🎭 GRC : tout est sous contrôle (sauf le vrai processus)

Sur le papier, tout va bien, tout est sous contrôle
Les politiques sont signées, les procédures validées, les risques cotés, les comités tenus. La GRC est propre, alignée, rassurante. Un chef-d’œuvre de gouvernance.
Pour ceux qui ont raté la conception de la GRC, rattrapage :  GRC – Gouvernance, Risques et Conformité : le trio qui sauve votre peau (et votre budget) 

Puis arrive la question fatale, généralement posée lors d’un incident, d’un audit ou d’un contrôle assurance cyber :
“Qui a validé cette exception ?”

Silence. Regards fuyants. Mémoire sélective.
La réponse existe pourtant… quelque part entre un couloir, un mail jamais archivé, une réunion Teams sans compte-rendu, et un “oui, vas-y” prononcé un mardi à 18h47.

Bienvenue dans le monde du Shadow Process :
la réalité opérationnelle de la cybersécurité, celle qui permet au business de fonctionner, mais que la GRC officielle préfère ne pas regarder de trop près.

Cet article ne va pas refaire ISO 27001.
Il va démonter ce décalage, pointer les incohérences, et expliquer pourquoi la GRC fabrique parfois elle-même l’ombre qu’elle prétend combattre.

Quand la conformité est parfaite… jusqu’au premier “qui a validé ça ?”

🕶️ 1) Le Shadow Process, ce n’est pas du Shadow IT

On confond souvent les deux, à tort.

• Shadow IT : des outils non validés (SaaS, scripts, solutions bricolées).
• Shadow Process : des décisions, validations et pratiques qui existent bel et bien… mais hors procédure officielle.

Ici, les outils sont parfois parfaitement conformes.
Ce sont les usages, les arbitrages et les raccourcis qui ne le sont pas.

Quelques grands classiques :

• validations orales jamais tracées,
• exceptions “temporaires” sans date de fin,
• procédures “qu’on appliquera plus tard”,
• responsabilités diluées dans le collectif.

👉 Le Shadow IT achète un outil.
👉 Le Shadow Process engage votre responsabilité juridique.

🧱 2) Pourquoi il apparaît : quand la GRC crée sa propre clandestinité

Non, le Shadow Process n’est pas qu’un problème de “mauvaises pratiques”.
Il est souvent une réponse rationnelle à une gouvernance irréaliste.

Les causes structurelles

• Trop lent : quand une validation sécurité prend trois semaines, le métier trouve un chemin en trois heures.
• Trop complexe : huit étapes, trois comités, deux validations croisées → contournement garanti.
• Trop abstrait : politiques déconnectées des contraintes d’exploitation.
• Trop indicateur : on mesure le nombre de documents, pas leur usage réel.

La GRC pense protéger l’organisation.
L’opérationnel, lui, doit livrer, dépanner, répondre à un incident, assurer l’astreinte.

Résultat :
le processus officiel devient un décor,
le vrai processus se fait en silence.

🧨 3) Les 7 incohérences qu’on retrouve partout

3.1 🕳️ L’exception qui n’existe nulle part

Symptôme :
“Oui, on a accordé une dérogation… mais elle n’est pas formalisée.”

Conséquence :
Impossible de prouver la maîtrise du risque. En audit, c’est un cadeau empoisonné.

Ce que la GRC croit :
“C’est exceptionnel.”

La réalité :
C’est permanent et invisible.

✅ Correctif : registre des dérogations, date de fin obligatoire, revue régulière.

3.2 ⏱️ Le processus d’urgence devenu la norme

Symptôme :
Comptes admin créés en urgence, accès temporaires jamais supprimés.

Conséquence :
Dette de sécurité + dette documentaire.

Ce que la GRC croit :
“C’était exceptionnel.”

La réalité :
C’est le fonctionnement standard.

✅ Correctif : urgence = SLA court + validation a posteriori obligatoire.

3.3 👻 La validation fantôme (“validé en comité”)

Symptôme :
Décision collective… sans trace écrite.

Conséquence :
Responsabilité diluée. En cas de problème, tout le monde savait, personne n’a décidé.

Ce que la GRC croit :
“C’est acté.”

La réalité :
C’est introuvable.

✅ Correctif : décision = ticket, CR, approbation horodatée.

3.4 📄 La procédure jamais testée

Symptôme :
PRA, PCA, gestion de crise impeccables… sur le papier.

