Fiche de poste analyste GRC : modèle et conseils

Beaucoup d'offres d'analyste GRC empilent les référentiels (ISO 27001, NIS2, DORA, RGPD) sans dire ce que la personne fera de ses journées. Les bons candidats, eux, cherchent à savoir s'ils vont faire avancer un dispositif ou remplir des tableaux que personne ne lit. Ce guide vous donne une structure, un modèle commenté et les formulations à éviter pour publier une fiche de poste d'analyste GRC qui attire les profils rigoureux et utiles.

Ce qu'un analyste GRC cherche dans une offre

Un candidat GRC lit une annonce avec une question en tête : aurai-je les moyens de faire appliquer ce que j'écris ? Il cherche des réponses précises sur quelques points.

Le périmètre réglementaire : quels référentiels s'appliquent vraiment, lesquels sont en projet, et lesquels figurent dans l'annonce par habitude.
La maturité du dispositif : une certification déjà obtenue à maintenir, une démarche en cours, ou une page blanche.
Le mandat : à qui il rend compte, et si la direction appuie les relances quand une équipe ne tient pas ses engagements.
La part d'opérationnel : un poste GRC pur, ou un poste où il faudra aussi gérer des accès, des pare-feux ou du support.
La progression : évolution vers un rôle de responsable GRC, de RSSI, ou vers l'audit.

Si ces points ne sont pas encore tranchés en interne, commencez par notre guide pour recruter un analyste GRC, qui aide à choisir entre analyste, consultant, auditeur et responsable avant de rédiger.

Fixer le périmètre avant d'écrire

La fiche doit refléter un besoin, pas une liste de souhaits. Trois périmètres reviennent souvent, et chacun appelle une fiche différente.

Périmètre	Missions dominantes	Ce que la fiche doit mettre en avant
Maintien d'une certification	Revue des risques, suivi des écarts, préparation des audits de surveillance	La rigueur, la gestion des preuves, le travail avec les auditeurs
Mise en conformité réglementaire	Analyse d'écarts, plan d'action, suivi avec les équipes techniques et métiers	La lecture des textes, la priorisation, la conduite du changement
Relation clients et fournisseurs	Questionnaires de sécurité, évaluation des prestataires, clauses contractuelles	La clarté de l'écrit, la relation avec les achats et les commerciaux

Un poste peut combiner deux périmètres, rarement les trois sans renfort. Si votre besoin naît d'un projet de certification, notre article sur les profils pour mener une certification ISO 27001 montre comment répartir les rôles.

Le modèle commenté

Voici une trame à adapter. Chaque bloc est suivi d'un commentaire sur ce qu'il doit contenir.

1. Le titre

Exemple : « Analyste GRC (H/F), conformité NIS2 et ISO 27001, Nantes, hybride ».
Commentaire : l'intitulé, le ou les deux référentiels principaux et la localisation suffisent. « Chargé de mission sécurité » ou « Security Officer » sont moins recherchés et plus ambigus.

2. Le contexte

Votre activité en deux phrases, la taille de l'équipe sécurité, le rattachement (RSSI, direction des risques, direction juridique, DSI).
La raison de l'ouverture : nouvelle obligation réglementaire, exigence d'un client, démarche de certification, croissance, remplacement.
Commentaire : le rattachement en dit long au candidat. Un analyste rattaché au RSSI n'a pas le même quotidien qu'un analyste rattaché à la conformité groupe. Dites-le sans détour.

3. Les missions

Pour un poste centré sur la conformité, par exemple :

Animer l'analyse de risques avec les équipes métiers et techniques et suivre les plans de traitement.
Tenir à jour la déclaration d'applicabilité et le registre des écarts.
Préparer les preuves et accompagner les audits internes et externes.
Évaluer les fournisseurs critiques et suivre leurs engagements de sécurité.
Répondre aux questionnaires de sécurité des clients avec les équipes concernées.
Produire un reporting mensuel lisible pour le RSSI et la direction.

Commentaire : listez quatre à six missions réelles, dans l'ordre de leur poids dans le temps de travail. Si les questionnaires clients occupent la moitié de la semaine, écrivez-le : un candidat qui le découvre après l'embauche ne restera pas.

4. Le cadre et les outils

Les référentiels applicables et leur statut (obtenu, en cours, à venir).
La méthode d'analyse de risques utilisée, par exemple EBIOS Risk Manager, publiée par l'ANSSI.
Les outils : plateforme GRC, tableur, outil de ticketing, gestion documentaire.
Commentaire : présentez les outils comme un contexte, pas comme des prérequis. Un analyste rigoureux prend en main une plateforme GRC rapidement. Ce qui ne s'apprend pas en quelques semaines, c'est le sens des priorités.

5. Le profil recherché

Séparez clairement deux listes courtes.

Indispensable :

Expliquer une exigence d'un référentiel avec ses propres mots et dire comment la prouver.
Relier un risque à un actif, une menace, un impact métier et une mesure.
Comprendre assez la technique pour repérer une réponse vague sur une revue des droits, une gestion des correctifs ou une sauvegarde.
Rédiger des documents courts, précis et utilisables par ceux qui les appliquent.
Faire avancer une action qui dépend d'une autre équipe, sans autorité hiérarchique.

