Recruter un analyste GRC : profil, missions et évaluation

Entre NIS2, ISO 27001, les questionnaires de sécurité des clients et les audits qui s'enchaînent, beaucoup d'entreprises découvrent qu'il leur manque quelqu'un pour tenir la gouvernance, le risque et la conformité au quotidien. L'analyste GRC est ce profil. Ce guide vous aide à définir ses missions, à choisir le bon profil d'origine et à l'évaluer sur ce qui compte vraiment : sa capacité à transformer des exigences en actions suivies.

Ce que fait vraiment un analyste GRC

GRC signifie gouvernance, risque et conformité. Derrière l'acronyme, le métier est concret : documenter, mesurer, suivre et faire avancer. Un bon analyste GRC n'écrit pas des politiques pour un classeur, il s'assure qu'elles sont appliquées et qu'on peut le prouver.

Ses missions les plus fréquentes :

Analyse de risques : animer des ateliers avec les métiers et la technique, tenir à jour la cartographie des risques, suivre les plans de traitement. Beaucoup d'organisations françaises s'appuient sur la méthode EBIOS Risk Manager publiée par l'ANSSI.
Politiques et procédures : rédiger et maintenir la politique de sécurité, les procédures associées et les règles de gestion des accès, en lien avec les équipes qui les appliquent.
Suivi de conformité : tenir la déclaration d'applicabilité ISO 27001, suivre les écarts, préparer les preuves pour les audits internes et externes.
Risque fournisseurs : évaluer les prestataires, suivre les clauses de sécurité des contrats, relancer quand les engagements ne sont pas tenus.
Questionnaires clients : répondre aux demandes de sécurité des clients et des prospects, souvent en lien avec l'équipe commerciale.
Indicateurs et reporting : produire des tableaux de bord lisibles pour le RSSI et la direction.
Sensibilisation : contribuer aux campagnes et aux formations, en particulier quand la réglementation impose une formation des dirigeants.

Pourquoi ce poste devient prioritaire

Plusieurs textes poussent les entreprises à structurer leur conformité. La directive NIS2 (directive (UE) 2022/2555) impose notamment des mesures de gestion des risques, une implication des organes de direction et une évaluation de l'efficacité des mesures. Dans le secteur financier, le règlement DORA (règlement (UE) 2022/2554) encadre la gestion du risque informatique et des prestataires tiers. Le RGPD, suivi par la CNIL, ajoute ses propres exigences de sécurité des données personnelles.

Aucun de ces textes ne dit « recrutez un analyste GRC ». Mais tous demandent des preuves, un suivi dans la durée et une documentation à jour. Sans personne dédiée, ce travail retombe sur le RSSI, qui n'a plus le temps de piloter. Notre article sur les profils à recruter pour NIS2 montre où la GRC s'insère dans l'ensemble.

Analyste, consultant, auditeur : clarifier le besoin

Les intitulés se mélangent sur le marché. Clarifiez ce que vous attendez avant d'écrire l'annonce.

Intitulé	Rôle principal	Quand le choisir
Analyste GRC	Exécution et suivi au quotidien : risques, preuves, fournisseurs, questionnaires	Vous avez un RSSI ou un responsable qui fixe le cap, il manque le temps et la rigueur du suivi
Consultant GRC	Construction d'un dispositif, souvent pour plusieurs entités ou en mission	Vous partez de zéro ou lancez un projet de certification ponctuel
Auditeur interne sécurité	Contrôle indépendant de l'application des mesures	Votre dispositif existe et vous voulez vérifier qu'il fonctionne
Responsable GRC	Pilotage d'une équipe et du programme de conformité	Plusieurs référentiels, plusieurs entités, une équipe à encadrer

Une erreur courante consiste à recruter un analyste en attendant de lui qu'il construise seul tout le dispositif. Si personne ne fixe le cap, visez un profil plus expérimenté ou faites porter la vision par un RSSI, même à temps partagé.

D'où viennent les bons analystes GRC

Le métier recrute dans des viviers variés, et c'est une bonne nouvelle pour qui sait regarder au-delà des intitulés.

Les profils issus de l'audit et du conseil

Auditeurs, consultants en cabinet, contrôleurs internes. Ils maîtrisent la logique de preuve, la rédaction et la conduite d'entretiens. Point à vérifier : leur compréhension technique suffit-elle pour challenger une réponse de la DSI ?