Conséquence :
Le jour J : panique, improvisation, WhatsApp en cellule de crise.

Ce que la GRC croit :
“On est prêts.”

La réalité :
Personne n’a jamais fait l’exercice.

✅ Correctif : exercices courts, réguliers, mesurés.

3.5 🪑 Le RACI décoratif

Symptôme :
Tout le monde est “Consulted”. Personne n’est “Accountable”.

Conséquence :
Décisions floues, arbitrages au feeling.

Ce que la GRC croit :
“C’est collaboratif.”

La réalité :
C’est irresponsable.

✅ Correctif : un seul A par décision. Toujours.

3.6 🧰 Le contrôle “existant” parce qu’un outil est installé

Symptôme :
“On a un EDR, donc le risque est traité.”

Conséquence :
Personne ne regarde les alertes, la couverture est partielle.

Ce que la GRC croit :
“Contrôle en place.”

La réalité :
Présence ≠ efficacité.

✅ Correctif : contrôle = preuve mesurable, pas une ligne Excel.

3.7 📊 La conformité par slide PowerPoint

Symptôme :
Une politique signée = conformité déclarée.

Conséquence :
Aucune corrélation avec la réalité terrain.

Ce que la GRC croit :
“C’est validé.”

La réalité :
C’est cosmétique.

✅ Correctif : document → process → preuve → métrique.

💸 4) Ce que ça coûte vraiment

Le Shadow Process ne coûte pas que de la sécurité.

• Opérationnel : rework, incidents récurrents, perte de temps.
• RH : cynisme, perte de confiance, culture du contournement.
• Juridique / assurance : incapacité à prouver la maîtrise du risque.
• Image : audit “mineur” qui vire au “majeur”.

La conformité affichée rassure…
jusqu’au moment où il faut la démontrer.

🔍 5) Détecter un Shadow Process en 2 semaines

Pas besoin d’outil miracle.

Méthodes simples

• Interview inversée : “Raconte-moi la dernière urgence.”
• Walkthrough réel : suivre un changement de bout en bout.
• Échantillons : accès, changements, incidents.
• Test des preuves : “Montre-moi où c’est tracé.”
• Cartographie : écrit vs vécu.

Signaux faibles

• “C’est X qui sait”
• “On fait comme ça depuis toujours”
• “Ce n’est pas documenté mais ça marche”

🛠️ 6) Réparer sans rajouter de la GRC inutile

La solution n’est pas “une procédure de plus”.

Principes efficaces

• Réduire la friction (au-delà de 3 validations, c’est mort).
• Encadrer l’exception plutôt que la nier.
• Mettre la preuve au centre.
• Ritualiser léger : revue courte, régulière.
• Simplifier les outils.

👉 Si votre conformité tient sur la mémoire de Paul, Paul est un SPOF.

🎯 Conclusion – La vraie GRC n’a pas peur de la réalité

Le Shadow Process n’est pas une trahison humaine.
C’est un symptôme de gouvernance déconnectée.

Une GRC mature ne cherche pas à tout contrôler.
Elle cherche à réduire l’écart entre ce qui est écrit et ce qui est fait.

Moins de théâtre.
Plus de preuves.
Moins d’ombre.
Plus de maîtrise.

Et surtout :
si la GRC ne survit pas à la réalité, c’est la GRC qu’il faut corriger — pas la réalité.

🗣️ Top 5 des phrases qui déclenchent un Shadow Process

Si votre GRC est déclenchée par des phrases et non par des preuves, alors vous n’avez pas un problème de sécurité — vous avez un problème de gouvernance.

🥇 1) « C’est urgent »

Traduction opérationnelle

La procédure existe, mais on va faire sans.

Effet immédiat

• Bypass des validations
• Accès créés en direct
• Décision orale

Pourquoi c’est dangereux

• L’urgence devient une excuse universelle
• Personne ne définit jamais quand elle se termine

👉 Indicateur GRC :
Si “urgent” n’a pas de définition, ce n’est pas un critère, c’est un joker.

🥈 2) « On régularisera après »

Traduction opérationnelle

On n’a aucune intention de régulariser.

Effet immédiat

• Dette documentaire
• Dette de sécurité
• Dette de responsabilité

Pourquoi c’est dangereux

• “Après” n’est jamais planifié
• Personne n’est responsable du suivi

👉 Indicateur GRC :
Une régularisation sans date est une fiction administrative.

