Le problème
Un grand groupe automobile avec plusieurs marques et des dizaines d'entités juridiques suivait sa conformité via un parc de tableurs et une visite annuelle d'auditeurs. Avec le RGPD, DORA, le DSA, le Cyber Resilience Act et plusieurs référentiels ISO entrant simultanément dans le périmètre, le processus existant n'était plus tenable — et les auditeurs commençaient à le dire.
La complication structurelle : les réglementations s'appliquent différemment selon la position dans la hiérarchie L0–L4. Les politiques groupe héritent vers le bas. Les évaluations d'entités remontent. Aucun outil GRC du marché que nous avons trouvé ne modélisait cela correctement.
Notre approche
Nous avons bâti une plateforme organisée autour de trois primitives : hiérarchies (l'organigramme réel du groupe), réglementations (périmètre lisible par la machine, applicabilité, scoring) et évaluations (versionnées, étayées par des preuves, signables). La posture de conformité se consolide automatiquement dans la hiérarchie ; les changements de politique se propagent vers le bas.
Construit en mode offline-first, parce qu'une partie des audits se déroule dans des usines avec une connectivité aléatoire. Visualisation cartographique interactive pour que le responsable des risques groupe puisse voir d'un coup d'œil quelle entité, dans quel pays, est en défaut sur quel contrôle.
La partie difficile : pas la plateforme. Le modèle de données. Les réglementations ne s'alignent pas proprement sur les organigrammes. L'essentiel de nos six semaines de cadrage a consisté à bien cadrer cela avant d'écrire la première ligne de code UI.
Ce que nous avons livré
- Gestion d'organisation hiérarchique (L0 → L4) avec règles d'héritage
- Workflow d'évaluation avec pièces jointes probatoires et piste d'audit
- Tableaux de bord de conformité au niveau groupe, entité et réglementation
- Visualisation cartographique interactive avec D3.js
- Authentification JWT et comportement offline-first pour les évaluations terrain
- Démo live déployée pour les utilisateurs pilotes
Stack
Pourquoi ça marche
Cela modélise l'organisation réelle, pas une version idéalisée. Cela donne au responsable des risques groupe quelque chose qu'un tableur ne peut structurellement pas offrir : une consolidation en temps réel de l'état de conformité, et une identification des dérives.