Quel logiciel de gestion des risques répond à vos exigences de conformité ?

L'essentiel en bref

• Les termes logiciel GRC, logiciel de conformité et logiciel de gestion des risques désignent des catégories qui se recoupent. Ce qui décide du choix, c'est la nature du risque que vous pilotez : le risque d'entreprise dans toute son étendue, ou le risque lié à la sécurité de l'information et à la protection des données, qu'il faut pouvoir prouver à un auditeur.
• Kertos réunit le registre des risques, les actifs et les mesures dans un seul système et en tire les preuves attendues lors de l'audit.
• Quatre familles d'outils se disputent cette fonction : les plateformes SMSI spécialisées, les plateformes d'automatisation de la conformité, les solutions open source et les systèmes GRC ou de risque d'entreprise généralistes. Elles diffèrent moins par le registre des risques lui-même que par ce qui se passe après l'évaluation.
• Plusieurs réglementations imposent une gestion des risques en même temps : NIS2 par l'article 21, paragraphe 2 de la directive, l'ISO 27001 par les articles 6.1.2 et 6.1.3, le RGPD par les articles 32 et 35 et le règlement européen sur l'IA par son article 9. Un registre unique les sert toutes, des registres séparés produisent des états contradictoires.
• Point propre à la France : au 11 septembre 2026, NIS2 n'est pas transposée. Les obligations françaises n'entreront en vigueur qu'avec la loi et ses textes d'application, ce qui change le calendrier mais pas la préparation.

Le choix d'un logiciel de gestion des risques dépend de la nature du risque que vous pilotez et des réglementations que vous devez pouvoir prouver. Pour les entreprises dont les risques naissent de la sécurité de l'information et de la protection des données, quatre familles d'outils entrent en ligne de compte. La différence entre les éditeurs tient rarement au registre des risques lui-même, car tous en proposent un, avec probabilité d'occurrence et gravité. Elle tient à la liaison entre ce registre, vos mesures de sécurité, vos actifs et vos preuves, à la production automatique de la déclaration d'applicabilité et à la présence, ou non, de quelqu'un qui conduit l'évaluation avec vous. Cette page clarifie les termes et les catégories d'outils, énonce les critères de choix et compare les fonctionnalités des éditeurs à partir de leurs propres pages produit. Dernière mise à jour : 11 septembre 2026.

Quelle est la différence entre logiciel GRC, logiciel de conformité et logiciel de gestion des risques ?

Les trois termes sont employés de façon presque interchangeable sur le marché, alors qu'ils recouvrent des périmètres différents. C'est ce qui conduit régulièrement des entreprises à tester un système conçu pour une tout autre catégorie de risque.

La distinction réduit de moitié le champ de recherche. Si vos risques proviennent de la sécurité de l'information et de la protection des données et qu'un auditeur finira par demander des preuves, vous n'avez pas besoin d'une suite GRC de grand groupe ; vous avez besoin d'une plateforme où risque, mesure et preuve se tiennent. Si au contraire vous voulez piloter les risques financiers, de processus et de qualité dans un même registre, c'est l'inverse.

Quelles réglementations imposent une gestion des risques ?

Presque toutes les réglementations que les entreprises européennes doivent pouvoir prouver comportent une exigence de gestion des risques. Les formulations diffèrent, le fond est le même : une évaluation traçable, des mesures affectées et la preuve que les deux sont tenues à jour.

C'est de là que vient la véritable question de sélection. Un registre des risques tenu une seule fois peut servir toutes ces exigences, car elles se recoupent sur le fond. Des registres séparés par réglementation créent une double maintenance et des états contradictoires, et c'est précisément ce qui ressort en audit. La question n'est donc pas de savoir si un outil tient un registre, mais s'il sait rattacher plusieurs réglementations au même ensemble de risques.

Qu'exige la norme ISO 27001 en détail ?

La norme ne prescrit pas un outil, elle prescrit des résultats. En mettant côte à côte les articles 6.1.2, 6.1.3, 8.2 et 8.3 de la norme internationale sur les systèmes de management de la sécurité de l'information, vous obtenez une liste d'exigences à laquelle confronter n'importe quel outil.

