Un outil GRC pour consultant doit avant tout permettre de gérer plusieurs clients sans mélanger leurs données, leurs référentiels, leurs preuves et leurs plans d’action. Les fonctions réellement utiles ne sont pas les plus spectaculaires : gestion multi-client, séparation des espaces, audits homogènes, suivi des preuves, actions attribuées, rapports exploitables et vue consolidée du portefeuille. Excel peut suffire au démarrage. Un outil open source convient lorsque le consultant accepte d’administrer sa plateforme. Un GRC enterprise devient pertinent pour des organisations complexes. Un SaaS spécialisé est souvent plus cohérent lorsque l’objectif est d’industrialiser des missions récurrentes sans construire soi-même tout le système.
Un outil GRC pour consultant est une plateforme permettant de structurer, suivre et restituer les activités de gouvernance, de gestion des risques et de conformité de plusieurs organisations distinctes.
Il doit relier au minimum :
client → périmètre → référentiel → mesure → audit → preuve → écart → action → responsable → rapport.
Cette continuité est plus importante que le nombre total de modules affichés sur une page commerciale.
Un logiciel peut disposer d’une analyse de risques avancée, de dizaines d’intégrations et d’un moteur de workflow puissant, tout en restant mal adapté à un consultant si chaque nouveau client nécessite une configuration lourde, une instance supplémentaire ou une licence difficilement répercutable.
Un GRC d’entreprise est généralement conçu pour consolider les risques, les contrôles et les obligations d’un même groupe.
Un outil multi-client doit résoudre un problème différent : permettre à un cabinet, une ESN ou un RSSI externalisé d’intervenir dans plusieurs organisations juridiquement et opérationnellement séparées.
Les deux modèles peuvent proposer des référentiels, des contrôles, des risques et des tableaux de bord. Mais l’architecture attendue n’est pas la même.
| GRC d’entreprise | Outil GRC pour consultant |
| Consolide plusieurs entités d’un même groupe | Sépare plusieurs organisations clientes |
| Gouvernance généralement centralisée | Gouvernance différente pour chaque client |
| Processus homogènes imposés par le groupe | Méthodes communes, adaptées à chaque mission |
| Budget porté par une entreprise | Coût réparti ou absorbé par le consultant |
| Déploiement projet souvent structurant | Onboarding client attendu rapidement |
| Reporting interne | Reporting destiné au client et à sa direction |
Les plateformes enterprise comme ServiceNow mettent en avant un modèle de données unifié, une vision intégrée des risques et de la conformité ainsi que des workflows à l’échelle de l’entreprise. Cette profondeur est pertinente pour les grands programmes, mais elle peut dépasser le besoin d’un consultant qui recherche surtout un cockpit de missions.
Excel n’est pas un mauvais outil par nature.
Il peut rester adapté lorsque :
Le problème apparaît lorsque le tableur devient simultanément :
À ce stade, les difficultés ne viennent plus des formules. Elles viennent de la multiplication des versions, des copies, des droits d’accès, des relances et des rapprochements manuels.
Un consultant peut disposer d’un excellent fichier modèle et perdre malgré tout du temps à déterminer :
Aucune catégorie n’est systématiquement supérieure aux autres.
| Solution | Points forts |
| Excel ou tableur | Flexible, connu, rapide à adapter, faible coût apparent |
| Outil GRC open source | Personnalisation, contrôle du déploiement, réversibilité, coût de licence parfois réduit |
| GRC enterprise | Workflows avancés, intégrations, modèles de données riches, gouvernance à grande échelle |
| SaaS spécialisé consultant | Déploiement rapide, multi-client natif, maintenance externalisée, modèle de mission plus standardisé |
CISO Assistant illustre l’approche open source étendue : la solution propose notamment des référentiels nombreux et personnalisables, la gestion des audits et des preuves, des fonctions de maturité, des remédiations, du RBAC et des déploiements SaaS ou sur site. Cette richesse apporte de la liberté, mais implique aussi de choisir un modèle de déploiement, d’administration et de support adapté à ses capacités.
Du côté des SaaS orientés partenaires, Vanta propose par exemple une console permettant aux prestataires de gérer plusieurs comptes clients. Cette approche est particulièrement cohérente pour les accompagnements centrés sur l’automatisation de la conformité, les environnements cloud et la préparation de certifications.
