Un GRC program manager est responsable de la structure qui maintient ensemble le travail de gouvernance, de risque et de conformité d'une organisation. Plutôt que de réaliser une analyse particulière, ce rôle conçoit et pilote le programme qui relie la politique, le traitement du risque et les obligations réglementaires en un effort cohérent, avec des responsabilités, des calendriers et un reporting clairs. Le poste existe parce que la gouvernance de la sécurité a tendance à se fragmenter entre les équipes et les outils, et quelqu'un doit garder les pièces alignées, en mouvement et visibles pour la direction. C'est un rôle de coordination et de responsabilité, bien plus qu'un rôle d'investigation opérationnelle.
Au quotidien, le travail s'organise autour du respect des engagements. Un program manager tient à jour le catalogue des contrôles et des référentiels que l'organisation suit, planifie et ordonne les évaluations et les audits pour qu'ils n'entrent pas en collision, et suit les actions de remédiation jusqu'à leur clôture. Il traduit les constats de risque et les écarts de conformité en plans priorisés, gère le calendrier des obligations récurrentes telles que les attestations et les revues, et prépare les synthèses qui permettent aux dirigeants et aux conseils d'administration de comprendre où en est le programme. Une grande partie de la valeur réside dans un reporting exact et opportun, car les dirigeants agissent sur la base de l'image que présente le program manager.
Le rôle exige de l'étendue à travers les disciplines GRC plutôt qu'une spécialisation poussée dans une seule. Un program manager a besoin d'une compréhension pratique des référentiels et des réglementations courants, d'une connaissance de la manière dont le risque est évalué et dont les contrôles sont examinés, et des compétences en gestion de projet pour faire avancer le travail au sein d'équipes qui ne lui sont pas rattachées. De bonnes capacités rédactionnelles, une animation posée et le discernement nécessaire pour prioriser des demandes concurrentes comptent autant que les connaissances techniques. Parce que le rôle repose sur l'influence plutôt que sur l'autorité, la capacité à établir la confiance avec les équipes d'ingénierie, juridiques, d'audit et métier est centrale pour être efficace.
On accède couramment à ce rôle après avoir exercé comme analyste des risques, analyste conformité ou auditeur, où l'on apprend la substance du travail avant d'assumer la responsabilité de le coordonner. D'autres y arrivent avec un parcours de gestion de projet ou de programme et développent leur connaissance du domaine sur le terrain, souvent soutenus par des certifications en management de la sécurité ou en audit. Avec l'expérience, un program manager peut évoluer vers la direction de la fonction GRC élargie, vers des rôles tels que responsable des risques ou de la conformité, ou vers la filière de Chief Information Security Officer. Le poste est voisin de celui de l'analyste des risques et de l'analyste conformité, qui produisent les évaluations et les preuves qu'il planifie et sur lesquelles il rapporte, du policy analyst, qui rédige les documents de gouvernance qu'il opérationnalise, et de l'auditeur de sécurité, dont il coordonne les revues et dont il fait aboutir les constats à leur résolution.