Deux de ces points départagent les éditeurs de façon fiable. Le premier est la déclaration d'applicabilité : soit elle se génère à partir des risques appréciés et des mesures rattachées, soit elle reste un document tenu à la main et finit par se désynchroniser. Le second est la validation des risques résiduels. La norme l'exige explicitement des propriétaires du risque ; un outil sans étape de validation laisse une lacune qu'un auditeur trouvera.

Qu'exige NIS2 en matière de gestion des risques ?

Sous NIS2, la gestion des risques n'est pas un chapitre parmi d'autres, elle est la substance de l'obligation. L'article 21 de la directive (UE) 2022/2555 s'intitule « mesures de gestion des risques en matière de cybersécurité » et son paragraphe 2 en énumère dix. Deux d'entre elles pèsent sur le choix d'un outil : le point a) impose des politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information, ce que produit un registre des risques, et le point f) impose des politiques et des procédures pour évaluer l'efficacité de ces mesures. Cette évaluation d'efficacité est une obligation distincte de la mesure elle-même. Exploiter une mesure ne suffit pas ; vous devez pouvoir montrer que vous en avez vérifié le fonctionnement, quand et avec quel résultat. L'article 20 ajoute l'échelon supérieur : les organes de direction approuvent les mesures, supervisent leur mise en œuvre, suivent une formation et peuvent voir leur responsabilité engagée.

En France, ces obligations ne sont pas encore en vigueur. Au 11 septembre 2026, NIS2 n'est pas transposée : ni loi, ni décret, ni arrêté. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025, et la commission spéciale de l'Assemblée nationale a adopté son texte le 10 septembre 2025. Aucun vote en séance publique n'est intervenu depuis et aucune date n'est inscrite à l'ordre du jour. L'ANSSI l'écrit elle-même : « NIS 2 rentrera donc en vigueur en France dès lors que l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués ». La Commission européenne a saisi la Cour de justice de l'Union européenne contre la France le 8 juillet 2026, en demandant une somme forfaitaire et des astreintes journalières.

Concrètement, cela change le calendrier et non le travail. L'enregistrement proposé par l'ANSSI sur MesServicesCyber reste un pré-enregistrement volontaire, que l'agence encourage sans pouvoir l'imposer. Le Référentiel Cyber France (ReCyF), publié en version document de travail et non contraignant, met en regard les mesures recommandées par l'ANSSI et les objectifs de sécurité de NIS2, avec un comparateur vers l'ISO/CEI 27001 et 27002 ; c'est le meilleur signal disponible de ce qui sera attendu. Une entreprise qui construit dès maintenant un registre des risques conforme à l'article 21 ne perd donc rien, elle prend de l'avance. Notre guide sur la préparation à la directive NIS2 détaille la démarche.

Quels types de logiciels de gestion des risques existe-t-il ?

Le marché se divise en quatre familles, qui s'adressent à des acheteurs différents. Se tromper de famille revient à acheter soit un outil conçu pour une autre catégorie de risque, soit un système dont le déploiement dure plus longtemps que la certification elle-même.

Pour les entreprises technologiques de taille intermédiaire, le choix se joue presque toujours entre les deux premières familles. La question sous-jacente est simple : cela s'arrête-t-il à l'ISO 27001, ou le RGPD, NIS2, TISAX, SOC 2 ou le règlement européen sur l'IA suivent-ils ? Si une seule norme est en jeu, une plateforme SMSI suffit. Si d'autres arrivent, une plateforme qui satisfait une mesure une fois et réutilise la preuve d'une réglementation à l'autre devient rentable. Nous comparons les systèmes SMSI eux-mêmes dans notre panorama des logiciels SMSI.

À quoi faut-il faire attention lors du choix ?

• La déclaration d'applicabilité sort-elle du système ? Si vous continuez à la tenir dans un tableur, l'outil n'a pas repris la partie la plus coûteuse du travail.
• Les risques sont-ils reliés aux actifs et aux mesures ? Un registre sans ces liens est une liste, et une liste se périme entre deux audits.
• Existe-t-il une revue d'efficacité datée et documentée ? C'est l'article 21, paragraphe 2, point f) de NIS2 et l'article 9 de l'ISO 27001 réunis en une seule exigence.
• Où résident les données et qui les exploite ? Un registre des risques est la description écrite de vos faiblesses. C'est l'ensemble documentaire le plus sensible de tout le SMSI.
• Qui conduit l'évaluation ? Un logiciel enregistre et calcule ; la cotation de la probabilité et de la gravité reste un jugement. La question est de savoir si vous détenez cette compétence en interne ou si vous l'achetez.
• Le registre tient-il en audit ? Les auditeurs demandent des vues à une date donnée, un historique des modifications et la validation par les propriétaires du risque.