Le bon choix ne dépend donc pas seulement de la liste des fonctions. Il dépend du type de missions vendues, de la taille des clients, du niveau de personnalisation attendu et du coût de fonctionnement que le consultant est prêt à supporter.
La première fonction à vérifier n’est pas la possibilité de créer plusieurs projets.
Un logiciel GRC multi-client doit permettre au consultant de changer de client depuis une interface centrale, sans reconnecter plusieurs comptes ni maintenir une instance indépendante pour chaque organisation.
Chaque client doit pouvoir posséder :
Demandez au fournisseur de créer deux clients fictifs et d’effectuer les opérations suivantes :
Vous verrez rapidement si le multi-client est natif ou s’il repose simplement sur plusieurs projets rangés dans le même compte.
Le fournisseur parle de « multi-entités » mais ne peut pas démontrer comment empêcher un client de voir les données d’un autre.
La gestion multi-client n’a de valeur que si la séparation est réelle.
Il faut distinguer :
La CNIL recommande de définir des profils d’habilitation en séparant les responsabilités et de limiter l’accès aux seules données nécessaires aux missions de chaque utilisateur. Elle recommande également de revoir régulièrement les habilitations. Ces principes sont directement applicables à un outil manipulant les constats, risques, preuves et plans d’action de plusieurs clients.
La confidentialité entre clients dépend uniquement du nommage des dossiers ou de la vigilance du consultant.
Un consultant ne travaille pas uniquement avec ISO 27001, NIS2 ou le RGPD.
Il doit souvent intégrer :
Un bon outil doit donc permettre de :
La personnalisation ne doit pas casser les mises à jour futures.
Il faut notamment demander :
Toute modification doit être réalisée par l’éditeur ou fait l’objet d’une prestation supplémentaire.
Un outil de conformité déclaratif ne suffit pas pour conduire une mission de conseil.
Le consultant doit pouvoir lancer une évaluation datée, définir son périmètre, examiner des preuves, formaliser des constats et conserver une photographie de la situation à un instant donné.
Le logiciel d’audit cybersécurité doit au minimum prendre en charge :
Le NIST CSF 2.0 distingue notamment le profil actuel et le profil cible. Cette logique permet de décrire la posture observée, de définir les résultats attendus et de prioriser les écarts à traiter. Elle constitue une base utile pour structurer les évaluations et le suivi dans le temps, même lorsque le consultant utilise un autre référentiel principal.
Le niveau de maturité courant est écrasé dès qu’un utilisateur le modifie. Il devient alors impossible de démontrer la progression entre deux audits.
La notation doit permettre à deux consultants d’arriver à des conclusions raisonnablement cohérentes face à une situation comparable.
Pour cela, l’outil doit permettre de formaliser :
Une note sans règle explicite donne une illusion de précision.
| Niveau | Définition |
| 0 | La mesure n’existe pas ou n’a pas pu être démontrée |
| 1 | Une pratique initiale existe, mais reste informelle |
| 2 | La mesure est définie et partiellement déployée |
| 3 | La mesure est appliquée, suivie et revue |
| 4 | La mesure est pilotée, durable et améliorée |
Cette échelle n’est qu’un exemple. Le consultant peut utiliser un modèle différent, à condition de le documenter et de l’appliquer de façon constante.
Le score est calculé automatiquement, mais personne ne peut expliquer pourquoi une mesure obtient 62 % plutôt que 58 %.
Une preuve ne se résume pas à une pièce jointe.
L’outil doit permettre de documenter :
Deux approches sont possibles :
Le choix dépend du niveau de sensibilité, du contrat, de l’hébergement et des habitudes documentaires du client.
L’outil aide-t-il à démontrer que la mesure fonctionne, ou se contente-t-il d’indiquer qu’un document a été ajouté ?
Une politique non approuvée depuis quatre ans, un export incomplet ou une capture sans date ne constituent pas nécessairement des preuves suffisantes.
La plateforme indique qu’une mesure est « conforme » dès qu’un fichier quelconque lui est rattaché.
Un rapport d’audit qui n’alimente pas un plan d’action reste un livrable ponctuel.
