GRC et conformité interne

RegulaLink ne sert pas seulement à réguler les autres. Pour beaucoup d’entreprises et d’institutions, l’enjeu est de se conformer : appliquer ses règles internes, respecter le cadre national et régional, et s’aligner sur des référentiels internationaux (ISO, bonnes pratiques sectorielles).

C’est le rôle du GRC (gouvernance, risque et conformité) et des obligations, surtout en posture auto-régulateur.

Réguler vs se conformer

	Réguler (autorité / tutelle)	Se conformer (entreprise / institution)
Objectif	Superviser des opérateurs externes	Maîtriser son propre risque et ses preuves
Exemples	Agence sectorielle, régulateur national	Banque, IMF, COOPEC, holding, grand compte
Dans RegulaLink	Collect, licences, sanctions, rapports reçus	GRC, registres de risques, audits, obligations, frameworks ISO
Mode typique	Régulateur	Auto-régulateur

Une même plateforme : vous pouvez être autorité ou organisation qui doit prouver sa conformité — ou les deux dans un groupe (sièges / filiales).

Les couches de règles que vous devez tenir

RegulaLink vous aide à documenter, suivre et prouver le respect de plusieurs couches :

Règles internes — politiques, procédures, code de conduite, seuils d’appétit au risque, validations internes.
Cadre national — lois, arrêtés, superviseurs locaux, registres et déclarations exigés dans le pays.
Cadre régional — exigences d’une union, d’un marché commun ou d’un régulateur régional.
Référentiels internationaux — par exemple ISO 31000 (management du risque, inclus) et ISO/IEC 27001 (sécurité de l’information, add-on).

Le produit ne « remplace » pas votre conseil juridique : il structure le travail quotidien (qui fait quoi, quand, avec quelles preuves).

Ce que le GRC couvre dans RegulaLink (réel)

Frameworks (référentiels)

Studio frameworks : déployer un pack (étapes, obligations de process, contrôles).
ISO 31000:2018 — management du risque : cycle CTX → identification → analyse → évaluation → traitement → suivi. Inclus lorsque le GRC est actif / en auto-régulateur.
ISO/IEC 27001:2022 — SMSI : cycle de management + contrôles Annexe A. Add-on payant.

D’autres packs (COSO, NIST, etc.) peuvent être envisagés plus tard ; aujourd’hui les packs livrés sont ISO 31000 et ISO 27001.

Registre des risques

Risques inhérents / résiduels, barrières, matrice, appétit.
Traitements : atténuer, transférer, éviter, accepter.
Responsables, échéances, file « hors appétit » / à traiter.

Évaluations

Campagnes / runs guidés selon les étapes du framework.
Sorties figées à la soumission pour garder une trace d’audit.

Audits

Planification, types d’audit, findings, checklists, preuves.
Lien possible avec risques et obligations.

Incidents

Déclaration et instruction d’incidents liés au GRC (même famille que les constats / workflows).
Accessibles depuis le chrome GRC (cockpit).

Obligations (« Ma conformité »)

Échéances et preuves, souvent liées aux licences ou au siège (surtout utile en auto-régulateur, même sans licences externes).
Calendrier côté opérateur / filiale.

Qui voit quoi

Rôle	Interface	Exemples d’actions
Responsable conformité / risque	Console admin → GRC	Déployer un framework, tenir le registre, lancer audits et évaluations
Direction	Cockpit GRC	Vue d’ensemble, file « À traiter »
Site / filiale / membre	Espace opérateur → GRC / Ma conformité	Risques assignés, audits, preuves d’obligations

Parcours type pour une entreprise (B2B)

Choisir la posture auto-régulateur à la première configuration.
Laisser le système poser ISO 31000 et activer les modules GRC / risques / audits.
Adapter les politiques internes (seuils, owners, fréquences de revue).
(Optionnel) activer ISO 27001 si la sécurité de l’information est dans le périmètre.
Suivre au quotidien : inbox, registres, évaluations, audits, obligations.
Produire des preuves pour un contrôle interne, un auditeur externe ou un superviseur.

Lien avec le reste de RegulaLink

La conformité interne s’appuie aussi sur les autres piliers :

Collect — connaître vos membres, agents, fournisseurs (identité et pièces).
Autorisations — habilitations internes ou licences si vous en délivrez.
Régulation — discipline interne, constats, mesures (même moteur que les sanctions « autorité »).
Intelligence — tableaux de bord et analyses pour piloter.

Ainsi RegulaLink couvre à la fois « faire respecter » et « prouver qu’on respecte ».

Limites à connaître

Les frameworks hors ISO 31000 / 27001 ne sont pas des packs livrés aujourd’hui.
L’échange live entre un régulateur et un auto-régulateur (fédération) n’est pas le cœur du parcours actuel.
Le vocabulaire de certains écrans peut encore sonner « régulateur » ; le mode auto-régulateur adapte une partie des libellés.

Suite

Modules et interfaces
Première configuration
Offre commerciale — GRC Enterprise / auto-régulateur
Comprendre RegulaLink