Governance, Risk & Compliance est un moteur multi-référentiels. Il gère en parallèle un nombre illimité de cadres réglementaires et de normes, notamment SOX, ISO 27001, DORA, GDPR et PCI-DSS, chacun étant tenu sous la forme d'un ensemble versionné d'exigences, de sorte qu'un contrôle testé aujourd'hui reste traçable jusqu'à la formulation exacte de l'exigence qu'il satisfait. En son cœur se trouve une bibliothèque de contrôles réutilisable : un contrôle est rédigé une seule fois, puis mis en correspondance avec chaque référentiel dont il satisfait les exigences, de sorte que les preuves recueillies pour une obligation sont automatiquement portées au crédit de toutes les autres qu'il soutient.

Autour de ce noyau, le module couvre l'intégralité du cycle de vie de l'assurance. Un calendrier réglementaire suit les échéances de déclaration, les renouvellements de certification et les plannings d'audit. Des évaluations fondées sur des questionnaires pilotent les tests périodiques et la collecte de preuves au regard des objectifs de contrôle. La gestion des audits internes et externes consigne les constats, attribue les remédiations et suit chaque point jusqu'à sa clôture. Un registre des risques enregistre l'exposition inhérente et résiduelle avec une planification des mesures d'atténuation. La gestion des politiques régit l'ensemble du cycle de vie des politiques avec versionnage et suivi des validations, et un coffre-fort de preuves rattache directement documents, captures d'écran et résultats de tests aux contrôles qu'ils attestent. Les tableaux de bord de conformité font ressortir les scores de préparation, l'analyse des écarts et les vues de tendance sur l'ensemble des référentiels simultanément.

Le modèle conceptuel est délibérément simple, ce qui lui permet de passer à l'échelle sur de nombreux référentiels sans duplication. Un référentiel est un corpus externe d'obligations, tel qu'une réglementation ou une norme, exprimé sous la forme d'un ensemble structuré d'exigences porteuses de versions, de sorte que le module sait toujours quelle édition d'une règle était en vigueur à un instant donné. Un contrôle est une mesure de sauvegarde interne que l'organisation met en œuvre : une revue des accès, une approbation de changement, un rapprochement. La relation entre les deux est de type plusieurs à plusieurs. Une exigence est souvent satisfaite par plusieurs contrôles, et un contrôle bien conçu satisfait fréquemment des exigences relevant de plusieurs référentiels. Cette mise en correspondance est le pivot de tout le domaine, car elle transforme un empilement de réglementations qui se chevauchent en un ensemble maîtrisable et dédupliqué d'actions que l'organisation réalise effectivement.

Tout le reste se rattache à ces deux notions. Les évaluations testent si les contrôles sont conçus et fonctionnent efficacement, et les résultats qu'elles produisent deviennent des preuves. Chaque preuve est ancrée au contrôle précis qu'elle soutient et horodatée, de sorte qu'un évaluateur peut faire remonter toute affirmation d'assurance jusqu'à son artefact source. Un risque représente une exposition que l'organisation porte, cotée avant et après les contrôles qui le traitent, ce qui relie le registre des risques à la même trame de contrôles sur laquelle repose le test de conformité. Les politiques figurent à leurs côtés en tant qu'intention documentée derrière les contrôles, versionnées et validées par les personnes qu'elles engagent. Il en résulte une image cohérente : les obligations, les mesures de sauvegarde qui y répondent, la preuve que ces mesures fonctionnent et le risque résiduel qui subsiste.

Le travail de conformité dans le module suit un petit nombre de cycles répétables. Dans le cycle d'évaluation, un responsable lance un questionnaire au regard d'un ensemble de contrôles, les répondants fournissent des réponses et téléversent des artefacts justificatifs, et chaque réponse est examinée puis acceptée ou renvoyée pour complément de preuve. Les évaluations achevées mettent à jour l'état d'efficacité du contrôle et alimentent le score de préparation de chaque référentiel auquel le contrôle est associé.

Le cycle d'audit régit à la fois les revues internes et les examens externes. Un audit est cadré par référentiels et par contrôles, les travaux sur le terrain consignent les constats avec leur gravité et leur cause racine, et chaque constat génère un point de remédiation assorti d'un responsable et d'une date d'échéance suivi jusqu'à sa clôture. Le cycle des risques se déroule en continu : les risques sont identifiés, cotés pour l'exposition inhérente, traités par des contrôles d'atténuation, puis recotés pour l'exposition résiduelle, une revue périodique maintenant le registre à jour. Le cycle des politiques mène un document du projet à la publication en passant par la revue et l'approbation, puis le distribue pour validation et enregistre qui a attesté et qui reste en attente. Le calendrier réglementaire chapeaute l'ensemble, en faisant remonter les obligations en amont de leurs échéances afin que déclarations, renouvellements et tests planifiés soient engagés en temps utile plutôt que découverts tardivement.