Chaque écart doit pouvoir produire une ou plusieurs actions avec :
La CNIL rappelle qu’un plan d’action de sécurité ne doit pas être défini sans responsable ni échéance et que les résultats d’audit doivent alimenter un plan suivi au niveau approprié de l’organisation.
La chaîne suivante doit rester visible :
mesure évaluée → constat → risque → recommandation → action → preuve de clôture.
Le plan d’action est un champ de texte libre dans le rapport PDF et doit ensuite être recréé dans Excel ou dans un outil de tickets.
Le consultant doit rarement produire un seul rapport.
Selon la mission, il peut avoir besoin de :
La personnalisation utile porte sur :
Elle ne doit pas conduire à masquer les limites de l’audit ou à modifier arbitrairement les résultats.
Le « rapport personnalisable » correspond uniquement au téléchargement d’un CSV que le consultant doit ensuite remettre en forme manuellement.
De nombreux consultants souhaitent transformer un audit ponctuel en accompagnement récurrent.
L’outil doit alors faciliter la préparation des revues :
Le suivi mensuel ne signifie pas nécessairement réauditer tout le référentiel.
Il s’agit plutôt de maintenir la continuité entre deux évaluations.
| Indicateur | Lecture attendue |
| Actions ouvertes | Charge de remédiation restante |
| Actions en retard | Blocages ou absence de pilotage |
| Preuves expirées | Mesures dont la démonstration doit être renouvelée |
| Nouveaux écarts | Dégradation ou extension du périmètre |
| Évolution du score | Progression à méthode constante |
| Décisions attendues | Arbitrages nécessaires de la direction |
Le tableau de bord présente uniquement le score actuel, sans historique ni date d’évaluation.
Le consultant ne doit pas découvrir ses priorités client par client.
Une vue portefeuille utile peut afficher :
Cette vue ne doit pas exposer les détails sensibles de chaque client à tous les utilisateurs du cabinet.
Elle sert à organiser le travail du consultant, pas à comparer publiquement les clients entre eux.
La vue consolidée consiste uniquement en une liste de comptes, sans indicateur permettant de prioriser les interventions.
Un cabinet peut faire intervenir :
L’outil doit donc permettre de distinguer au minimum :
La collaboration doit également laisser des traces :
Tous les consultants disposent des mêmes droits sur tous les clients.
Le prix facial ne suffit pas pour comparer deux outils.
Le coût réel doit intégrer :
| Modèle | Avantage |
| Par utilisateur | Simple pour une petite équipe |
| Par client | Prévisible pour le consultant |
| Par périmètre | Adapté aux missions structurées |
| Par module | Paiement selon les besoins |
| Licence globale | Liberté d’usage |
| Hébergement open source | Peu ou pas de licence |
Le bon modèle est celui que le consultant peut intégrer à son offre sans devoir renégocier son outil à chaque nouveau client.
Que se passe-t-il lorsqu’un client est archivé, suspendu ou remplacé par un nouveau client ?
Cette question révèle souvent des coûts cachés.
La grille suivante permet de comparer plusieurs solutions sur une base commune.
Attribuez à chaque critère une note :
| Critère | Pondération |
| Gestion multi-client | 12% |
| Séparation des espaces | 12% |
| Référentiels personnalisables | 8% |
| Audits de maturité | 9% |
| Notation homogène | 8% |
| Gestion des preuves | 8% |
| Plans d’action | 10% |
| Rapports | 8% |
| Suivi mensuel | 6% |
| Vue portefeuille | 7% |
| Droits et collaboration | 6% |
| Tarification | 6% |
| Total | 100% |
Pour chaque ligne :
score pondéré = note obtenue ÷ 3 × pondération.
Une solution peut donc obtenir une excellente note globale tout en restant éliminée si elle échoue sur un critère critique.
Pour un consultant multi-client, les critères suivants devraient être considérés comme non négociables :
Une intelligence artificielle générative, des intégrations nombreuses ou un tableau de bord particulièrement visuel ne compensent pas une séparation insuffisante des données.
Prenons un RSSI externalisé accompagnant six PME.
Les clients n’ont pas tous les mêmes besoins :
Le consultant maintient pour chaque client :
Le principal risque n’est pas nécessairement la perte du fichier.
C’est la désynchronisation entre ces éléments.
Une action peut être clôturée dans le plan, mais rester ouverte dans le rapport. Une preuve peut être remplacée dans le dossier sans que sa date de revue soit mise à jour. Un score peut changer sans que le constat d’origine soit conservé.
