Risques, résilience et gouvernance
Nous construisons les dossiers qui montrent ce qui s'est passé, qui l'a validé et ce que disaient les données à ce moment-là, pour qu'un risque soit visible avant de devenir un incident.
Notre point de vue
Chez THEFOCUS, l'expertise risques, résilience et gouvernance couvre les dossiers et les contrôles qui montrent ce qui s'est passé, qui l'a décidé et sur la base de quelles données : registres des risques alimentés par les données des systèmes, programmes de conformité, continuité d'activité, intégrité et traçabilité des approvisionnements, contrôles de confidentialité des données et risques tiers. Nous construisons et tenons à jour la traçabilité des preuves. L'interprétation juridique, les opinions d'audit et la certification restent du ressort des conseils, des auditeurs et des organismes accrédités du client.
Un registre des risques recense généralement ce que les équipes pensent à signaler. Or bon nombre des expositions qui causent de vrais dommages se trouvent déjà dans les systèmes : un compte publicitaire avec une alerte de sécurité non résolue, une carte de paiement de secours expirée depuis des mois, un fournisseur qui livre sans dossier qualité, un ancien prestataire qui conserve un accès administrateur à la plateforme de réservation. Elles se nichent dans des journaux et des paramètres que personne ne consulte, si bien que le registre dit une chose et les systèmes une autre.
Nous commençons par construire la traçabilité des preuves. Chaque risque reçoit un responsable, une source dans un système identifié et un contrôle exécuté selon un calendrier. Les validations portant sur les prix, les budgets, les contrats et les modifications de systèmes sont enregistrées dans les outils où le travail se fait : le dossier existe déjà lorsque quelqu'un le demande, et personne n'a à le reconstituer à partir de fils de messages. La responsabilité repose alors sur des données : ce que montraient les chiffres au moment de la décision, et qui l'a prise.
FuelVeriq, notre produit dédié à la qualité des carburants et à l'intégrité des approvisionnements, applique la même logique à l'approvisionnement en carburant ; il en est au stade de MVP en phase de prélancement, ouvert aux demandes de pilote. Dans nos missions, nous séparons la preuve du jugement. Nous construisons et tenons à jour les dossiers, tandis que l'interprétation juridique, les opinions d'audit et la certification restent du ressort des avocats, des auditeurs et des organismes accrédités du client.
Comment nous accompagnons nos clients
Gestion globale des risques
Des registres des risques alimentés par les données des systèmes, avec pour chaque notation un responsable, une date de revue et des preuves, présentés au conseil d'administration sous une forme sur laquelle il peut agir.
DécouvrirProgrammes de conformité réglementaire
Registres des obligations, contrôles et workflows de preuve qui transforment les exigences fixées par vos conseils en vérifications que les équipes effectuent dans leurs systèmes quotidiens.
DécouvrirContinuité d'activité et résilience opérationnelle
Des plans de continuité testés sur les systèmes, les fournisseurs, les moyens de paiement et les accès dont dépend l'entreprise, avec des délais de reprise mesurés lors de tests réels.
DécouvrirIntégrité des approvisionnements et traçabilité
Des dossiers structurés pour les contrôles qualité, les lots, les incidents et les investigations tout au long d'une chaîne d'approvisionnement, conçus pour résister à un examen ultérieur.
DécouvrirConfidentialité et protection des données
Des contrôles de consentement, de traitement des données et d'accès configurés dans les sites web, les CRM et les outils d'analytics, documentés pour vos conseils et mesurés pour leur effet sur le reporting.
DécouvrirRisques tiers et fournisseurs
Les risques liés aux fournisseurs, agences et prestataires suivis à partir des contrats, des journaux d'accès et des données de performance, avec des revues programmées avant les renouvellements et à la sortie.
Découvrir
Enjeux métier
01
Des risques qui n'existent que dans la mémoire d'une personne
Des expositions connues, comme un incident de sécurité sur un compte publicitaire jamais entièrement clos, une carte de paiement de secours expirée ou un fournisseur sans dossier qualité, restent dans la mémoire de quelques personnes et ne sont jamais consignées avec un responsable.
02
Des validations sans trace
Les modifications de prix, de budgets, de contrats et de systèmes en production sont convenues par message ou au téléphone. Quand un problème survient, personne ne peut montrer qui a validé quoi, ni sur la base de quels chiffres.
03
Des plans de continuité jamais éprouvés
Le plan décrit la reprise sur le papier, mais aucune sauvegarde n'a jamais été restaurée, le fournisseur de repli n'a jamais été sollicité et le seul accès administrateur à une plateforme critique appartient à une seule personne.
04
Une intégrité des approvisionnements impossible à prouver
Les problèmes de qualité des carburants, des matériaux ou des produits sont instruits avec des tableurs improvisés et des photos prises au téléphone, et le dossier qui en résulte ne peut étayer ni une réclamation contre un fournisseur ni une procédure interne de responsabilité.
05
Des paramètres de consentement inadaptés aux règles locales
Les paramètres de consentement par défaut de la plateforme ne couvrent pas le régime applicable sur le marché du client : soit le suivi fonctionne sans base valable, soit il est restreint sans que personne sache dans quelle proportion.
06
Des tiers dont personne ne vérifie les accès
Agences, freelances, éditeurs d'applications et intégrateurs conservent leurs accès aux boutiques, aux comptes publicitaires et aux données clients longtemps après la fin de leur intervention.
