Governance, Risk & ComplianceGouvernance, risque et conformité
Governance, risk and compliance work best as one system. We help leadership teams set direction for IT, understand their risks and meet their obligations without building a bureaucracy.
La gouvernance, la gestion des risques et la conformité donnent de meilleurs résultats lorsqu’elles forment un tout. Nous aidons les équipes de direction à orienter les TI, à comprendre leurs risques et à respecter leurs obligations, sans alourdir l’organisation.
The challengeL’enjeu
Most organizations already have policies, a risk register and an audit calendar. The problem is that these pieces rarely talk to each other. Risks are logged but not tied to decisions, policies age without review, and compliance becomes a yearly scramble.
La plupart des organisations ont déjà des politiques, un registre des risques et un calendrier d’audit. Le problème, c’est que ces éléments communiquent rarement entre eux. Les risques sont consignés sans être liés aux décisions, les politiques vieillissent sans révision et la conformité devient une course annuelle.
GLYM-CSIT connects the three pillars. We start from your business objectives, map the risks that threaten them, and design the controls, policies and reporting that give your board and executives a clear, defensible view.
GLYM-CSIT relie les trois piliers. Nous partons de vos objectifs d’affaires, cartographions les risques qui les menacent, puis concevons les contrôles, les politiques et la reddition de comptes qui donnent à votre conseil et à votre direction une vision claire et défendable.
Services in this practiceLes services de cette pratique
GRC program designConception de programme GRC
A governance, risk and compliance framework sized to your organization, with roles, decision rights and a reporting rhythm your leadership will actually use.
Un cadre de gouvernance, de risque et de conformité adapté à votre taille, avec des rôles, des pouvoirs décisionnels et un rythme de reddition de comptes que votre direction utilisera réellement.
Strategic risk assessmentÉvaluation stratégique des risques
Identification and prioritization of governance, operational, information security and compliance risks, with practical treatment options.
Repérage et priorisation des risques de gouvernance, opérationnels, de sécurité de l’information et de conformité, avec des options de traitement concrètes.
IT governanceGouvernance des TI
Frameworks based on COBIT and ISO/IEC 38500 that align IT investments, performance and risk with business priorities.
Des cadres fondés sur COBIT et ISO/IEC 38500 qui alignent les investissements, la performance et les risques TI sur les priorités d’affaires.
Policy and procedure reviewRévision des politiques et procédures
Evaluation and rewrite of outdated or missing policies, from information security to acceptable use of AI.
Évaluation et réécriture de politiques désuètes ou manquantes, de la sécurité de l’information à l’utilisation acceptable de l’IA.
Regulatory complianceConformité réglementaire
Gap analyses against Quebec’s Law 25, PIPEDA, sector rules and contractual requirements, with a realistic remediation plan.
Analyses d’écarts par rapport à la Loi 25 du Québec, à la LPRPDE, aux règles sectorielles et aux exigences contractuelles, avec un plan de correction réaliste.
Business impact analysisAnalyse d’impact sur les activités
BIA, business continuity and disaster recovery planning so critical services can survive a disruption.
BIA, plans de continuité des activités et de reprise après sinistre pour que vos services essentiels résistent à une interruption.
Trends we are watchingLes tendances que nous suivons
Canada’s critical cyber systems law is in forceLa loi canadienne sur les cybersystèmes essentiels est adoptée
Bill C-8 received Royal Assent. Designated operators in finance, telecommunications, energy and transportation will need formal cyber security programs, supply chain oversight and incident reporting, phased in over time.
Le projet de loi C-8 a reçu la sanction royale. Les exploitants désignés des secteurs de la finance, des télécommunications, de l’énergie et des transports devront se doter de programmes de cybersécurité, encadrer leur chaîne d’approvisionnement et déclarer leurs incidents, selon une mise en œuvre progressive.
Source: Source : FortraOSFI model risk guideline takes effectLa ligne directrice du BSIF sur le risque de modèle entre en vigueur
Guideline E-23 applies to all federally regulated financial institutions from May 1, 2027, and now explicitly covers AI and machine learning models.
La ligne directrice E-23 s’appliquera à toutes les institutions financières fédérales à compter du 1er mai 2027 et vise désormais explicitement les modèles d’IA et d’apprentissage automatique.
Source: Source : OSFILaw 25 is fully in force in QuebecLa Loi 25 est pleinement en vigueur au Québec
Every organization that handles personal information in Quebec must have a person in charge of privacy, privacy impact assessments for new projects, a confidentiality incident register and a published policy.
Toute organisation qui traite des renseignements personnels au Québec doit désigner un responsable de la protection des renseignements personnels, mener des évaluations des facteurs relatifs à la vie privée pour ses nouveaux projets, tenir un registre des incidents de confidentialité et publier une politique.
Source: Source : Commission d’accès à l’informationTypical deliverablesLivrables types
- Current-state assessment and maturity ratingÉvaluation de la situation actuelle et cote de maturité
- Risk register and heat mapRegistre des risques et carte de chaleur
- Governance framework and RACICadre de gouvernance et matrice RACI
- Updated policies and proceduresPolitiques et procédures mises à jour
- Compliance gap analysisAnalyse des écarts de conformité
- Board-ready summary reportRapport de synthèse prêt pour le conseil
Standards we applyNormes appliquées
- COBIT 2019
- COSO
- ISO/IEC 38500
- ISO 31000
- ISO 22301
- Law 25
- PIPEDA
Engage us by the hour, for a fixed deliverable, or as an ongoing as-a-service role.
Retenez nos services à l’heure, pour un livrable à prix fixe ou en mode service continu.
Other practicesAutres pratiques
Discuss this with an advisorParlez-en à un conseiller
Tell us about your situation. We reply within two business days, with no obligation.
Parlez-nous de votre situation. Nous répondons en deux jours ouvrables, sans obligation.