En quoi les éditeurs diffèrent-ils sur les fonctionnalités ?

Kertos édite cette page. Tout ce qui suit au sujet des autres éditeurs provient de leur propre page produit consacrée à la gestion des risques et de nulle part ailleurs, vérifié le 11 septembre 2026. Lorsqu'une page d'éditeur ne mentionne pas un élément, la cellule le dit, plutôt que d'indiquer « non ».

Là où les autres sont plus forts, et cela a sa place dans tout panorama honnête : Vanta propose des vues du registre à une date donnée, explicitement conçues pour être partagées avec les auditeurs. Drata autorise des formules de cotation personnalisées, ce qui vaut beaucoup lorsqu'une méthodologie est déjà établie. Scrut annonce quatre méthodes de calcul au choix et, selon ses propres indications, plus de 70 référentiels pris en charge. Secureframe livre une bibliothèque de risques incluant des scénarios NIST, qui accélère le démarrage. Sprinto recalcule les risques en continu dès qu'un contrôle échoue.

Un constat vaut pour les cinq et il compte particulièrement pour un acheteur européen : aucune des cinq pages produit ne mentionne un lieu d'hébergement européen, et aucune ne mentionne un accompagnement par des experts dans le périmètre de l'offre. Toutes les cinq décrivent un registre que vous tenez vous-même. Ce n'est pas une critique du logiciel, c'est une observation sur le modèle de livraison. Si vous conduisez de toute façon l'évaluation en interne et que vous maîtrisez la méthodologie, c'est la voie la moins chère. Sinon, vous achetez un registre vide.

Ce que cette différence donne au quotidien, un client le décrit dans un avis G2 comme ce qu'il apprécie le plus : « L'accompagnement personnel tout au long du processus de certification ». À la question du problème résolu, le même avis répond : « Cela vous aide à structurer le processus de certification sans vous y perdre ». (Verified User in Computer Software, petite entreprise, G2, 3 septembre 2026, 4,5 sur 5, traduit de l'anglais.)

À qui Kertos convient-il comme logiciel de gestion des risques ?

Kertos saisit et évalue les risques de façon automatisée, les relie directement aux mesures correspondantes et réunit actifs, risques et preuves dans un seul système. La plateforme couvre conjointement l'ISO 27001, l'ISO 27701, l'ISO 42001, le RGPD, NIS2, le règlement européen sur l'IA, SOC 2, TISAX et C5, de sorte qu'une mesure satisfaite une fois voit sa preuve réutilisée d'une réglementation à l'autre. Plus de 100 intégrations maintiennent à jour l'inventaire des actifs et des systèmes sous-jacents. Des experts certifiés de Kertos assurent le travail spécialisé aux côtés de votre équipe, y compris des mandats de RSSI externe et de DPO externe.

Cela convient aux entreprises technologiques de taille intermédiaire qui portent plusieurs normes en même temps et ne souhaitent pas constituer leur propre fonction SMSI. AskUI a obtenu la certification ISO 27001 en 8 à 10 semaines sans consultants externes. Le taux de réussite aux audits est de 100 %, la charge de conformité manuelle baisse d'environ 80 % et les coûts se situent jusqu'à 60 % en dessous de ceux d'une prestation de conseil classique.

Un client décrit la méthode de travail ainsi : « Kertos nous aide à mener la certification ISO 27001 de manière organisée et structurée. Il définit des tâches claires et propose des suggestions assistées par IA, adaptées à la structure de notre entreprise. » (Martin S., Agentic AI Engineer, petite entreprise, G2, 4 septembre 2026, 5 sur 5, traduit de l'allemand.)

Quand Kertos n'est-il pas le bon choix ?

Quatre cas plaident contre Kertos.