Le module traite chaque référentiel avec la rigueur qu'exige sa propre discipline. Pour SOX, il modélise directement l'environnement de contrôle de l'information financière : contrôles au niveau de l'entité et au niveau des processus, propriétaires de contrôles et testeurs maintenus distincts pour préserver l'indépendance, résultats d'échantillonnage et de tests d'efficacité opérationnelle, et évaluation des déficiences qui classe une anomalie en déficience, déficience significative ou faiblesse majeure selon sa probabilité et son ampleur. Parce que ces contrôles protègent les assertions relatives aux états financiers, leur statut alimente l'opinion plus large sur le contrôle interne que l'organisation doit défendre.

Pour les référentiels de sécurité de l'information et de résilience opérationnelle, la profondeur est tout aussi spécifique. ISO 27001 est traité comme un ensemble de contrôles géré, doté d'une logique de déclaration d'applicabilité. DORA est modélisé autour du risque lié aux TIC, des tests de résilience et de la dépendance aux tiers, reflétant les obligations de résilience opérationnelle imposées aux entités réglementées. GDPR et PCI-DSS apportent des contrôles de protection des données et de données de porteur de carte avec leurs propres exigences de preuve. Tout au long, le module fait appliquer les contrôles qui rendent l'assurance crédible : séparation entre le préparateur et le relecteur, preuve immuable assortie d'une piste d'audit complète indiquant qui a testé quoi et quand, exigences versionnées pour que les résultats historiques ne soient jamais invalidés en silence par l'évolution d'une norme, et scoring de préparation et analyse des écarts calculés à partir de l'état réel des contrôles plutôt qu'affirmés à la main. Il en résulte une posture qui tient face à un régulateur ou à un auditeur externe, parce que chaque affirmation se résout en une preuve datée et attribuable.

Governance, Risk & Compliance est une couche d'assurance qui coiffe la suite, et il gagne cette position par une intégration directe plutôt que par une ressaisie manuelle. Il se connecte à Accounting & Control pour SOX et les contrôles financiers internes, de sorte que les rapprochements, approbations et contrôles d'écritures qui opèrent au sein du module financier sont précisément les contrôles que ce module teste, et que leurs preuves proviennent de là où le travail s'est réellement effectué. Il s'intègre à Document Management comme foyer des documents de politique et des artefacts probants, offrant versionnage, conservation et accès contrôlé des politiques sans second référentiel documentaire à gouverner.

Il s'intègre à Flow Management pour chaque approbation que le module déclenche : validation des politiques, acceptation des remédiations, approbation du traitement des risques et revue des évaluations se déroulent toutes comme des workflows gouvernés, dotés de routage, d'escalade et d'un enregistrement durable de chaque décision. Parce que la suite partage un modèle unique d'identité et de permissions, les propriétaires de contrôles, les testeurs, les propriétaires de risques et les approbateurs sont les mêmes personnes que le reste de la plateforme connaît déjà, et les règles de séparation des tâches dont dépend le module sont appliquées de manière cohérente à travers chaque module qu'elles touchent.

La suite est nativement dotée d'IA, et les AI Workers agissent comme des participants à part entière de la fonction de conformité plutôt que comme un assistant rapporté. Un responsable de la conformité peut interroger les données du module de manière conversationnelle, en demandant quels contrôles sont en échec pour DORA et ISO 27001, quels points de remédiation sont en retard ou comment le risque résiduel a évolué ce trimestre, et recevoir une réponse ancrée dans l'état réel des contrôles et des preuves. Les Workers exécutent des actions directement : ouvrir des points de remédiation à partir d'un constat, planifier une évaluation, mettre à jour une cotation de risque ou diffuser une politique pour validation.

Ils surveillent en continu les anomalies et les exceptions, signalant un contrôle dont la preuve est devenue obsolète, une campagne de validation qui plafonne sous le seuil, ou une échéance de déclaration qui approche sans que la préparation ait commencé. Ils réalisent l'extraction de documents et de données, lisant un rapport d'audit téléversé ou une attestation de fournisseur et proposant les constats, les correspondances de contrôles et les liens de preuves qu'il implique, ce qui transforme des artefacts non structurés en enregistrements structurés et testables. En tant qu'aide à la décision, ils font ressortir l'exposition résiduelle et la couverture de contrôle qui sous-tendent un choix avant qu'il ne soit fait. Et un AI Worker participe comme nœud d'approbation ou de revue dans les workflows du module, examinant une soumission de preuve ou un traitement de risque proposé au regard de la politique et le transmettant assorti d'une recommandation, de sorte que l'assurance de routine continue d'avancer tandis que le vrai jugement parvient à la bonne personne au bon moment.