Consultant GRC Cartographie et classification des Tiers - Freelance

MISSION FREELANCE · GOUVERNANCE, RISQUES ET CONFORMITÉ

Consultant GRC - Cartographie et classification des Tiers

Construire le référentiel fournisseurs et partenaires d'un grand compte français, sous exigence NIS2, CRA etRGPD.

NIS2, le CRA et le RGPD imposent tous les trois de savoir de qui l'on dépend, et à quel degré. Chez notre client, la donnée fournisseur existe mais elle est dispersée entre les achats, le juridique, les directions techniques et les métiers, sans identifiant commun. Aucune vue unique, fiable et classifiée n'existe aujourd'hui. C'est ce que vous allez construire.

Le client dispose d'un outil de référentiel développé en interne. Un premier inventaire de Tiers y est saisi, nonexhaustif et de fiabilité non mesurée. Vous ne partez donc pas d'une page blanche, mais d'un existant à auditeravant de le compléter. L'outil reste la cible : pas de référentiel parallèle sous Excel.

Votre mission

Diagnostiquer l'existant : volumétrie, complétude, fraîcheur, fiabilité. Définir le modèle de données cible, lessources mobilisables et les règles de réconciliation.

Consolider et tester une grille de classification sur cinq dimensions : criticité métier, accès au SI, donnéessensibles traitées, enjeu CRA, substituabilité et concentration. Une classe unique par Tiers, calculable dans l'outil.

Inventorier, fiabiliser et classifier les Tiers sur un périmètre de 60 à 70 services. Extraction, réconciliation,entretiens ciblés, traitement des écarts et doublons, mise à jour de l'outil.

Identifier la population critique, les concentrations et les points de défaillance unique. Ancrer le processus demise à jour et le transférer aux équipes internes.

Cinq livrables : note de cadrage, grille de classification et guide d'application, référentiel fiabilisé dans l'outil, note d'analyse, kit de reprise.

Le profil

Un consultant en production directe : vous tenez la donnée, vous menez les entretiens, vous rédigez. Trois savoir-faire à démontrer sur des cas réels et chiffrés :

avoir constitué un inventaire de tiers, avec les volumétries et les taux de complétude atteints

savoir fiabiliser un existant que vous n'avez pas constitué savoir obtenir une donnée sans autorité hiérarchique, auprès de gens qui ne vous doivent rien

Attendu également : NIS2 article 21 en usage appliqué, et une vraie pratique de la qualité de données(modélisation, réconciliation, dédoublonnage, identifiants). Appréciés sans être requis :

CRA et SBOMRGPD art. 28 et 30ISO/IEC 27036NIST SP 800-161r1Guides ANSSI infogérance

À savoir avant de postuler

Présence sur site à Paris, jours fixes annoncés. 4 j/semaine les deux premières semaines puis 3 j.

Poste de travail fourni et administré par le client. Toute la production s'y effectue, aucun travail sur matériel personnel.

Aucun export de données ou de fichiers. Vos jours travaillés se limitent à ceux passés sur le poste, sans reprise de dossier en dehors. À intégrer dans votre chiffrage.

En contrepartie, une gouvernance légère : un interlocuteur unique, un point hebdomadaire de 30 minutes, desarbitrages écrits sous 5 jours ouvrés, pas de comitologie.

Compétences

GRCNIS2Cyber Resilience ActRGPDThird Party Risk ManagementCartographie fournisseursQualité et réconciliation de donnéesConformité SSI

Pour candidater

CV faisant apparaître les volumétries et les résultats chiffrés de vos missions comparables, TJM et disponibilité.