Les profils techniques qui se tournent vers la gouvernance

Administrateurs systèmes, ingénieurs réseau ou analystes SOC qui veulent prendre du recul. Ils savent si une mesure est réellement appliquée. Point à vérifier : leur goût pour la rédaction, le suivi et la relation avec des interlocuteurs non techniques.

Les profils juridiques et conformité

Juristes, délégués à la protection des données, chargés de conformité. Ils lisent les textes avec précision et savent les traduire en exigences. Point à vérifier : leur capacité à entrer dans le détail d'un système d'information.

Les profils en reconversion peuvent réussir très bien sur ce poste. Notre guide pour recruter des profils en reconversion explique comment les évaluer sans les pénaliser.

Les compétences à vérifier

Les certifications (ISO 27001 Lead Implementer ou Lead Auditor, par exemple) montrent qu'un candidat connaît un référentiel. Elles ne disent pas s'il sait le faire vivre dans une organisation réelle. Notre article sur les certifications en cybersécurité détaille leurs limites.

Concentrez l'évaluation sur ces points :

Lecture d'un référentiel : sait-il expliquer une exigence avec ses mots et dire comment la prouver ?
Analyse de risques : relie-t-il un risque à un actif, une menace, un impact métier et une mesure ?
Compréhension technique : comprend-il ce qu'est une revue des droits, une gestion des correctifs ou une sauvegarde testée, au point de détecter une réponse vague ?
Rédaction : ses écrits sont-ils courts, précis, utilisables par ceux qui doivent les appliquer ?
Suivi et relance : comment fait-il avancer une action qui dépend d'une autre équipe ?
Communication : sait-il présenter un état de conformité à un dirigeant en quelques minutes ?
Rigueur documentaire : versions, responsables, dates de revue, traçabilité des preuves.

Un processus d'entretien efficace

Les étapes

Un premier échange avec le recruteur ou le RSSI : motivations, contexte, référentiels pratiqués, type d'organisations connues.
Une étude de cas courte, préparée à l'avance ou réalisée sur place.
Un entretien avec les futurs interlocuteurs : un représentant de la DSI et, si possible, un métier ou un acheteur pour le volet fournisseurs.

Une étude de cas qui révèle le niveau

Remettez au candidat un dossier simple : la description d'une entreprise fictive, un extrait de politique de sécurité, trois réponses d'un fournisseur à un questionnaire et une liste de cinq écarts relevés lors d'un audit. Demandez-lui :

De prioriser les cinq écarts et de justifier son ordre.
D'identifier ce qui pose problème dans les réponses du fournisseur et les questions qu'il lui renverrait.
De proposer un indicateur simple pour suivre l'avancement et de le présenter comme il le ferait à la direction.

Cet exercice montre en une heure ce qu'aucune question générale ne révèle : le sens des priorités, l'esprit critique et la clarté. Pour structurer l'ensemble du processus, appuyez-vous sur notre méthode pour évaluer les compétences en cybersécurité.

Les erreurs fréquentes

Chercher un profil uniquement documentaire : un analyste qui ne comprend pas la technique produit des preuves fragiles.
Confier le poste sans mandat : sans appui de la direction, les relances restent lettre morte.
Mélanger GRC et opérations : si l'analyste gère aussi les pare-feux et les alertes, la conformité passera toujours après l'urgence.
Exiger toutes les certifications : mieux vaut un candidat qui a mené une vraie démarche de certification qu'une collection de diplômes.
Négliger la rémunération : elle varie selon le secteur, la régulation et l'étendue du périmètre. Fixez une fourchette réaliste dès le départ.

En résumé

Un analyste GRC transforme des exigences réglementaires et des engagements clients en actions suivies et en preuves solides. Pour bien le recruter, clarifiez d'abord si vous cherchez un exécutant rigoureux, un bâtisseur ou un auditeur, choisissez le vivier adapté et évaluez le candidat sur un cas concret plutôt que sur ses certifications.

Vous cherchez un analyste GRC ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le besoin avec vous et évaluent chaque candidat sur des mises en situation concrètes, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre méthode ou parlez-nous de votre besoin.