Réponse courte

Unifier le pilotage ne signifie pas fusionner les textes. L'entreprise conserve les exigences propres au RGPD, à l'AI Act, à NIS2 et au DUERP, tout en partageant un socle d'objets : entités, activités, actifs, personnes, tiers, risques, responsables, actions, contrôles, preuves et revues.

À retenir

  • ✓Un référentiel d'objets commun réduit les ressaisies et améliore la cohérence.
  • ✓Chaque exigence conserve sa source, son interprétation, son périmètre et son propriétaire.
  • ✓Les actions transverses sont pilotées une fois et reliées à tous les objectifs concernés.
  • ✓La direction dispose d'une vue consolidée des risques et décisions sans effacer l'expertise métier.

Les réglementations abordent des risques différents, mais elles mobilisent souvent les mêmes équipes, systèmes, fournisseurs et processus de décision. Une architecture de gouvernance commune aide l'entreprise à coordonner les travaux et à comprendre les dépendances.

1. Séparer le contenu réglementaire du socle de pilotage

Le contenu réglementaire regroupe les textes, exigences, calendriers, interprétations et critères propres à chaque domaine. Le socle de pilotage décrit ce que l'entreprise gère au quotidien.

Cette séparation permet de mettre à jour un référentiel sans reconstruire les entités, actifs, rôles, tiers et actions déjà cartographiés.

2. Définir un vocabulaire et des identifiants communs

Une application, un fournisseur ou une entité doit porter un identifiant stable et une définition comprise par tous. Les synonymes et variantes restent associés sans créer plusieurs objets pour une même réalité.

Le glossaire précise les termes transverses comme risque, action, contrôle, preuve, propriétaire, contributeur, validation et date de revue.

3. Créer des correspondances explicites

Une mesure technique peut contribuer à plusieurs objectifs. La correspondance indique la portée réelle de la mesure et le niveau de couverture de chaque exigence.

Une correspondance n'est pas une équivalence automatique : elle est justifiée, revue et complétée lorsque les exigences divergent.

4. Organiser les responsabilités par niveau

Les propriétaires d'objets maintiennent l'information opérationnelle. Les référents de domaine encadrent la méthode et l'analyse réglementaire. La direction arbitre les risques, ressources et trajectoires.

Une matrice de responsabilités rend visibles les décisions attendues et les contributions, notamment lorsque plusieurs domaines se croisent.

5. Construire un tableau de bord consolidé

La vue de direction met en avant les risques majeurs, les décisions, les échéances, les actions critiques, les preuves à renouveler et les dépendances. Les vues expertes conservent le détail de chaque référentiel.

Les indicateurs partagés portent sur la couverture, l'avancement et la qualité des preuves ; les indicateurs réglementaires spécifiques restent dans leur domaine.

Questions fréquentes

Les réponses essentielles

Un contrôle unique peut-il couvrir plusieurs référentiels ?

Oui s'il atteint les objectifs concernés et si la correspondance est documentée. Des compléments restent parfois nécessaires pour répondre aux exigences propres à chaque texte.

Qui est responsable du pilotage global ?

L'organisation choisit une gouvernance adaptée. La direction porte les arbitrages ; les responsables de domaine conservent leur expertise et les propriétaires opérationnels maintiennent les informations.

Comment démarrer sans refondre toute l'organisation ?

Choisissez un périmètre commun, alignez les objets et responsabilités, puis reliez progressivement les actions et preuves existantes.

Sources

Textes et ressources officielles

Sources consultées et vérifiées lors de la mise à jour du 10 août 2026.

  1. CNILLe registre des activités de traitement

    Exemple d'un référentiel métier utilisé pour recenser, analyser, piloter et démontrer.

  2. Union européenne - EUR-LexRèglement (UE) 2024/1689 sur l'intelligence artificielle

    Référentiel européen fondé sur les rôles et les niveaux de risque.

  3. ANSSIDirective NIS 2 et Référentiel Cyber France

    Objectifs de sécurité et mesures pouvant être reliés à un socle de risques, actions et preuves.

  4. LégifranceCode du travail - DUERP

    Référentiel de risques professionnels, d'actions et de traçabilité dans le temps.