Pour gérer plusieurs clients GRC sans perdre le contrôle, il faut séparer clairement trois niveaux : le portefeuille du consultant, l’espace propre à chaque organisation et les objets opérationnels de chaque mission — audits, preuves, constats, actions et rapports. La méthode consiste à standardiser les statuts, la notation, les champs du plan d’action et le calendrier de suivi, sans uniformiser artificiellement les risques et les priorités des clients. Un dashboard consolidé doit ensuite montrer les échéances, actions en retard et prochaines revues, tout en empêchant l’accès croisé aux données. Excel reste utilisable tant qu’il demeure un support ponctuel, pas le système central de plusieurs missions.
Suivre cinq à dix clients GRC ne signifie pas simplement gérer cinq à dix fichiers de conformité.
Pour chaque organisation, le consultant doit généralement maintenir :
Avec sept clients, trois référentiels et plusieurs revues dans l’année, le nombre de fichiers augmente rapidement, même si chaque mission semble simple prise isolément.
Excel reste efficace pour :
Il devient plus fragile lorsqu’il doit simultanément servir de :
Le risque principal n’est pas uniquement de perdre un fichier. Il est de maintenir plusieurs versions contradictoires d’une même information.
Une action peut être clôturée dans le fichier de suivi, mais rester ouverte dans le rapport. Une preuve peut être mise à jour dans le dossier documentaire sans que sa date de validité soit modifiée dans l’audit. Un score peut évoluer sans que la justification précédente soit conservée.
Il n’existe pas de seuil universel à partir duquel Excel devient inutilisable.
Le nombre de clients constitue un indicateur, mais la complexité dépend surtout de quatre facteurs :
Un consultant seul peut gérer dix missions ponctuelles avec des fichiers bien structurés. À l’inverse, trois clients peuvent déjà devenir difficiles à suivre lorsqu’ils disposent chacun de plusieurs sites, de nombreux responsables et d’un accompagnement mensuel.
Le changement devient généralement nécessaire lorsque plusieurs symptômes apparaissent :
Une architecture multi-client efficace ne nécessite pas nécessairement un GRC complexe.
Elle doit cependant distinguer quatre couches.
Le dashboard portefeuille doit agréger des indicateurs de pilotage. Il ne doit pas mélanger les documents, preuves ou constats détaillés des clients.
Le portefeuille sert au consultant ou au cabinet.
Il doit contenir uniquement les informations nécessaires à l’organisation des missions :
Cette vue répond à la question :
Sur quels clients devons-nous intervenir cette semaine ou ce mois-ci ?
Elle ne doit pas contenir toutes les preuves, tous les commentaires d’audit ou les détails techniques.
Chaque organisation doit disposer de son propre espace logique.
La fiche client peut contenir :
Le contexte doit rester propre à chaque client. Deux PME soumises au même référentiel ne possèdent pas nécessairement les mêmes actifs, risques, priorités ou capacités budgétaires.
Les audits doivent être conservés comme des évaluations datées.
Un audit ne doit pas être réduit au niveau de maturité actuel. Il doit conserver :
Le NIST recommande de distinguer la situation actuelle de la situation cible, puis de réaliser une analyse des écarts et de construire un plan d’action priorisé. Ce plan doit notamment identifier l’action, sa priorité, son responsable, son échéance et les ressources nécessaires.
Chaque information structurante doit avoir un emplacement de référence unique.
| Information | Source de référence |
| Niveau de maturité | Dernier audit validé |
| Constat | Fiche de constat |
| Preuve | Registre de preuves |
| Responsable | Plan d’action |
| Échéance | Plan d’action |
| Statut | Action correspondante |
| Décision | Journal de décisions |
| Indicateur portefeuille | Donnée calculée depuis les espaces clients |
| Rapport | Généré depuis les données validées |
Le rapport ne doit pas devenir une seconde base de données modifiée manuellement après son export.
Le PDF constitue une photographie. Le suivi opérationnel doit rester dans la source structurée.
Gérer plusieurs clients efficacement suppose une méthode commune.
Cela ne signifie pas imposer la même conclusion à toutes les organisations.
Les éléments suivants gagnent à être standardisés :
| Élément | Règle commune recommandée |
| Statuts d’audit | Brouillon, en revue, validé, archivé |
| Statuts d’action | À faire, en cours, bloqué, à valider, clôturé |
| Priorités | P1, P2, P3 ou critique, haute, moyenne, faible |
| Structure d’un constat | Critère, observation, preuve, écart, risque, recommandation |
| Champs d’action | Responsable, échéance, statut, preuve de clôture |
| Modèle de maturité | Définitions documentées des niveaux |
| Convention de nommage | Client, objet, date, version |
| Format de rapport | Synthèse, méthode, résultats, plan d’action, annexes |
| Règle de retard | Calculée depuis l’échéance initiale ou révisée |
| Fréquence de revue | Hebdomadaire, mensuelle ou trimestrielle selon la mission |
La standardisation améliore la cohérence entre les consultants et facilite la consolidation.