Le consultant utilise une méthode commune, tout en conservant un espace propre à chaque organisation.
Pour chaque client, il peut :
La vue portefeuille lui permet ensuite de repérer que :
Le gain principal n’est pas seulement de produire les documents plus vite. Il est de conserver une information cohérente entre les missions, les rapports et les revues.
Un consultant réalisant principalement des audits de maturité et des accompagnements mensuels n’a pas nécessairement besoin d’un module avancé de risque quantitatif, de gestion de continuité, de TPRM et de conformité automatique du cloud.
Chaque module supplémentaire augmente potentiellement :
La couverture fonctionnelle doit rester proportionnée aux missions réellement vendues.
Une architecture multi-entités peut être conçue pour consolider les filiales d’un même groupe.
Elle n’offre pas nécessairement :
Il faut demander une démonstration sur un cas consultant, pas seulement sur un organigramme de groupe.
Les intégrations avec Azure, AWS, Microsoft 365, GitHub ou les outils RH peuvent être très utiles pour collecter certaines preuves.
Elles ne répondent toutefois pas seules aux besoins de gouvernance :
Le choix doit distinguer l’automatisation de la collecte technique du pilotage de la mission GRC.
Une édition communautaire sans coût de licence ne signifie pas un coût nul.
Il faut prévoir :
L’open source peut être un excellent choix, à condition de considérer l’exploitation comme une responsabilité à part entière.
Un beau rapport PDF peut masquer un suivi quotidien limité.
Pendant l’essai, il faut tester le cycle complet :
audit → constat → action → relance → preuve → validation → nouvel audit.
Avant de souscrire, le consultant doit vérifier :
Il n’existe pas de gain de temps universel applicable à tous les cabinets.
Le calcul doit partir des tâches réellement réalisées.
Coût annuel actuel = temps mensuel de gestion × nombre de clients × 12 × coût horaire interne.
Ajoutez ensuite :
Un consultant suit six clients et consacre en moyenne trois heures par mois et par client à la consolidation des tableaux, preuves, actions et supports.
Cela représente :
Si un outil réduisait cette charge de 30 %, l’économie théorique serait d’environ huit journées par an.
Cette simulation n’est ni une promesse de gain ni un benchmark. Elle montre simplement comment comparer le coût d’un outil à la charge administrative réellement observée.
Le retour sur investissement ne devrait pas être mesuré uniquement par les heures économisées.
Il peut également inclure :
CompliKey est positionné comme un outil de gouvernance cybersécurité destiné notamment aux consultants, RSSI externalisés, PME et ETI.
Son espace consultant permet de gérer plusieurs organisations depuis une interface commune. Chaque client dispose de son espace, de ses périmètres, de ses référentiels et de ses actions. La plateforme propose également plusieurs rôles et des accès adaptés aux utilisateurs consultants et clients.
| Critère | Couverture CompliKey | Précision |
| Gestion multi-client | Disponible | Comptes clients accessibles depuis l’espace consultant |
| Séparation des espaces | Disponible | Espaces et droits distincts par organisation |
| Référentiels personnalisables | Partielle | Référentiels intégrés disponibles ; création et partage avancés de référentiels consultants à renforcer |
| Audits de maturité | Disponible | Audit interne mesure par mesure, scores, constats et remédiations |
| Notation homogène | Disponible | Méthode de notation commune et évaluations datées |
| Gestion des preuves | Disponible | Référencement des preuves par liens et métadonnées, sans stockage des documents sensibles |
| Plans d’action | Disponible | Tâches, remédiations, responsables et suivi associés aux mesures |
| Rapports personnalisables | Partielle | Rapports homogènes disponibles ; personnalisation avancée et reporting dynamique encore perfectibles |
| Suivi mensuel | Disponible, avec limites | Historique, actions et tableaux de bord exploitables ; automatisation des restitutions périodiques à renforcer |
| Vue portefeuille | Disponible, à enrichir | Vision consolidée des clients ; vue opérationnelle détaillée du portefeuille en cours d’amélioration |
| Droits et collaboration | Disponible | Rôles administrateur, contributeur, lecteur et consultant |
| Tarification adaptée | Disponible | Formules Consultant Solo et Consultant Pro prévues respectivement pour trois et six clients, avec plusieurs utilisateurs selon l’offre (CompliKey) |
CompliKey centralise les référentiels, la maturité, les audits, les preuves, les écarts, les actions et les restitutions. Son positionnement est plus ciblé qu’un GRC enterprise : l’objectif est de rendre les missions de gouvernance plus structurées et plus faciles à suivre pour des PME et leurs consultants.
