GRC open source assistée par l’IA

Pilotez vos risques, votre conformité et votre SMSI depuis une plateforme unique

RiskPilot centralise les risques cyber, la conformité, les plans d’action, les audits, les tiers et la documentation ISMS. Son copilote IA gouverné accompagne ou pilote les parcours autorisés, en français comme en anglais.

Tester la démoVoir GitHubDocumentation
Open source · IA gouvernée · FR/EN · Multi-tenant · RBAC · MFA · NIS2 · ISO 27001
Une source de vérité

Qu’est-ce que RiskPilot ?

RiskPilot est un logiciel GRC open source qui relie inventaire, risques cyber, conformité, plans d’action, audits, tiers, résilience et documents du SMSI. Il s’adresse aux RSSI, responsables GRC et conformité, auditeurs, DSI, consultants et organisations qui souhaitent remplacer leurs registres dispersés par une plateforme traçable.

Centraliser

Remplacez les fichiers dispersés par des registres reliés, des preuves accessibles et une séparation stricte des organisations.

Structurer

Cadrez responsabilités, validations, workflows, échéances et traçabilité dans un outil commun.

Piloter

Consolidez risques, conformité, actions et indicateurs dans les tableaux de bord et rapports exécutifs.

Fonctionnalités disponibles

La chaîne GRC, sans rupture

Modules connectés

Chaque donnée nourrit la décision suivante

Périmètres & actifsRisquesActionsConformité & auditsVision 360°

Inventaire & risques

Les actifs, menaces, vulnérabilités et mesures composent les scénarios. Les scores conduisent au traitement et aux actions.

Assurance & résilience

Exigences, preuves et contrôles alimentent conformité et audits. Les incidents se relient aux actifs, tiers, risques et actions.

Gouvernance & documents

Les documents portent politiques, procédures et preuves. Le rapport exécutif agrège les registres sans les dupliquer.

Moteur de risque

Du contexte au traitement

PérimètreActifMenaceVulnérabilitéMesureVraisemblanceImpactScoreTraitement

Vraisemblance × impact

Chaque axe va de 1 à 5. Le produit donne un score de 1 à 25, classé selon des seuils personnalisables.

RiskPilot distingue les évaluations brute, actuelle et résiduelle dans une matrice 5 × 5.

Conformité continue

Reliez exigences, contrôles, preuves et corrections

Référentiels, évaluations, maturité, statuts, correspondances multinormes, tests et SoA versionnées.

  • Preuves avec provenance et couverture
  • Actions correctives liées aux résultats
  • Version approuvée immuable
Documents ISMS

Gouvernez le cycle documentaire

Politiques, procédures, instructions, registres, preuves et modèles avec propriétaire, classification et ACL.

  • Markdown et pièces jointes Word
  • Revue, approbation et prochaine échéance
  • Partage externe révocable et expirable
Sécurité par conception

Le backend reste l’autorité

RiskPilot aide les organisations à structurer et piloter leurs démarches de conformité. Il n’est pas présenté comme certifié ISO 27001.

Isolation multi-tenant
RBAC côté API
MFA TOTP
JWT 15 min
Refresh rotatif HttpOnly
Sessions révocables
Verrouillage progressif
Journal chaîné
Secrets chiffrés libsodium
ACL documentaires
Secrets affichés une fois
Webhooks signés HMAC
Architecture réelle

Un monorepo, des responsabilités nettes

SPA React/TypeScript/Vite avec Material UI, API Symfony/PHP-FPM, PostgreSQL, Redis, Messenger et Nginx.

ReactSymfonyPostgreSQLRedisDocker Compose
Navigateur↓Nginx :8080
SPA ReactAPI Symfony
PostgreSQL · Redis · Messenger
stockage privé · SMTP / Gmail / Graph
Installation rapide

Prêt avec Docker

Docker 24+, Compose v2, GNU Make et ports 8080/8025. PHP, Composer, Node.js et PostgreSQL ne sont pas requis sur l’hôte.

git clone https://github.com/aurelson101/riskpilot.git
cd riskpilot
cp .env.example .env
make install
make start
Guide complet
Actualités · 2 octobre 2026

Les dernières mises à jour de RiskPilot

IA gouvernée, notifications bilingues et intégrations renforcées : découvrez les changements, leurs usages et les limites des tests.

Une IA mieux encadrée

Contrôle des réponses, des relations et des actions proposées. Les brouillons restent soumis aux permissions et à la confirmation humaine.

Des notifications FR/EN

Treize événements métier localisés, déduplication améliorée et reprise différée des nouvelles publications en échec.

Email, agenda et Excel

OAuth email renforcé, séparation entre messagerie et identité, calendriers privés et exports XLSX mieux validés.

Lire le nouvel articleEssayer la démo
AGPL-3.0-or-later

Ouvert aux usages et aux contributions

Le dépôt public accueille issues et pull requests. Toute contribution doit préserver l’isolation tenant, les permissions, les tests et les règles de sécurité.

Voir le codeSignaler un problèmeProposer une amélioration
FAQ

Questions fréquentes

Oui. Le dépôt est public et sa licence déclarée est AGPL-3.0-or-later.

Oui. Docker Compose fournit les environnements local et de production.

Oui. L’organisation est la frontière de sécurité et les données sont filtrées côté API.

Oui, le MFA TOTP facultatif inclut QR code et codes de secours.

Oui, pour les emails via OAuth 2.0, Microsoft Graph ou Gmail API. SMTP est aussi disponible.

Oui, avec référentiels, évaluations, contrôles et SoA. RiskPilot n’est pas présenté comme certifié.

Les administrateurs peuvent créer référentiels et exigences. Aucun import générique n’est documenté comme disponible.

Oui, risques, actions, évaluations et SoA disposent d’exports CSV tenant-scoped.

Oui. La SPA utilise une API REST Symfony avec intégrations et clés de service.

Ouvrez une issue ou une pull request en respectant architecture, contrôles tenant, tests et sécurité.