Devenir consultant GRC : compétences et parcours
Devenir consultant GRC en cybersécurité : missions réelles, compétences clés, parcours d'entrée selon votre profil, preuves à montrer et entretiens à préparer.
La gouvernance, le risque et la conformité attirent de plus en plus de profils : auditeurs, juristes, chefs de projet, administrateurs systèmes ou analystes SOC qui veulent prendre de la hauteur. Le métier de consultant GRC est pourtant mal compris, souvent réduit à « faire de la documentation ». Ce guide vous explique ce que le poste exige vraiment, les compétences à construire et la façon de prouver à un employeur que vous êtes prêt.
Ce que fait réellement un consultant GRC
Le consultant GRC aide une organisation à piloter sa sécurité : décider quels risques traiter, fixer des règles, vérifier qu'elles sont appliquées et pouvoir le prouver. Il travaille en cabinet de conseil, pour plusieurs clients successifs, ou en interne, au sein de l'équipe du RSSI.
Ses missions typiques :
- Analyse de risques : animer des ateliers avec les métiers et la technique, construire une cartographie des risques et des plans de traitement. En France, la méthode EBIOS Risk Manager publiée par l'ANSSI est très utilisée.
- Mise en conformité : traduire un référentiel (ISO 27001, directive NIS2, règlement DORA dans la finance, RGPD) en exigences concrètes, puis suivre leur mise en œuvre.
- Politiques et procédures : rédiger une politique de sécurité et des procédures que les équipes peuvent réellement appliquer.
- Préparation d'audits : rassembler les preuves, organiser les entretiens, suivre les écarts relevés.
- Risque fournisseurs : évaluer les prestataires et suivre leurs engagements de sécurité.
- Restitution à la direction : présenter un état des risques et de la conformité en quelques minutes, avec des décisions à prendre.
Consultant ou analyste : quelle différence ?
Les intitulés se recoupent. En général, l'analyste GRC exécute et suit un dispositif existant, tandis que le consultant GRC le construit ou le fait évoluer, souvent sur plusieurs organisations. Notre article destiné aux entreprises pour recruter un analyste GRC détaille ces nuances. Pour un premier poste, ne vous arrêtez pas à l'intitulé : lisez les missions.
Les compétences qui font la différence
Les offres listent souvent des référentiels et des certifications. Les recruteurs regardent surtout autre chose : votre capacité à transformer une exigence en action suivie.
| Compétence | Ce que l'on attend concrètement | Comment la travailler |
|---|---|---|
| Lecture des référentiels | Expliquer une exigence avec vos mots et dire comment la prouver | Lire ISO 27001 et son annexe, le texte de NIS2 sur eur-lex.europa.eu, les guides de l'ANSSI |
| Analyse de risques | Relier un actif, une menace, un impact métier et une mesure | Réaliser une analyse complète sur une organisation fictive |
| Culture technique | Comprendre une revue des droits, une gestion des correctifs, une sauvegarde testée | Monter un petit lab, lire les guides d'hygiène de l'ANSSI |
| Rédaction | Des écrits courts, précis, utilisables | Réécrire une politique trop longue en une page claire |
| Animation d'ateliers | Faire parler des métiers et des équipes techniques | Animer des réunions dans votre poste actuel |
| Conduite du changement | Faire avancer une action qui dépend d'une autre équipe | Piloter un sujet transverse, même hors sécurité |
| Synthèse | Présenter une situation à un dirigeant en cinq minutes | S'entraîner à résumer un dossier en trois messages clés |
La culture technique, le point souvent négligé
C'est la faiblesse la plus fréquente chez les candidats venus du droit ou de l'audit généraliste. Un consultant GRC qui ne sait pas ce qu'est un compte à privilèges ou une segmentation réseau accepte des réponses vagues et produit des preuves fragiles. Vous n'avez pas besoin d'être administrateur système, mais vous devez pouvoir poser la question suivante et repérer une réponse évasive.
Par où entrer selon votre profil
Il n'existe pas de parcours unique. Votre point de départ détermine ce que vous avez déjà et ce qu'il vous reste à combler.
Vous venez de la technique
Administrateur systèmes, ingénieur réseau, analyste SOC : vous savez si une mesure est réellement appliquée. C'est un atout rare en GRC. À travailler : la rédaction, la lecture des textes réglementaires et la relation avec des interlocuteurs non techniques. Si vous hésitez encore entre plusieurs voies, notre article pour devenir analyste SOC présente une option plus opérationnelle.
Vous venez de l'audit, du contrôle interne ou du conseil
Vous maîtrisez la logique de preuve, les entretiens et la restitution. À travailler : la culture technique et les spécificités de la sécurité de l'information. Un projet de certification ISO 27001 est souvent votre meilleure porte d'entrée, car il mobilise directement vos compétences d'audit.