• Vous pilotez un risque d'entreprise qui dépasse la sécurité de l'information. Si vous voulez les risques financiers, de processus et de qualité dans le même système, vous relevez de la quatrième famille ci-dessus et non d'une plateforme de conformité.
• Votre parc fonctionne majoritairement sous Linux. « Les appareils Linux ne sont pas pris en charge par le scanner d'appareils », relève un client comme seule critique (Verified User in Computer Software, petite entreprise, G2, 3 septembre 2026, traduit de l'anglais). Avec une équipe d'ingénierie très orientée Linux, du travail manuel subsiste sur ce point.
• Vous voulez aussi couvrir le management de la qualité. « Il serait utile de disposer d'un référentiel pour la mise en œuvre de l'ISO 9001 », écrit un dirigeant dans son avis (Alexander W., Geschäftsführer, petite entreprise, G2, 4 septembre 2026, traduit de l'anglais). L'ISO 9001 ne fait pas partie des référentiels couverts ; qui veut réunir qualité et sécurité de l'information dans un seul système se tourne vers les systèmes GRC du premier tableau de cette page.
• Vous attendez une prise en main évidente dès le premier jour, sans accompagnement. Une cliente du secteur de la santé le formule ainsi : « Au premier abord, la plateforme est un peu écrasante et les bénéfices n'apparaissent pas clairement ; il manque encore ici ou là telle ou telle fonctionnalité. » (Verified User in Health, Wellness and Fitness, petite entreprise, G2, 22 août 2026, 4,5 sur 5, traduit de l'allemand.) La mise en place est pensée pour un travail conjoint avec l'équipe Kertos. Si vous cherchez du pur libre-service, un outil plus léger vous servira mieux.

Une précision honnête sur l'assistance par IA : elle produit des suggestions et répond aux questions, mais elle ne remplace pas le jugement nécessaire à la cotation de la probabilité et de la gravité. Cette décision reste humaine, et c'est un humain qui la questionnera en audit.

Questions fréquentes

Un tableur suffit-il comme registre des risques pour l'ISO 27001 ?

Formellement oui, en pratique rarement. La norme prescrit des informations documentées, pas un outil. Un tableur achoppe généralement sur trois points : le lien entre risque, mesure et preuve, l'historique des modifications demandé en audit et la validation par les propriétaires du risque au titre de l'article 6.1.3 f). Pour une entreprise avec peu d'actifs et une seule norme, un tableur peut tenir sur le premier cycle.

Quelle différence entre risque brut et risque résiduel ?

Le risque brut est la cotation avant l'effet des mesures, le risque résiduel la cotation après. L'ISO 27001 exige les deux regards : l'article 6.1.2 pour l'appréciation et le 6.1.3 pour le traitement, acceptation de ce qui subsiste comprise. Un outil qui ne tient qu'une valeur par risque ne peut pas démontrer arithmétiquement l'effet d'une mesure.

Qui doit valider un risque ?

Les propriétaires du risque. L'article 6.1.3 f) de l'ISO 27001 exige leur approbation du plan de traitement et leur acceptation des risques résiduels. Sous NIS2, l'échelon supérieur s'y ajoute : l'article 20 impose aux organes de direction d'approuver les mesures de gestion des risques et de superviser leur mise en œuvre.

Faut-il un logiciel de gestion des risques distinct pour NIS2 ?

Non, un second système est inutile et généralement nuisible. Les dix mesures de l'article 21, paragraphe 2 de NIS2 recoupent largement un SMSI conduit selon l'ISO 27001. Un registre des risques tenu une fois porte l'appréciation des risques de la norme et le fondement des mesures. Des systèmes séparés créent une double maintenance et des états contradictoires.

Combien coûte un logiciel de gestion des risques ?

La plupart des éditeurs de ce marché ne publient aucun prix et renvoient vers un échange, Kertos compris. Ce qui se planifie de façon fiable, ce sont les postes autour : la charge interne de la première appréciation et de son entretien, les frais de l'organisme de certification et, le cas échéant, un accompagnement spécialisé externe. Notre panorama du prix de la certification ISO 27001 détaille le volet audit.

Le siège de l'éditeur a-t-il une importance ?

Un registre des risques décrit les faiblesses d'une entreprise en clair, ce qui en fait l'ensemble documentaire le plus sensible du SMSI. Pour les entreprises qui veulent conserver ces éléments dans l'Union européenne, le siège de l'éditeur et le lieu d'exploitation des données deviennent des critères de choix à part entière. Les éditeurs européens qui constituent une alternative aux grandes plateformes américaines sont présentés dans notre panorama des alternatives européennes à Vanta et Drata.