Domaine de recherche · La GRC comme discipline d'ingénierie Agentic
Agentic GRC Engineering : la conformité en données, des agents avec garde-fous
Les référentiels sont publiés sous forme de documents, les mappings sont établis à la main et les mêmes exigences sont mises en œuvre plusieurs fois. Vami Research étudie comment la GRC devient une discipline d'ingénierie : avec des frameworks sous forme de données OSCAL lisibles par machine, un graphe commun aux systèmes de management et des agents IA qui prennent en charge les tâches de routine selon des règles de validation définies – sources à l'appui et avec une trace vérifiable.
- OSCAL
- Frameworks as Code
- Graphe GRC
- Système de management intégré
- Niveaux d'autonomie L0–L3
- ISO/IEC 42001
- Trust Center
- Deep Dives
- 15
- Livres blancs
- 1
- Solutions
- 2
De la conformité en PDF à un paysage de contrôles interrogeable
NIS2, DORA, le CRA et l'AI Act n'exigent pas de mesures ponctuelles isolées, mais des structures durables de gouvernance, de gestion des risques et de pilotage. Or chaque référentiel a son propre format et son propre schéma de numérotation, et chaque nouvelle version relance le travail de mapping depuis le début. Qui construit en parallèle SMSI, protection des données, gouvernance de l'IA et continuité d'activité décrit les processus, collecte les preuves et répond aux questions d'audit plusieurs fois.
Les briques existent. OSCAL fait des contrôles des données adressables et comporte, depuis la version 1.2.0 de décembre 2025, un modèle dédié aux mappings entre frameworks. Le BSI met à disposition sa bibliothèque de l'état de l'art sur une base OSCAL depuis le 29 septembre 2025. La Harmonized Structure donne à ISO/IEC 27001, 27701, 42001 et ISO 22301 les mêmes dix clauses – le socle d'un système de management intégré. Une limite demeure : pour ISO 27001, il n'existe pas de catalogue OSCAL officiel librement diffusable, en raison du droit d'auteur.
La GRC devient agentique lorsque des agents IA prennent en charge la routine sur ce socle – de manière traçable et selon des règles de validation. Dans VamiGRC, le système de management intégré agentique de VamiSec, VamiAI répond aux questions à partir de l'IMS, sources à l'appui ; les niveaux d'autonomie L0 à L3 définissent ce qui nécessite une validation. Vamiset, utilisable de manière autonome et sans fonction d'IA à ce jour, recense les actifs du cloud, du code et des RH avec des droits de lecture et les évalue au regard des contrôles. Le Trust Center de VamiSec présente VamiGRC comme plateforme, avec la mention « Powered by ».
Les questions ouvertes du terrain
- 01
Comment transformer le PDF d'un référentiel en un ensemble de contrôles vérifiable et versionnable ?
Notre approche
Avec OSCAL : des catalogues avec des identifiants stables et le texte littéral, des profils pour la sélection et l'adaptation, des mappings avec des types de relation justifiés. Les changements de version deviennent ainsi des diffs plutôt que des recommencements. Dans VamiGRC, le Framework Composer réunit plusieurs normes en un même ensemble de contrôles, et vos propres référentiels s'ajoutent par import – jusqu'à la déclaration d'applicabilité.
- 02
Quelle autonomie peut-on accorder aux agents IA dans les processus de gouvernance, de gestion des risques et de conformité ?
Notre approche
Autant que la tâche le permet, et jamais à votre insu. Dans VamiGRC, chaque opération d'écriture s'exécute à un niveau d'autonomie défini, de L0 à L3 : manuel, assisté par l'IA, exécuté par l'IA avec validation obligatoire, ou entièrement autonome et intégralement audité. Vous fixez pour chaque tâche le niveau auquel elle s'exécute, par exemple les revues de direction en manuel et la surveillance continue en mode entièrement autonome. Les niveaux s'inspirent de l'OWASP APTS et sont adaptés à la GRC.
- 03
Comment les réponses d'un assistant IA restent-elles vérifiables dans un contexte GRC ?
Notre approche
En faisant en sorte que chaque réponse renvoie à une source et qu'un humain la valide avant toute transmission. VamiAI répond aux questions à partir de l'IMS, sources à l'appui, et rédige des projets de notification au titre de NIS2, du RGPD, de DORA, du CRA et de l'AI Act, que votre équipe vérifie et soumet. Pour les questionnaires clients, l'IA propose des réponses issues d'une base de connaissances versionnée ; chaque réponse conserve sa piste d'audit avec responsable, source et horodatage.
- 04
Comment la gouvernance de l'IA s'intègre-t-elle au système de management au lieu de devenir un projet parallèle ?
