Consultant Gouvernance Risques et Conformité Cybersécurité H/F Collective Works

Contexte

La Direction Informatique d'une grande institution bancaire internationale, IT GROUP (ITG), a notamment pour missions d'assurer la gouvernance du Groupe dans les domaines informatiques, des processus et des projets, et de constituer une référence en matière de développement et de production des systèmes d'information.
Le département Cybersecurity & Digital Fraud (CDF) a pour mission de structurer, renforcer et homogénéiser la gestion des risques cyber pour l'ensemble du Groupe. Il définit la vision, la stratégie, les règles, les processus et les bonnes pratiques associés à la gestion et au suivi des risques IT et cyber.
Au sein de CDF, l'équipe Management Office assure les activités de Chief of Staff pour le responsable du département, RSSI du Groupe. Elle gère également, pour le périmètre propre de CDF, les sujets de cybersécurité, de risques IT et de continuité d'activité.
L'équipe intervient sur plusieurs dispositifs : Programme Cyber Groupe, gestion des risques IT et cyber, gouvernance du patrimoine applicatif, sécurité des tiers, gestion des accès, suivi des vulnérabilités et de l'obsolescence, préparation des audits, contrôles et suivi des plans de remédiation.
La mission nécessite un profil généraliste et expérimenté, capable de prendre en charge un sujet nouveau ou insuffisamment cadré, d'identifier les parties prenantes et responsabilités, de rechercher et challenger les éléments de preuve, puis de produire une conclusion factuelle, traçable et auditable.

Missions

• Soutien aux audits et contrôles

  • Assistance à l'équipe dans le traitement des demandes d'audit, de contrôle et des sollicitations du management ou des fonctions centrales.

  • Analyse des demandes, définition du périmètre et identification des exigences applicables.

  • Identification des responsables et coordination de la collecte d'informations et de preuves.

  • Évaluation de la pertinence, de la cohérence et de la suffisance des réponses et preuves collectées.

  • Distinction entre déclarations, preuves de conception et preuves d'efficacité opérationnelle.

  • Préparation des réponses, formalisation des écarts et recommandations, et suivi des actions correctrices.

  • Maintien de la traçabilité entre les demandes, les preuves, les conclusions, les décisions et les actions.

• Gouvernance des risques tiers (TPRM)

  • Maintien et fiabilisation de la gouvernance des risques liés aux tiers et du registre TPRM du département.

  • Identification des nouveaux contrats, arrangements, fournisseurs, prestations et solutions SaaS.

  • Vérification de la qualification, de la classification et de la complétude des informations enregistrées.

  • Détermination des exigences de sécurité applicables aux tiers et aux contrats avec les parties prenantes.

  • Analyse des réponses fournisseurs, certifications, rapports d'audit et preuves disponibles.

  • Identification des écarts entre exigences, engagements contractuels et dispositifs démontrés.

  • Suivi des échéances, renouvellements, avenants, renégociations, plans de remédiation et risques résiduels.

  • Documentation auditable des exclusions, décisions de non-applicabilité et arbitrages.

• Gouvernance des actifs IT (Périmètre CDF)

  • Contribution à la conception, au déploiement et au maintien de la gouvernance des applications et actifs IT.

  • Clarification des rôles (Asset Owners, responsables fonctionnels/techniques, producteurs IT et fournisseurs).

  • Maintien d'une vision cohérente du patrimoine applicatif, des données, composants, contrats et dépendances.

  • Rapprochement des informations entre inventaires, CMDB et outils de gouvernance/gestion des risques.

  • Identification des applications, progiciels, solutions SaaS, outils locaux, PoC, MVP et développements spécifiques.

  • Contribution à la classification, à la détermination de la criticité et à l'analyse des exigences applicables.

  • Préparation et coordination des revues périodiques avec les Asset Owners.

  • Suivi des évaluations, contrôles, écarts et plans de remédiation associés.

  • Contribution à la maîtrise du Shadow IT/Light IT et à la définition des conditions d'industrialisation.

• Programme Cyber Groupe et Conformité

  • Contribution au Programme Cyber Groupe et au maintien de la conformité acquise.

  • Analyse des nouvelles exigences et évolutions du référentiel et détermination de leur applicabilité.

  • Coordination de la collecte, de l'analyse et du renouvellement des éléments de preuve.

  • Traitement des objectifs modifiés, réouverts, en clarification ou dépendants d'autres entités.