Notre approche
Recenser les expositions
Nous listons les risques opérationnels déjà connus de l'organisation et ceux que nous trouvons dans ses systèmes, chacun avec un responsable, une source et son statut actuel.
Enregistrer les décisions là où le travail se fait
Validations, modifications et investigations sont consignées dans les systèmes que les équipes utilisent pour le travail lui-même : le dossier se constitue au fil de l'eau au lieu d'être reconstitué après coup.
Séparer la preuve du jugement
Nous construisons et tenons à jour les preuves. L'interprétation juridique, les décisions réglementaires et la certification restent du ressort des conseils et des auditeurs du client, ainsi que des autorités compétentes.
Revoir selon un calendrier
Les contrôles sont vérifiés à intervalles fixes par rapport à des situations de référence établies, et toute évolution de l'exposition est signalée au responsable désigné.
Secteurs concernés
- Pétrole, gaz et distribution de carburants
- Matières premières, négoce et approvisionnement
- BTP, matériaux de construction et amélioration de l'habitat
- Distribution et e-commerce
- Agroalimentaire et boissons
- Hôtels et resorts
- Ports de plaisance et yachting
- Transport et logistique
- Secteur public et organisations institutionnelles
- Technologies et logiciels
Solutions associées
- FuelVeriq Phase pilote
Évaluation des résultats
- Part des risques identifiés disposant d'un responsable désigné, d'une source système et de preuves à jour
- Part des modifications significatives assorties d'une validation enregistrée
- Délai entre un incident et un dossier d'investigation complet
- Part des tiers dont les accès ont été revus lors du dernier cycle
- Étapes de reprise testées par rapport au plan de continuité, et durée de chacune
Limites du périmètre
- Nous ne donnons pas de conseil juridique. Les politiques, contrats et documents de conformité que nous préparons sont des projets soumis à la relecture des conseils juridiques qualifiés du client.
- THEFOCUS n'est pas un régulateur, n'agit pas pour le compte d'un régulateur et ne traite pas avec un régulateur au nom d'un client.
- Nous ne délivrons ni certifications, ni accréditations, ni attestations de conformité, ni opinions d'audit, et notre travail ne constitue ni un audit légal ni un audit interne.
Comment démarre une mission avec THEFOCUS
Le premier échange porte sur votre situation. Si notre intervention est pertinente, nous proposons un diagnostic cadré, avec un livrable défini, avant tout engagement plus important.
En discuter avec nous01
Un échange de travail
Quarante-cinq minutes avec la personne qui dirigerait la mission. Nous vous interrogeons sur la décision, les systèmes qui la sous-tendent et l'échéance.
02
Un diagnostic cadré
Un accès en lecture seule, un délai fixé et des conclusions écrites : ce que révèlent les données, ce que cela coûte et ce qu'il faut changer en premier.
03
Un plan exploitable
Les changements, les responsables, les indicateurs et les exclusions, par écrit. La même équipe construit et mesure ensuite, ou assure une passation propre.
- Une seule équipe responsable
- Ceux qui posent le diagnostic construisent aussi les systèmes et mesurent le résultat.
- Des partenaires choisis selon le problème
- Des spécialistes indépendants interviennent sur les volets qui le nécessitent, dans le cadre d'un contrat unique.
- Les données sources avant les tableaux de bord
- Commandes, grands livres et journaux sont rapprochés avant qu'une recommandation ne s'appuie sur eux.
Les questions des dirigeants
Validez-vous la conformité juridique ou réglementaire ?
Non. Nous construisons les dossiers, les workflows et les contrôles, et préparons des projets. L'interprétation juridique et la validation restent du ressort de vos conseils qualifiés, et la certification de celui des organismes accrédités.
Réalisez-vous des audits ou délivrez-vous des certificats ?
Non. Nous ne réalisons ni audits légaux ni audits internes, n'émettons pas d'opinions d'audit et ne certifions pas la conformité. Nous préparons les dossiers, les contrôles et les preuves que vos auditeurs et vos organismes de certification examinent.
À quels types d'organisations s'adresse ce travail ?
Aux entreprises exposées à des risques fournisseurs, qualité, données ou validation qu'elles ne peuvent pas documenter aujourd'hui, et aux institutions qui font passer des processus manuels sur des systèmes numériques. Nous intervenons dans l'approvisionnement en carburants et en matières premières, le BTP, la distribution et l'e-commerce, l'alimentaire et l'épicerie, l'hôtellerie et les ports de plaisance.
Comment démarre une mission ?
Par un inventaire des risques connus et des incidents récents, et un accès en lecture aux systèmes où se trouvent les validations et les dossiers. Le premier livrable est un registre qui montre quelles expositions reposent sur des preuves et lesquelles n'en ont pas.
Comment travaillez-vous avec nos équipes juridique, audit et conformité ?
Elles fixent les exigences et gardent le jugement. Nous convenons avec elles de ce que chaque dossier doit contenir et sous quelle forme, puis nous l'intégrons aux systèmes que vos équipes utilisent déjà.
Que se passe-t-il une fois les contrôles en place ?
Votre équipe devient responsable des registres et des workflows. Nous pouvons mener des revues périodiques par rapport aux situations de référence convenues, ou transmettre l'ensemble avec une documentation exploitable par votre fonction d'audit interne.
En discuter avec nous
Quelques informations nous permettent d'orienter votre demande vers l'associé compétent. Les champs facultatifs peuvent rester vides.