CompliKey est particulièrement adapté lorsque le consultant souhaite :
Une autre solution peut être préférable lorsque le besoin prioritaire porte sur :
CompliKey ne remplace pas un SIEM, un EDR, un scanner de vulnérabilités, un outil de ticketing généraliste ou une méthode complète d’analyse de risques.
Il ne réalise pas non plus automatiquement le travail du consultant. Il fournit le cadre permettant de structurer ce travail, d’éviter les ruptures entre audits et plans d’action et de maintenir une lecture cohérente dans le temps.
Le meilleur outil GRC pour consultant n’est pas celui qui possède la liste de fonctions la plus longue.
Il est celui qui permet de :
Excel reste pertinent pour les missions simples. L’open source apporte de la maîtrise et de la personnalisation, au prix d’une exploitation à assumer. Les GRC enterprise répondent aux programmes complexes. Les SaaS spécialisés sont souvent plus adaptés aux consultants cherchant à industrialiser leurs missions sans transformer l’outil en projet informatique.
La prochaine étape n’est pas de demander une démonstration générale. Elle consiste à tester chaque solution avec deux clients fictifs, un audit, une preuve, un plan d’action, deux profils utilisateurs et un rapport.
Il n’existe pas de meilleur outil universel. Le choix dépend du nombre de clients, du type de missions, des référentiels utilisés, du niveau de personnalisation et des capacités techniques du cabinet. Un consultant réalisant des audits de maturité auprès de PME privilégiera souvent un SaaS multi-client. Un cabinet capable d’administrer une plateforme pourra préférer l’open source. Un grand programme international pourra justifier un GRC enterprise.
Excel peut suffire tant que les missions restent limitées, que peu de personnes modifient les données et que le suivi demeure ponctuel. Il devient moins adapté lorsque plusieurs versions circulent, que les clients accèdent aux informations, que les audits se répètent ou que les preuves et actions doivent être historisées. Le passage à un outil dédié est surtout justifié par la complexité de coordination, pas par un nombre précis de clients.
Le multi-entités organise plusieurs filiales, sites ou départements appartenant généralement à une même organisation. Le multi-client doit isoler des entreprises distinctes, avec leurs utilisateurs, leurs données, leurs contrats, leurs exports et leurs administrateurs. Pour un consultant, une simple arborescence d’entités ne suffit donc pas. Il faut vérifier la séparation des droits, des rapports, des preuves et des espaces de travail.
L’open source est pertinent lorsque le consultant veut maîtriser le déploiement, adapter fortement la solution et dispose des compétences nécessaires pour l’hébergement, la sécurité, les mises à jour et les sauvegardes. Le SaaS réduit cette charge et permet généralement un démarrage plus rapide. En contrepartie, il faut examiner la réversibilité, l’hébergement, la tarification, la personnalisation et la dépendance vis-à-vis de l’éditeur.
Pas nécessairement. Certaines plateformes stockent les documents, tandis que d’autres référencent les preuves conservées dans les espaces documentaires du client. Le stockage central facilite l’audit, mais augmente la quantité de données sensibles hébergées. Le référencement par lien limite cette centralisation, mais dépend de la pérennité des accès. Dans les deux cas, les droits, la fraîcheur, le propriétaire et la portée de la preuve doivent être documentés.
Non. L’outil peut structurer les référentiels, les évaluations, les preuves, les actions et les rapports. Il ne peut pas déterminer seul le contexte réel du client, apprécier la qualité d’une preuve, arbitrer un risque ou adapter une recommandation aux contraintes de l’organisation. La valeur du consultant reste dans le cadrage, l’analyse, la qualification des écarts, la priorisation et l’accompagnement des décisions.
Testez la gestion de deux clients, la réalisation d’un audit, le rattachement des preuves, la création des actions et la production d’une restitution.
Comparer ces 12 critères avec l’espace consultant CompliKey