  • Gestion des dépendances avec les producteurs IT, fournisseurs internes et entités du Groupe.

  • Contribution à la mise en place du CyberProgram Run et à l'exploitation des contrôles et indicateurs.

  • Préparation des synthèses pour les instances de suivi.

• Gestion des risques IT et Cyber

  • Assistance à l'équipe dans l'identification, la formalisation et le suivi des risques IT/Cyber, des exceptions et des plans de remédiation.

  • Analyse des écarts aux standards et contribution à la rédaction des fiches de risque.

  • Identification des actifs, données, processus, causes, impacts, mesures et parties prenantes.

  • Évaluation critique des plans de remédiation, des responsabilités et des échéances.

  • Préparation des dossiers pour les décisions d'acceptation, de réduction ou de transfert du risque.

  • Alerte sur les retards, blocages, dépendances ou responsabilités non clarifiées.

• Analyse d'indicateurs et Reporting

  • Collecte et analyse des indicateurs de cybersécurité (obsolescence, vulnérabilités, journalisation, IAM, sécurité applicative SAST/DAST/SCA, sécurité des terminaux et tiers).

  • Production des tableaux de bord, notes d'analyse, supports de décision, procédures et synthèses de gouvernance.

  • Documentation des travaux, capitalisation et transmission des connaissances au sein de l'équipe.

  • Remontée des points bloquants et alertes sur les décalages opérationnels, échéances dépassées et risques nécessitant arbitrage.

Éventail des livrables attendus

• Réponses documentées aux audits, contrôles et demandes spécifiques.

• Matrices de correspondance entre exigences, contrôles et éléments de preuve.

• Analyses d'applicabilité et de non-applicabilité.

• Registre TPRM maintenu, fiabilisé et assorti des actions de suivi.

• Analyses de risques fournisseurs et dossiers d'évaluation des tiers.

• Cartographie des applications, actifs, données, contrats et dépendances.

• Dossiers de gouvernance applicative et comptes rendus des revues avec les Asset Owners.

• Fiches de risque, dossiers d'exception et plans de remédiation.

• Dossiers de preuves et tableaux de suivi du Programme Cyber.

• Tableaux de bord, notes d'arbitrage, procédures et supports pour les instances de gouvernance.

Environnement technique

• Bonne compréhension des systèmes d'information, des architectures applicatives et des modèles SaaS, progiciels et développements internes.

• Capacité à comprendre et challenger des sujets techniques sans nécessairement en assurer l'implémentation opérationnelle.

• Connaissance des principaux domaines de sécurité : IAM, MFA, comptes à privilèges, vulnérabilités, logs, sécurité applicative, protection des données et sécurité des tiers.

• Connaissance de référentiels tels que NIST Cybersecurity Framework, ISO/IEC 27001, ISO/IEC 27005, CIS Controls ou équivalents.

• Compréhension des principaux cadres réglementaires applicables au secteur financier, notamment DORA, NIS2 et le RGPD.

Environnement fonctionnel

• Solide expérience en gouvernance cybersécurité, gestion des risques IT, conformité, audit des systèmes d'information ou contrôle interne.

• Expérience de la gestion des risques liés aux tiers, de l'analyse d'exigences contractuelles ou de la tenue d'un registre Third-Party Risk Management.

• Expérience de la gouvernance applicative, de la gestion d'inventaires et de la coordination avec des Asset Owners et producteurs IT.

• Maîtrise de la gestion de projet : cadrage, planification, gouvernance, suivi des risques, communication et reporting.

• Maîtrise de Microsoft 365, notamment Excel, PowerPoint, Word, Teams et SharePoint.

• Capacité à travailler dans un environnement matriciel, international et fortement réglementé.

• Bon niveau d'anglais professionnel à l'oral et à l'écrit.

Autres informations indispensables à diffuser

• Plusieurs années d'expérience en cybersécurité, risques IT, conformité ou audit des systèmes d'information.

• Une expérience dans le secteur bancaire, financier ou dans un environnement fortement réglementé est fortement souhaitée.

• Autonomie, rigueur, capacité d'analyse et de synthèse.

• Esprit critique et capacité à challenger des réponses déclaratives ou incomplètes.

• Capacité à traiter plusieurs sujets en parallèle et à prioriser selon les risques et échéances.

• Aisance dans la communication orale et écrite avec des interlocuteurs techniques, opérationnels et managériaux.

• Capacité à proposer une méthode durable, à documenter les décisions et à transmettre les connaissances.