d'administration y participe lorsqu'il fixe le cap et l'appétence au risque. La direction, lorsqu'elle arbitre. Les fonctions de contrôle — conformité, gestion des risques, contrôle interne — lorsqu'elles encadrent. L'audit interne, lorsqu'il donne une assurance indépendante. Le juridique, les systèmes d'information, les ressources humaines, la finance, et surtout les métiers eux-mêmes, y contribuent chacun à leur niveau.

Cela invite d'ailleurs à la prudence sur les intitulés. Un responsable conformité, un risk manager ou un auditeur interne exercent des métiers distincts, avec des exigences d'indépendance différentes. Les regrouper sous l'étiquette générique de « professionnels du GRC » brouille des frontières que la réglementation, elle, maintient soigneusement — en particulier au sein du secteur financier régulé.

Le véritable apport du concept : l'orchestration

Si le GRC n'est ni un département ni un outil, que reste-t-il ? L'essentiel : l'idée que ces activités, historiquement organisées en silos, doivent fonctionner de façon coordonnée.

Le constat est familier dans beaucoup d'organisations. La conformité tient ses propres tableaux de suivi. La gestion des risques maintient sa cartographie. Le contrôle interne documente ses contrôles ailleurs. L'audit interne formule des recommandations dans un troisième référentiel. Chaque fonction sollicite les mêmes équipes métier, avec des demandes voisines et des formats différents. Personne ne dispose de la vue d'ensemble.

L'orchestration consiste à faire en sorte que ces fonctions partagent une même compréhension des objectifs, des risques et des obligations — et que les bonnes personnes reçoivent la bonne information au bon moment. Elle ne suppose pas de fusionner les équipes, mais de relier leurs travaux.

Ce que le GRC signifie pour une entité régulée luxembourgeoise

Pour les acteurs de la Place, la question n'est pas d'adopter un concept supplémentaire : les composantes du GRC sont déjà en place, souvent parce que la réglementation les impose. Une fonction conformité, une fonction de gestion des risques, un dispositif de contrôle interne, une fonction d'audit interne indépendante : autant d'éléments attendus par le cadre de gouvernance interne applicable aux entités régulées par la Commission de Surveillance du Secteur Financier (CSSF).

L'enjeu se déplace donc. Il ne s'agit pas de créer, mais de relier — et de démontrer cette cohérence. Trois attentes convergent en ce sens :

• La cohérence — un superviseur qui interroge le dispositif attend des réponses convergentes d'une fonction à l'autre, pas trois versions du même sujet.
• La traçabilité — les décisions, validations et actions correctives doivent pouvoir être retracées ; l'affirmation ne suffit pas, la preuve est attendue.
• La proportionnalité — le dispositif s'apprécie au regard de la taille, du profil de risque et de la complexité de l'entité, non selon un modèle unique.

Écueils fréquents

• Confondre l'outil et le dispositif. Un logiciel structure des données et fluidifie un processus ; il ne fixe pas les objectifs, n'arbitre pas et ne remplace pas le jugement professionnel.
• Créer un méga-département. Regrouper les fonctions sous une même autorité fragilise les indépendances que le cadre réglementaire protège.
• Réduire le GRC à la conformité. On obtient alors un dispositif défensif, coupé de la stratégie et perçu comme un frein par les métiers.
• Multiplier les sollicitations des métiers. Sans coordination, chaque fonction interroge séparément les mêmes équipes — le dispositif finit par peser plus qu'il n'apporte.
• Négliger la dimension « objectifs ». Un GRC qui ne se rattache pas à ce que l'organisation cherche à accomplir perd sa raison d'être.

L'approche ARCAD

ARCAD aborde le GRC comme une capacité à structurer, non comme un produit à installer. La démarche part des objectifs et du profil de risque de l'organisation, puis relie les dispositifs existants — conformité, risques, contrôle interne, audit interne — plutôt que de les empiler. L'outillage vient ensuite, lorsque la méthode est posée : c'est dans cet ordre qu'il produit des effets.