Vous venez du juridique ou de la conformité
Juriste, délégué à la protection des données, chargé de conformité : vous lisez les textes avec précision. À travailler : la compréhension d'un système d'information et l'analyse de risques. Le RGPD, suivi par la CNIL, est un pont naturel vers la sécurité.
Vous sortez d'études
Les masters en sécurité ou en management des systèmes d'information mènent souvent vers la GRC. L'alternance est un excellent accélérateur : elle vous donne une première expérience réelle d'audit ou de mise en conformité, ce qui pèse beaucoup dans les premiers entretiens.
Pour les questions plus générales sur un changement de carrière, notre guide sur la façon dont les employeurs évaluent les profils en reconversion vous aide à comprendre ce qu'ils regardent.
Un plan d'apprentissage concret
- Lisez les textes de référence. La norme ISO 27001 et son annexe de mesures, la directive NIS2 (directive (UE) 2022/2555), et les publications de l'ANSSI, notamment le guide d'hygiène informatique et la documentation EBIOS Risk Manager.
- Réalisez une analyse de risques complète sur une entreprise fictive : périmètre, valeurs métier, sources de risque, scénarios, mesures, risques résiduels.
- Rédigez une politique courte et deux procédures associées (gestion des accès, gestion des incidents), puis demandez à un non-spécialiste de les relire.
- Construisez une déclaration d'applicabilité pour votre entreprise fictive, en justifiant les mesures retenues et exclues.
- Préparez un tableau de bord de quelques indicateurs et la présentation que vous en feriez à une direction.
- Renforcez votre culture technique avec un petit lab : un annuaire, quelques postes, des sauvegardes. Le but est de comprendre ce que vous demanderez aux équipes.
Et les certifications ?
Les certifications ISO 27001 Lead Implementer ou Lead Auditor, ou des certifications de gestion des risques, montrent que vous connaissez un référentiel et peuvent vous aider à passer les premiers filtres. Elles ne remplacent pas une démarche menée en conditions réelles. Notre article sur ce que disent vraiment les certifications explique comment les recruteurs les lisent.
Prouver votre valeur aux recruteurs
En GRC, vos livrables sont votre meilleur portfolio. Rassemblez quelques documents anonymisés ou réalisés sur une organisation fictive :
- une analyse de risques synthétique avec ses scénarios prioritaires ;
- une politique de sécurité d'une ou deux pages ;
- une déclaration d'applicabilité commentée ;
- une note de synthèse à destination d'un dirigeant.
Sur votre CV, décrivez des résultats concrets plutôt que des référentiels : un audit préparé, des écarts suivis jusqu'à leur clôture, des questionnaires clients traités, une procédure adoptée par une équipe. Notre guide pour un CV cybersécurité convaincant détaille la méthode.
Préparer les entretiens
Les entretiens en GRC reposent souvent sur une étude de cas : prioriser des écarts d'audit, critiquer les réponses d'un fournisseur à un questionnaire, proposer un indicateur et le présenter. Les recruteurs observent votre sens des priorités, votre esprit critique et votre clarté.
Attendez-vous aussi à des questions comme :
- Comment conduiriez-vous une analyse de risques pour un service que vous ne connaissez pas ?
- Une équipe ne répond plus à vos relances sur une action critique : que faites-vous ?
- Comment prouveriez-vous à un auditeur que les droits d'accès sont revus régulièrement ?
- Comment expliqueriez-vous NIS2 à un comité de direction en cinq minutes ?
Nos conseils pour réussir un entretien technique en cybersécurité s'appliquent aussi aux études de cas GRC. Côté rémunération, les écarts sont importants selon le secteur, la taille de l'organisation, le niveau de régulation et le fait de travailler en cabinet ou en interne. Comparez les offres sur l'ensemble de ces critères.
Les erreurs à éviter
- Collectionner les certifications sans pratique : un recruteur préfère une analyse de risques bien menée à trois diplômes.
- Négliger la technique : c'est elle qui rend votre conformité crédible.
- Écrire trop long : une politique que personne ne lit ne protège rien.
- Confondre conformité et sécurité : cocher des cases ne réduit pas un risque, et les bons recruteurs le savent.
En résumé
Devenir consultant GRC demande trois choses : comprendre les référentiels, maîtriser l'analyse de risques et avoir assez de culture technique pour challenger les réponses. Partez de votre profil d'origine, comblez vos manques avec des exercices concrets, et montrez des livrables plutôt qu'une liste de certifications.
Vous visez un poste en GRC ? Rejoignez gratuitement le réseau Cyber Recrut : nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques et des mises en situation, ce qui permet à votre parcours de compter pour ce qu'il vaut vraiment. Découvrez aussi notre façon de travailler.