GRC signifie gouvernance, risque et conformité, et en tant que parcours de carrière, c'est la discipline qui donne à un programme de sécurité sa structure, ses priorités et sa responsabilité. La gouvernance définit les politiques, les normes et les droits de décision qui déterminent comment une organisation entend que la sécurité soit gérée. Le risque est la pratique qui consiste à identifier ce qui pourrait mal se passer, à juger de sa probabilité et de sa gravité, et à aider les dirigeants à décider ce qu'il faut traiter, accepter ou transférer. La conformité est le travail qui consiste à satisfaire aux obligations issues des réglementations, des contrats et des référentiels reconnus, et à pouvoir démontrer que l'organisation les respecte. Là où de nombreux rôles de sécurité défendent directement les systèmes, le GRC façonne l'environnement dans lequel cette défense s'exerce.
Au quotidien, un praticien GRC rédige et maintient les politiques de sécurité, met en correspondance les contrôles de l'organisation avec des référentiels tels que l'ISO 27001, le NIST Cybersecurity Framework ou le SOC 2, et tient à jour un registre des risques qui reflète l'état actuel de l'entreprise. Une grande partie du travail se fait par le dialogue : interroger les responsables de contrôles, rassembler des preuves pour un audit, relancer la remédiation des constats et traduire des faiblesses techniques en risque métier qu'un dirigeant peut évaluer. Un analyste GRC coordonne souvent les audits et les évaluations externes, examine la posture de sécurité des prestataires tiers et prépare les rapports attendus par les conseils d'administration et les régulateurs. Le résultat est rarement un correctif appliqué à un serveur ; c'est une décision prise, un écart documenté ou une obligation satisfaite.
Le rôle exige un mélange particulier de bagage et de compétences. Une bonne connaissance pratique des contrôles de sécurité et des technologies courantes compte, car un praticien doit comprendre ce que fait un contrôle avant de juger s'il est adéquat, mais les forces déterminantes sont l'analyse et la communication. Une rédaction soignée, le souci du détail, l'aisance avec les référentiels et le langage réglementaire, ainsi que la patience de bâtir un consensus entre les départements sont essentiels. Un bon sens de la proportion est également indispensable, car l'objectif du travail sur le risque est de concentrer les efforts là où ils réduisent une exposition réelle, plutôt que de poursuivre la conformité pour elle-même. Des capacités de gestion de projet aident, car les audits et les évaluations se déroulent selon des échéances fixes avec de nombreux contributeurs.
On entre dans le GRC par plusieurs voies. Certains viennent des fonctions d'audit, juridiques ou de conformité et apprennent le volet sécurité ; d'autres passent par des opérations de sécurité concrètes ou l'administration système et apportent une profondeur technique au travail sur les politiques ; d'autres encore débutent dans un poste junior d'analyste GRC dès la sortie des études. L'évolution tend à passer d'analyste à analyste senior, puis à des rôles tels que risk manager, responsable de la conformité ou responsable de programme GRC, et de là vers la responsabilité d'un programme ou des postes de direction comme celui de responsable de la sécurité des systèmes d'information (RSSI), où la gouvernance et le risque constituent une large part du mandat. Des certifications pertinentes accompagnent souvent cette progression, avec des titres tels que CISA, CRISC, CISM et le CISSP, couramment reconnus.
Le GRC se situe à proximité de plusieurs spécialisations voisines sans pour autant les reproduire. Il dépend de l'architecture de sécurité pour savoir quels contrôles sont réalisables et solides, et il s'appuie sur des domaines comme la sécurité du cloud, l'IAM et la sécurité défensive pour mettre en œuvre et exploiter les contrôles que définit la gouvernance. Il recoupe surtout la protection de la vie privée et des données, qui applique des méthodes de gouvernance et de risque similaires, mais spécifiquement aux données personnelles et à leur régime juridique. La distinction tient à l'objet : le GRC adopte une vue d'ensemble du programme, de la façon dont la sécurité est dirigée, mesurée et tenue responsable, laissant l'exécution de la défense technique aux spécialistes avec lesquels il se coordonne.