Consultant GRC Cartographie et classification des Tiers

MISSION FREELANCE · GOUVERNANCE, RISQUES ET CONFORMITÉ

Consultant GRC - Cartographie et classification des Tiers

Construire le référentiel fournisseurs et partenaires d'un grand compte français, sous exigence NIS2, CRA etRGPD.

NIS2, le CRA et le RGPD imposent tous les trois de savoir de qui l'on dépend, et à quel degré. Chez notre client, la donnée fournisseur existe mais elle est dispersée entre les achats, le juridique, les directions techniques et les métiers, sans identifiant commun. Aucune vue unique, fiable et classifiée n'existe aujourd'hui. C'est ce que vous allez construire.

Le client dispose d'un outil de référentiel développé en interne. Un premier inventaire de Tiers y est saisi, nonexhaustif et de fiabilité non mesurée. Vous ne partez donc pas d'une page blanche, mais d'un existant à auditeravant de le compléter. L'outil reste la cible : pas de référentiel parallèle sous Excel.

Votre mission

Diagnostiquer l'existant : volumétrie, complétude, fraîcheur, fiabilité. Définir le modèle de données cible, lessources mobilisables et les règles de réconciliation.

Consolider et tester une grille de classification sur cinq dimensions : criticité métier, accès au SI, donnéessensibles traitées, enjeu CRA, substituabilité et concentration. Une classe unique par Tiers, calculable dans l'outil.

Inventorier, fiabiliser et classifier les Tiers sur un périmètre de 60 à 70 services. Extraction, réconciliation,entretiens ciblés, traitement des écarts et doublons, mise à jour de l'outil.

Identifier la population critique, les concentrations et les points de défaillance unique. Ancrer le processus demise à jour et le transférer aux équipes internes.

Cinq livrables : note de cadrage, grille de classification et guide d'application, référentiel fiabilisé dans l'outil, note d'analyse, kit de reprise.

Le profil

Un consultant en production directe : vous tenez la donnée, vous menez les entretiens, vous rédigez. Trois savoir-faire à démontrer sur des cas réels et chiffrés :

avoir constitué un inventaire de tiers, avec les volumétries et les taux de complétude atteints

savoir fiabiliser un existant que vous n'avez pas constitué savoir obtenir une donnée sans autorité hiérarchique, auprès de gens qui ne vous doivent rien

Attendu également : NIS2 article 21 en usage appliqué, et une vraie pratique de la qualité de données(modélisation, réconciliation, dédoublonnage, identifiants). Appréciés sans être requis :

CRA et SBOMRGPD art. 28 et 30ISO/IEC 27036NIST SP 800-161r1Guides ANSSI infogérance

À savoir avant de postuler

Présence sur site à Paris, jours fixes annoncés. 4 j/semaine les deux premières semaines puis 3 j.

Poste de travail fourni et administré par le client. Toute la production s'y effectue, aucun travail sur matériel personnel.

Aucun export de données ou de fichiers. Vos jours travaillés se limitent à ceux passés sur le poste, sans reprise de dossier en dehors. À intégrer dans votre chiffrage.

En contrepartie, une gouvernance légère : un interlocuteur unique, un point hebdomadaire de 30 minutes, desarbitrages écrits sous 5 jours ouvrés, pas de comitologie.

Compétences

GRCNIS2Cyber Resilience ActRGPDThird Party Risk ManagementCartographie fournisseursQualité et réconciliation de donnéesConformité SSI

Pour candidater

CV faisant apparaître les volumétries et les résultats chiffrés de vos missions comparables, TJM et disponibilité.

Un consultant en production directe : il tient la donnée, mène les entretiens, rédige les livrables.

Pas de production déléguée à un intervenant non identifié.

Trois savoir-faire, à démontrer sur des cas que vous avez conduits

– Avoir constitué un inventaire de tiers. Volumétrie, nombre de sources réconciliées, taux de complétude atteint, et ce qui n’a pas fonctionné. Les chiffres nous intéressent, l’échec autant que le résultat.

– Savoir fiabiliser un existant que vous n’avez pas constitué. Comment vous mesurez la fiabilité d’une base dont vous ignorez la qualité, sans la reprendre entièrement ni lui faire confiance par défaut.

– Savoir obtenir sans autorité. Un cas où vous avez obtenu une donnée par un chemin non prévu, auprès de

quelqu’un qui ne vous devait rien.

Fiche de mission — Cartographie et classification des Tiers C1

– Qualité du raisonnement. Décomposer un problème mal posé, distinguer ce que l’on sait de ce que l’on suppose,

énoncer une règle plutôt qu’une liste de cas.

– Lecture de l’organisation. Identifier qui détient réellement l’information, percevoir l’enjeu de territoire derrière

une réticence, savoir par quel autre chemin passer.

– Autonomie et franchise. Trancher seul les cas courants, ne remonter que ce qui dépasse le mandat. Annoncer un résultat décevant sans le maquiller, signaler une incohérence plutôt que la lisser.

Connaissances

Valorisées, en usage appliqué : NIS2 article 21, en distinguant ce que le texte impose de ce que le marché a ajouté par prudence · structuration et qualité de données (modélisation, réconciliation, dédoublonnage, identifiants).

Valorisées sans être requises : CRA (rôles fabricant / importateur / distributeur, due diligence composants, SBOM)·

tableur · ISO/IEC 27036, NIST SP 800-161r1, NIST CSF 2.0 GV.SC, guides ANSSI infogérance · environnements ODM et marque blanche. Nous préférons un candidat qui sait qu’il ne sait pas et le dit.