Notre approche
Par un inventaire IA avec une classification des risques par cas d'usage et un AIMS selon ISO/IEC 42001, qui suit la même structure de base qu'ISO/IEC 27001 : un registre des actifs, une méthode d'appréciation des risques, des audits combinés. Le NIST AI RMF complète la perspective des risques, ISO/IEC 27090 les menaces techniques propres à l'IA. Depuis le 2 août 2026 s'appliquent en outre les obligations de transparence du règlement sur l'IA.
Ce que nous retenons
- 01
Les frameworks en données font de la conformité multiple une opération sur données
OSCAL fait de chaque contrôle un objet adressable doté d'un identifiant stable et de son texte littéral. Depuis la version 1.2.0, le mapping entre frameworks fait partie du standard, avec des types de relation justifiés. Les changements de version s'évaluent sous forme de diff, les audits s'appuient sur des références vérifiables – à condition qu'une plateforme encapsule la complexité du standard.
Source: OSCAL — Frameworks as Code
- 02
Grundschutz++ arrive sous forme de catalogue OSCAL – l'audit est appelé à devenir automatisable
Selon son calendrier des jalons, le BSI a présenté la méthodologie sous la forme du standard BSI 300-1 le 27 octobre 2026 au salon it-sa. Le catalogue d'application Grundschutz++ regroupe 1 000 exigences en 20 pratiques et est disponible au format OSCAL. Selon le BSI, les demandes de certification ISO 27001 sur la base de Grundschutz++ sont possibles à partir du 1er janvier 2027.
Source: Grundschutz++
- 03
La sécurité de l'IA selon ISO/IEC 27090 ne requiert pas de second système de management
ISO/IEC 27090 est un guide sans exigences certifiables. Ses neuf types de compromission alimentent, en tant que catalogue de menaces, l'appréciation des risques du SMSI, et ses contre-mesures la déclaration d'applicabilité. L'audit interne, la revue de direction et l'audit de certification les examinent également ; la certification continue de se faire selon ISO/IEC 27001.
Source: ISO 27001 × ISO 27090
- 04
L'IA n'accélère les questionnaires de sécurité qu'avec une bibliothèque de réponses et une revue
Les outils assistés par IA reconnaissent les questions sémantiquement proches et proposent des projets de réponse tirés d'une bibliothèque organisée. Cela ne devient solide qu'avec une gouvernance : des réponses vérifiées avec responsable et durée de validité, un processus de validation, une piste d'audit par réponse et une comparaison régulière avec l'état réel des contrôles.
Source: Security Questionnaires
Notre démarche
Nous traitons la conformité comme une tâche d'ingénierie : les exigences sous forme de données, les liens sous forme de graphe, l'automatisation uniquement avec des validations définies – et chaque affirmation rattachable à une source.
Frameworks as Code
Gérer les référentiels sous forme de catalogues et de profils OSCAL, justifier les mappings entre frameworks et évaluer les changements de version sous forme de diff.
Système de management intégré
SMSI, PIMS, AIMS, CSMS et BCMS avec une échelle de risque commune, une seule maîtrise documentaire et un programme d'audit combiné, plutôt que des systèmes parallèles.
Agents avec garde-fous
Fixer des niveaux d'autonomie par tâche, imposer des validations avant les étapes lourdes de conséquences et n'admettre que des réponses sources à l'appui.
Preuves en continu
Recenser les actifs du cloud, du code et des RH avec des droits de lecture et les évaluer au regard des contrôles, ponctuellement ou selon un planning, par exemple avec Vamiset et des règles YAML personnalisées, sans fonction d'IA.
Trust Center et questionnaires
Mettre les preuves à disposition en libre-service avec un accès gradué et répondre aux questionnaires clients à partir d'une bibliothèque de réponses versionnée, avec revue.
Gouvernance de l'IA
Inventaire IA, classification des risques par cas d'usage et AIMS selon ISO/IEC 42001, complétés par le NIST AI RMF et les obligations de transparence du règlement sur l'IA.
Pour démarrer
- 1ModéliserRelier dans un graphe référentiels, exigences contractuelles, processus, actifs, fournisseurs, cas d'usage de l'IA et risques ; mettre en œuvre les exigences une fois et les rattacher plusieurs fois.
- 2AutomatiserConfier les tâches de routine à des agents, chacune à un niveau défini : analyses d'écarts et projets de preuves avec validation obligatoire, surveillance continue entièrement autonome et auditée.
- 3ProuverRattacher les preuves aux contrôles, en alimenter les audits et les revues de direction, et attester l'état actuel auprès des tiers via un Trust Center.
Deep Dives, livres blancs et analyses
Deep Dives 15
Livres blancs 1
Du domaine à la mise en œuvre
Prestations
Domaines de recherche connexes
Mettre en place la GRC comme discipline d'ingénierie ?
Lors d'un premier entretien, nous analysons vos systèmes de management et vos sources de preuves, et vous montrons à quoi ressemble l'Agentic GRC Engineering avec VamiGRC dans votre environnement.