Apprécié :

Participation à un audit de certification, côté audité ou côté auditeur.
Connaissance d'un secteur régulé (santé, finance, énergie, collectivités).
Une certification de type ISO 27001 Lead Implementer ou Lead Auditor.
Pratique d'une plateforme GRC ou de l'automatisation du reporting.

Commentaire : formulez les compétences comme des actions observables. « Savoir prioriser cinq écarts d'audit et justifier cet ordre » dit beaucoup plus que « maîtrise de la norme ISO 27001 ».

6. Les conditions

Fourchette de rémunération.
Politique de télétravail et fréquence des déplacements, notamment si plusieurs sites ou filiales sont concernés.
Budget formation et certifications financées.
Commentaire : les rémunérations GRC varient selon le secteur, le niveau de régulation et l'étendue du périmètre. Une fourchette réaliste évite des semaines d'échanges avec des candidats hors budget. Notre article sur le délai de recrutement en cybersécurité montre combien ce flou coûte en temps.

7. Le processus de recrutement

Le nombre d'étapes, leur durée et la nature de l'étude de cas.
Commentaire : voir la section dédiée plus bas.

Dire la vérité sur le mandat

C'est le point que les fiches GRC esquivent le plus souvent, et celui qui inquiète le plus les candidats expérimentés. Un analyste GRC sans appui de la direction passe ses journées à relancer des équipes qui ne répondent pas.

Précisez au minimum :

à qui l'analyste présente ses indicateurs, et à quelle fréquence ;
qui arbitre quand une équipe refuse ou repousse une mesure ;
si un comité de sécurité existe déjà, et qui y siège ;
si la direction est impliquée, comme le prévoit la directive NIS2 (directive (UE) 2022/2555) pour les entités concernées.

Ce paragraphe filtre les candidats qui ne cherchent qu'un poste documentaire et rassure ceux qui veulent un impact réel. Si le cap n'est fixé par personne, la fiche doit plutôt viser un responsable ou un RSSI.

Les erreurs de formulation qui font fuir

La liste de référentiels comme profil : ISO 27001, 27005, NIS2, DORA, RGPD, SOC 2, HDS, tous « maîtrisés ». Personne ne coche tout, et les bons profils passent leur chemin.
Le mélange GRC et exploitation : un poste qui combine conformité, administration des pare-feux et support utilisateur sacrifiera toujours la conformité à l'urgence.
Les certifications exigées par principe : elles montrent la connaissance d'un référentiel, pas la capacité à le faire vivre. Notre analyse des certifications en recrutement aide à les placer en « apprécié ».
Le profil uniquement juridique ou uniquement technique : le poste demande les deux regards. Écrivez ce que vous attendez de chacun.
Le jargon creux : « culture de la conformité », « rigueur à toute épreuve », « environnement exigeant ». Décrivez plutôt un livrable concret.
L'absence de fourchette : une annonce sans indication de rémunération reçoit moins de réponses des candidats déjà en poste.

Décrire le processus d'évaluation

Un entretien classique ne montre pas si un candidat sait prioriser ou écrire clairement. Une fiche qui annonce une étude de cas courte montre que l'équipe sait ce qu'elle cherche. Un processus type :

Un premier échange sur le parcours, les référentiels pratiqués et les attentes.
Une étude de cas sur un dossier fictif : prioriser des écarts d'audit, critiquer les réponses d'un fournisseur, proposer un indicateur.
Un débrief de l'étude de cas avec le RSSI ou le responsable GRC.
Un échange avec un futur interlocuteur clé, par exemple la DSI ou les achats.

Indiquez la durée de l'étude de cas et précisez qu'elle porte sur des données fictives. Notre méthode pour évaluer les compétences en cybersécurité explique comment noter un tel exercice avec une grille commune.

Checklist avant publication

Le périmètre est clair : maintien, mise en conformité, relation clients et fournisseurs, ou une combinaison assumée.
Les référentiels cités sont ceux qui s'appliquent réellement, avec leur statut.
Les missions sont réelles, classées par poids, au nombre de quatre à six.
Les prérequis indispensables tiennent en cinq lignes, formulées en actions.
Le rattachement et le mandat sont décrits.
Une fourchette de rémunération est affichée.
Le processus de recrutement et l'étude de cas sont annoncés.

En résumé

Une bonne fiche de poste d'analyste GRC fixe un périmètre clair, cite les référentiels qui s'appliquent vraiment, décrit des missions réelles, assume le mandat donné au poste et annonce une étude de cas. C'est ce qui permet au candidat rigoureux de se reconnaître, et à vous de l'identifier.

Vous ouvrez un poste d'analyste GRC et souhaitez de l'aide pour le cadrer ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité construisent la fiche avec vous, puis nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques et des mises en situation proches de votre contexte. Découvrez notre façon de travailler ou confiez-nous votre besoin.