Le NIST permet d’adapter les profils de cybersécurité au contexte de chaque organisation tout en conservant une structure commune pour comparer la situation actuelle, les objectifs et les écarts.
Les informations suivantes ne doivent pas être copiées automatiquement :
La méthode peut être commune. Le jugement professionnel doit rester contextualisé.
Une action considérée comme prioritaire chez un éditeur exposé sur Internet peut l’être moins chez une structure disposant d’un environnement isolé et d’une mesure compensatoire démontrée.
Une bonne organisation multi-client repose sur plusieurs rythmes complémentaires.
La cadence suivante est indicative. Elle doit être adaptée au contrat, au niveau de maturité et à l’intensité de la mission.
La revue hebdomadaire concerne le consultant ou l’équipe du cabinet.
Son objectif est de préparer les interventions, pas de refaire les comités clients.
À examiner :
Pour cinq à dix clients, une revue portefeuille de 30 à 45 minutes peut suffire lorsque les informations sont déjà centralisées. Cet ordre de grandeur est une recommandation d’organisation, pas une norme ou un benchmark officiel.
La revue mensuelle peut suivre une trame stable :
Le comité ne doit pas se limiter à commenter un score global.
Le NIST présente le suivi des profils et des plans d’action comme une boucle continue : les mesures mises en œuvre, les indicateurs et l’évolution des risques permettent d’actualiser les objectifs et les priorités.
La revue trimestrielle ou semestrielle vise davantage la direction.
Elle doit présenter :
Cette revue peut également servir à réviser le périmètre de la mission.
Une acquisition, un nouveau site, un changement de prestataire cloud ou l’ouverture d’un service exposé peuvent rendre l’ancienne évaluation partiellement obsolète.
Le suivi des actions en retard doit être mécanique, visible et traçable.
Il ne doit pas dépendre de la mémoire du consultant.
Un modèle simple peut utiliser les statuts suivants :
| Statut | Définition |
| À faire | Action acceptée mais non commencée |
| En cours | Travail effectivement démarré |
| Bloqué | Dépendance ou décision empêchant l’avancement |
| À valider | Action réalisée, preuve de clôture à contrôler |
| Clôturé | Résultat vérifié et accepté |
| Abandonné | Action annulée avec justification |
| Risque accepté | Décision formelle de ne pas traiter immédiatement |
Le statut « clôturé » ne devrait être utilisé qu’après contrôle du résultat attendu.
Une déclaration telle que « le prestataire indique que c’est fait » ne suffit pas toujours. La preuve de clôture peut être une configuration, une procédure approuvée, un test, un export ou un compte rendu.
Modifier régulièrement une échéance fait disparaître l’historique du retard.
Il est préférable de conserver :
Le dashboard peut ensuite distinguer :
Ces catégories sont des règles de gestion proposées. Elles peuvent être adaptées selon la durée des missions.
Une règle simple peut être utilisée :
| Situation | Traitement |
| Échéance proche | Rappel au responsable |
| Retard inférieur à 30 jours | Revue lors du comité mensuel |
| Retard supérieur à 30 jours | Escalade vers le sponsor ou la direction |
| Action P1 bloquée | Escalade immédiate |
| Report récurrent | Décision formelle et réévaluation du risque |
| Action réalisée sans preuve | Maintien en statut « à valider » |
L’objectif n’est pas de sanctionner systématiquement les équipes.
Il est d’éviter qu’une recommandation importante reste ouverte pendant plusieurs mois sans décision explicite.
Le dashboard portefeuille doit permettre de décider où intervenir.
Un modèle minimal peut contenir les colonnes suivantes :
| Client | Mission | Référentiel | Maturité | Dernier audit | Actions ouvertes | En retard | P1 ouvertes | Preuves à revoir | Prochaine revue | Consultant | Statut |
| Client A | RSSI externalisé | ISO 27001 | 2,3/4 | 12/06/2026 | 18 | 4 | 1 | 3 | 14/08/2026 | Consultant 1 | À surveiller |
| Client B | Préparation NIS2 | NIS2 | 1,8/4 | 03/07/2026 | 25 | 9 | 3 | 2 | 20/08/2026 | Consultant 2 | Prioritaire |
| Client C | Audit annuel | Socle PME | 2,7/4 | 25/07/2026 | 8 | 0 | 0 | 1 | 30/09/2026 | Consultant 1 | Stable |
| Client D | Gouvernance mensuelle | Multi-normes | 2,1/4 | 04/04/2026 | 14 | 5 | 1 | 6 | 08/08/2026 | Consultant 1 | Revue requise |
Les valeurs sont fictives et servent uniquement à illustrer le modèle.