🥉 3) « C’est validé en comité »

Traduction opérationnelle

Personne ne sait vraiment qui a décidé.

Effet immédiat

• Absence de trace
• Dilution de responsabilité
• Arbitrage impossible a posteriori

Pourquoi c’est dangereux

• En cas d’incident, le comité disparaît
• L’audit demande un nom, pas un souvenir collectif

👉 Indicateur GRC :
Une décision sans trace n’existe pas.

🏅 4) « On fait comme ça depuis toujours »

Traduction opérationnelle

On n’a jamais remis en question ce risque.

Effet immédiat

• Normalisation du contournement
• Refus implicite d’amélioration
• Angle mort historique

Pourquoi c’est dangereux

• Les menaces évoluent
• Les usages dérivent
• La GRC reste figée

👉 Indicateur GRC :
L’ancienneté n’est pas un contrôle de sécurité.

🎖️ 5) « C’est maîtrisé »

Traduction opérationnelle

Personne ne peut le démontrer.

Effet immédiat

• Fin de la discussion
• Absence de preuve
• Faux sentiment de sécurité

Pourquoi c’est dangereux

• “Maîtrisé” sans indicateur = opinion
• Les audits ne prennent pas les opinions

👉 Indicateur GRC :
Si ce n’est pas mesuré, ce n’est pas maîtrisé.

☠️ Bonus – La phrase nucléaire

« Ne t’inquiète pas, je gère »

Traduction réelle

Le système repose sur une personne.

Conséquence

• SPOF humain
• Perte de traçabilité
• Risque maximal en cas de départ ou d’incident

👉 Règle d’or GRC :
Si “je” remplace “le processus”, le processus est déjà mort.

✅❌ Checklist express – Votre GRC est-elle vécue… ou juste affichée ?

Mode d’emploi
Pour chaque question :
✔️ = preuve tangible et récente
❌ = réponse floue, orale ou inexistante

👉 À partir de 3 ❌, votre GRC est surtout décorative.

🗂️ Gouvernance & décisions

• ⬜ Une décision de sécurité laisse-t-elle toujours une trace écrite (ticket, CR, validation outillée) ?
• ⬜ Peut-on identifier une personne responsable (Accountable) pour chaque arbitrage ?
• ⬜ Les comités produisent-ils autre chose que des slides ?

🧩 Exceptions & dérogations

• ⬜ Existe-t-il un registre centralisé des exceptions ?
• ⬜ Chaque dérogation a-t-elle une date de fin ?
• ⬜ Les exceptions sont-elles revues périodiquement ?

⚙️ Processus opérationnels

• ⬜ Les procédures critiques ont-elles été testées dans les 12 derniers mois ?
• ⬜ Les processus “d’urgence” sont-ils encadrés et tracés ?
• ⬜ Le fonctionnement réel correspond-il à ce qui est écrit ?

📊 Contrôles & preuves

• ⬜ Chaque contrôle de sécurité dispose-t-il d’une preuve mesurable ?
• ⬜ Les outils de sécurité sont-ils surveillés, pas seulement installés ?
• ⬜ Les indicateurs reflètent-ils l’usage réel, pas l’intention ?

👥 Facteur humain & culture

• ⬜ Les équipes savent-elles pourquoi un contrôle existe ?
• ⬜ Les contournements sont-ils déclarables sans sanction immédiate ?
• ⬜ La GRC est-elle perçue comme une aide, pas une punition ?

🔍 Réalité terrain

• ⬜ Un audit terrain donnerait-il le même résultat qu’un audit documentaire ?
• ⬜ Les réponses commencent-elles par “voici la preuve” et non “normalement” ?
• ⬜ Les connaissances clés sont-elles documentées et partageables ?

🧮 Résultat rapide

• 0–2 ❌ → GRC vécue, perfectible mais saine
• 3–5 ❌ → GRC fragile, Shadow Process en formation
• 6 ❌ et + → GRC affichée, gouvernance parallèle active

☠️ Question finale (celle qui pique)

Si demain une personne clé quitte l’entreprise, votre GRC survit-elle ?

Si la réponse est “ça dépend de qui”…
alors ce n’est pas une GRC, c’est une croyance collective.

Partager cet article : Twitter LinkedIn WhatsApp

🖋️ Publié sur SecuSlice.com