Espace de décision et de différenciation #

La route /decision relie les informations GRC aux arbitrages de projet, financiers, de reporting, d’intégration et de tiers.

Security by Design #

Un dossier projet conserve sa criticité, les actifs, catégories de données, exigences, risques, actions, dérogations, jalons, avis sécurité et décision de mise en production. Son workflow passe d’un état actif à en cours, puis terminé, avec contrôle des droits.

Quantification financière #

Les scénarios combinent fréquence minimale et maximale, pertes minimale, probable et maximale, facteur de pertes indirectes, devise et version de modèle. Une approbation financière humaine est requise avant simulation ; le résultat ne constitue pas une décision automatique.

Vues, rapports et connecteurs #

Les vues 360° mémorisent filtres, colonnes, regroupements, périodes et comparaisons. Les modèles de rapport doivent être approuvés avant exécution et export JSON, CSV ou HTML. Les connecteurs déclarent fournisseur, sens de synchronisation, stratégie de conflit et propriété des champs ; une réconciliation produit un résultat traçable.

Portefeuille TPRM #

Le portefeuille classe les tiers par segment, criticité et score cyber, remonte les alertes et applique des fréquences de réévaluation. Vérifiez toujours les données sources avant un arbitrage contractuel ou budgétaire.

Contenu du PDF de décision #

Le PDF ne se limite plus à une copie du JSON. Il contient l’organisation, le type de rapport, la version du modèle, le générateur et l’approbateur, puis une synthèse des risques, contrôles, évaluations, actions et tiers. Selon les blocs approuvés, il détaille les dix principaux risques, les actions prioritaires et la situation de conformité. Une section rappelle que les arbitrages restent humains et expose la méthodologie et les limites des données sources.

Workflows, droits et contrôles #

Le Risk manager fait progresser un projet Security by Design avec POST /api/decision/projects/{id}/transition. Une transition incohérente retourne INVALID_TRANSITION. Un scénario financier ne peut être simulé qu’après approbation : fréquence et pertes doivent respecter minimum ≤ valeur probable ≤ maximum, avec un facteur indirect explicite.

Les modèles de rapport passent par approbation avant exécution. L’exécution crée un instantané reproductible ; l’export accepte uniquement pdf ou json. Le PDF est rendu côté serveur et téléchargé comme pièce jointe. Un format différent retourne UNSUPPORTED_FORMAT en HTTP 400.

Les connecteurs nécessitent un administrateur pour lancer la réconciliation. La stratégie de conflit et la propriété des champs doivent être relues avant une synchronisation bidirectionnelle. La vision plateforme est réservée au super-administrateur.

API de décision #

Avant un comité, figez la vue, exécutez le rapport approuvé, archivez son PDF et conservez le JSON pour une comparaison automatisée.