Un dashboard de portefeuille n’a pas besoin de trente graphiques.
Les cinq indicateurs les plus utiles sont souvent :
Le score de maturité reste utile, mais il ne doit pas devenir l’unique critère de priorisation.
Un client à 2,8 sur 4 peut avoir une action critique en retard. Un client à 1,7 peut progresser correctement sur une feuille de route cohérente.
Le copier-coller permet de démarrer rapidement une mission.
Il devient risqué lorsqu’il remplace une vraie gestion des données.
Le cas le plus visible est un rapport contenant :
Cette erreur dégrade immédiatement la crédibilité du consultant.
Le risque est plus grave lorsqu’un lien, une capture ou un document confidentiel est associé au mauvais client.
Cela peut révéler :
Deux clients peuvent présenter le même écart apparent sans supporter le même risque.
Copier une recommandation sans réexaminer :
peut conduire à une priorité incorrecte.
Au fil des copies, les tableaux peuvent diverger :
La consolidation devient alors trompeuse.
Lorsqu’un fichier annuel remplace le précédent, les modifications sont difficiles à expliquer.
Il devient compliqué de savoir :
La séparation des données doit être conçue avant d’ouvrir l’accès aux clients.
La CNIL recommande de limiter les utilisateurs aux seules données nécessaires à leurs missions, de séparer les responsabilités, de faire valider les habilitations, de supprimer les accès lorsqu’ils ne sont plus nécessaires et de réaliser des revues régulières des droits.
Chaque client doit disposer de :
Un consultant junior peut avoir accès aux missions auxquelles il contribue sans voir l’ensemble du portefeuille.
Un utilisateur client ne doit pas accéder aux espaces des autres organisations, ni à la vue consolidée du cabinet.
Les accès doivent être retirés lorsqu’une personne :
La CNIL recommande également une revue périodique des habilitations et cite une revue au moins annuelle dans son guide de sécurité. Pour un cabinet manipulant les données de plusieurs clients, une vérification lors de chaque entrée, sortie ou changement de mission reste nécessaire.
Un rapport ou un export doit être généré dans le contexte d’un client précis.
Évitez :
Les livrables peuvent être marqués :
La classification doit être cohérente avec le contenu et les engagements contractuels.
Pour les informations importantes, le consultant doit pouvoir déterminer :
L’ANSSI rappelle que la confidentialité et l’intégrité des informations doivent être protégées par des mesures concrètes adaptées à l’organisation.
Prenons un consultant accompagnant sept PME :
Chaque organisation reçoit :
Le consultant utilise les mêmes :
Il adapte ensuite le contenu aux besoins de chaque entreprise.
Il ne faut pas migrer toutes les anciennes versions de tous les fichiers.
Une reprise minimale peut conserver :
Les anciennes versions peuvent être archivées séparément.
Chaque client reçoit :
Le consultant visualise alors :
Pour chaque client :
audit → constat → action → suivi → preuve de clôture → validation → réévaluation.
Le tableau de portefeuille ne remplace pas ce cycle. Il permet de décider quel cycle nécessite une attention immédiate.
Un tableur consolidé avec un onglet par client simplifie temporairement la navigation, mais augmente le risque de diffusion croisée, d’erreur de filtre et d’accès excessif.
La consolidation doit porter sur des indicateurs, pas sur l’ensemble des données sensibles.
Utiliser la même note de priorité pour tous les clients peut être tentant.
Une priorité doit néanmoins tenir compte :
Un statut « en cours » peut masquer une action inactive depuis six mois.
Ajoutez au minimum :
Le déplacement de l’échéance ne doit pas faire disparaître le retard initial.
Conservez les dates et les justifications.
Un dashboard pour le consultant, un autre pour le client, un troisième pour le rapport et un quatrième pour la direction peuvent rapidement diverger.
Ils devraient être produits depuis les mêmes données validées.
L’administrateur du cabinet n’a pas nécessairement besoin de lire tous les détails de toutes les missions.
Les droits doivent être attribués selon les responsabilités réelles, même en interne.
Les actions, preuves et décisions doivent être maintenues entre les audits.
L’audit suivant doit réévaluer la situation, pas reconstruire tout l’historique.
L’effort dépend de la profondeur de l’accompagnement.
Pour cinq à dix clients bénéficiant d’un suivi mensuel, l’organisation indicative suivante peut être utilisée :
| Activité | Cadence indicative |
| Revue portefeuille interne | 30 à 45 minutes par semaine |
| Préparation d’un comité client | 15 à 45 minutes si les données sont à jour |
| Comité mensuel | 45 à 60 minutes par client |
| Mise à jour après comité | 15 à 30 minutes |
| Revue des droits | À chaque changement, puis revue périodique |
| Revue globale du modèle | Une à deux fois par an |
Ces durées ne constituent pas un benchmark officiel. Elles supposent que les données sont centralisées, que les actions sont mises à jour au fil de l’eau et que le rapport n’est pas reconstruit manuellement chaque mois.
