Les métiers de la gouvernance, du risque et de la conformité relient un programme de sécurité aux décisions, aux obligations et à la tolérance au risque de l'organisation dans son ensemble. Là où les métiers techniques se concentrent sur la configuration et la défense des systèmes, les métiers de la GRC s'attachent aux questions qui se situent au-dessus de la technologie : ce que l'organisation est tenue de faire, ce qu'elle a choisi de faire, le niveau de risque qu'elle est prête à accepter, et si les contrôles qu'elle affiche fonctionnent réellement comme décrit. Le travail est rigoureux, fondé sur des preuves et étroitement lié aux attentes métier et juridiques.
Bien que ces métiers partagent un vocabulaire commun fait de référentiels, de contrôles et de risque, ils diffèrent par leurs priorités et leurs activités quotidiennes. Certains se concentrent sur l'analyse et la priorisation de l'exposition, d'autres sur l'interprétation des exigences externes, et d'autres encore sur la coordination de programmes entre de nombreuses équipes. Les pages situées sous cette section décrivent chaque métier tour à tour, en précisant ses responsabilités habituelles, les compétences qu'il mobilise et la façon dont il s'articule avec les activités de sécurité opérationnelle et offensive.
L'analyste des risques identifie, évalue et priorise les risques auxquels une organisation est confrontée, aidant les dirigeants à décider où investir et quoi accepter. L'analyste conformité suit les obligations issues des réglementations, des contrats et des normes, puis s'emploie à démontrer que l'organisation les respecte. L'analyste des politiques élabore et maintient les politiques et normes internes qui traduisent ces obligations et ces décisions de risque en attentes claires pour le personnel.
Deux autres métiers sont centrés sur la vérification et la coordination. L'auditeur de sécurité examine de manière indépendante si les contrôles existent et fonctionnent comme prévu, produisant des constats objectifs qui éclairent à la fois la direction et les parties prenantes externes. Le responsable de programme GRC organise ces activités en un programme cohérent, en alignant les calendriers, les responsables et le reporting afin que les efforts de gouvernance, de risque et de conformité se renforcent mutuellement plutôt que de fonctionner en silos.
Les carrières dans ce domaine suivent rarement une voie unique. De nombreux praticiens évoluent au fil du temps entre l'analyse, les politiques, l'audit et la gestion de programme, et les frontières entre ces métiers varient d'une organisation à l'autre. Lire les pages individuelles en parallèle de cet aperçu aide un professionnel à voir où se situent ses centres d'intérêt et comment les métiers se relient au programme de sécurité dans son ensemble.