Le coût caché apparaît surtout lorsque le consultant doit :
CompliKey permet de structurer plusieurs organisations depuis un espace consultant, tout en conservant des données distinctes pour chaque client.
La plateforme centralise notamment :
Le consultant peut accéder à ses différents clients depuis un environnement commun, sans maintenir un compte ou un fichier principal différent pour chaque mission.
Chaque organisation conserve son propre périmètre et ses propres données.
Les audits permettent de conserver une évaluation à une date donnée, avec :
Les constats peuvent ensuite alimenter le suivi des actions, au lieu d’être uniquement figés dans un rapport.
CompliKey facilite la consultation des clients, de leurs niveaux de maturité, de leurs audits et de leurs actions.
La vue portefeuille doit néanmoins rester synthétique. Elle ne remplace pas le travail de cadrage, d’analyse et de priorisation propre à chaque organisation.
Les rôles disponibles permettent de distinguer les usages d’administration, de contribution, de consultation et d’accompagnement consultant.
La configuration des droits reste une responsabilité à traiter lors de l’onboarding et lors des changements d’intervenants.
CompliKey ne remplace pas :
La plateforme structure les informations de gouvernance et leur suivi.
Elle ne détermine pas automatiquement le niveau de risque, la pertinence d’une preuve ou la priorité réelle d’une remédiation.
Gérer cinq à dix clients GRC ne nécessite pas nécessairement une plateforme enterprise.
Il faut en revanche disposer d’une architecture claire :
La méthode doit être homogène, mais le contexte, les risques et les décisions doivent rester propres à chaque organisation.
La prochaine action consiste à identifier, pour chaque client, la source actuellement utilisée pour les scores, les preuves, les actions et les échéances. Toute information maintenue simultanément dans plusieurs fichiers constitue un candidat prioritaire à la centralisation.
Il n’existe pas de limite universelle. Excel peut rester adapté à dix missions ponctuelles suivies par une seule personne, mais devenir insuffisant avec trois clients en accompagnement mensuel. Les critères déterminants sont le nombre de contributeurs, la fréquence des mises à jour, les droits d’accès, le nombre de référentiels et la nécessité de conserver un historique. Le changement devient pertinent lorsque les informations sont recopiées ou que plusieurs versions coexistent.
Le portefeuille doit distinguer une vue consolidée destinée au consultant et un espace propre à chaque client. La vue consolidée contient les indicateurs de pilotage : dernier audit, prochaines revues, actions ouvertes, retards et statut de mission. Les données détaillées — preuves, constats, risques et rapports — restent dans l’espace client. Cette séparation facilite l’organisation du cabinet sans créer de mélange entre les informations confidentielles des organisations.
Un dashboard multi-client utile affiche au minimum le dernier audit, la prochaine revue, le nombre d’actions ouvertes, les actions en retard, les actions prioritaires et les décisions en attente. Le score de maturité peut compléter ces informations, mais ne doit pas être le seul indicateur. Le dashboard sert à décider où intervenir ; il ne doit pas remplacer le détail des audits et des plans d’action conservés dans chaque espace client.
Chaque action doit avoir un responsable, une échéance, une priorité, un statut et une preuve de clôture. Il est conseillé de conserver l’échéance initiale lorsqu’un report est décidé, puis d’ajouter une échéance révisée et une justification. Les actions prioritaires bloquées doivent être escaladées rapidement. Une action réalisée mais non vérifiée doit rester « à valider » plutôt que d’être clôturée sur une simple déclaration.
Chaque client doit disposer d’un espace, d’utilisateurs, de droits, d’exports et de rapports distincts. Les accès doivent être accordés selon le besoin d’en connaître et supprimés à la fin des missions. Les preuves ne doivent pas être copiées dans un dossier partagé entre clients. La vue portefeuille doit agréger uniquement des indicateurs synthétiques. Les exports et rapports doivent toujours être générés depuis le contexte du client concerné.
Non. Un outil GRC centralise la gouvernance, les évaluations, les preuves référencées, les remédiations et les rapports. Les preuves peuvent rester dans les outils documentaires, techniques ou métiers de l’organisation. Le GRC ne remplace pas non plus un SIEM, un EDR, un scanner de vulnérabilités ou un outil ITSM. Il fournit la couche de pilotage reliant les exigences, les constats, les responsables et les actions.
Regroupez vos organisations, audits, preuves, remédiations et prochaines revues dans un environnement de pilotage commun.
Découvrir comment centraliser un portefeuille de missions dans CompliKey
