SOMMAIRE DU POSTE

Kruger est à la recherche d'un(e) responsable de la pratique Gouvernance, risques et conformité (GRC) afin de diriger et de faire évoluer cette fonction au sein de l'organisation. Relevant du Directeur Cybersécurité, le/la titulaire du poste agit comme principal responsable opérationnel de la GRC. Entre autres, il/elle définit la feuille de route de la pratique GRC, dirige la conception et l'amélioration continue du cadre de gouvernance de la cybersécurité, supervise les programmes de gestion des risques et de conformité en cybersécurité, en plus de développer et d'encadrer les capacités GRC, tant sur le plan des ressources et des méthodologies que des outils. Le/la responsable GRC doit également soutenir le Directeur Cybersécurité, dans ses interactions avec la direction, les auditeurs et les organismes de réglementation en fournissant des analyses structurées, des rapports consolidés sur les risques et des recommandations éclairées.

Il s'agit d'un rôle clé qui fait le pont entre la sécurité technologique, les priorités d'affaires et les exigences réglementaires.

PRINCIPALES RESPONSABILITÉS

Gouvernance
• Élaborer, maintenir et communiquer les politiques, normes et lignes directrices en cybersécurité, en les harmonisant avec les objectifs de l'entreprise et les cadres de référence reconnus de l'industrie (NIST CSF, ISO 27001, CIS Controls, SCF).
• Assurer la coordination des activités de gouvernance opérationnelle (comités de travail, révisions de politiques, évaluations de la maturité des contrôles) et préparer les comités de gouvernance de niveau exécutif présidés par le Directeur Cybersécurité,.
• Définir la stratégie de mesure des indicateurs clés de performance (KPI) et des indicateurs clés de risque (KRI) en cybersécurité, en plus d'assurer une visibilité adéquate de la performance et de l'exposition aux risques.

Gestion des risques
• Superviser le programme d'évaluation des risques à l'échelle de l'entreprise dans les environnements TI, TO et infonuagiques, et réaliser les évaluations portant sur les secteurs les plus complexes ou stratégiques.
• Assurer la gestion du registre des cyberrisques de l'entreprise, en veillant à ce que les risques soient adéquatement catégorisés, priorisés et attribués aux responsables concernés, et consolider le portrait global des risques aux fins de présentation à la direction par le Directeur Cybersécurité.
• Collaborer avec les responsables des risques afin de définir et de suivre les plans de traitement des risques, et escalader les risques qui dépassent les seuils de tolérance établis.
• Assurer la gestion du programme de gestion des risques liés aux tiers (méthodologie, classification des fournisseurs, supervision des évaluations) couvrant les fournisseurs, partenaires et fournisseurs de services gérés (MSP).
• Diriger le volet cyberrésilience dans le cadre des analyses d'impact sur les activités (BIA), des plans de continuité des activités (PCA) et des exercices de reprise après sinistre (DR), y compris les exercices de simulation et les leçons apprises.

Conformité et audit
• Assurer la gestion du programme de conformité couvrant les politiques et normes internes, ainsi que les réglementations applicables (RGPD, Loi 25, PCI-DSS, SOX, etc.).
• Agir à titre de responsable opérationnel des audits en cybersécurité (internes, externes et réglementaires), notamment en ce qui a trait à la collecte des preuves, à la gouvernance des mesures correctives et aux relations avec les auditeurs, avec le Directeur Cybersécurité comme responsable exécutif.
• Maintenir une connaissance à jour de l'évolution des exigences réglementaires et conseiller l'organisation quant à leurs répercussions.

Conseil stratégique
• Agir à titre de conseiller(ère) de confiance en fournissant des analyses structurées, des indicateurs pertinents et des recommandations concrètes.
• Préparer du matériel destiné au conseil d'administration, ainsi que des présentations pour la haute direction, et présenter des dossiers aux comités directeurs et aux comités de révision des risques, selon les mandats délégués par le Directeur Cybersécurité.
• Développer de solides relations de travail avec les parties prenantes afin d'assurer une approche cohérente en matière de cyberrisques.
• Promouvoir une culture de responsabilisation et d'amélioration continue en matière de gouvernance de la cybersécurité.

QUALIFICATIONS
• Baccalauréat en sécurité de l'information, en gestion des risques ou dans un domaine connexe.
• Certifications telles que CISM, CRISC, CISSP, ISO 27001 Lead Implementer/Auditor ou l'équivalent; les certifications CISM ou CRISC sont considérées comme un atout important.

EXPÉRIENCE
• 8 à 10 ans ou plus d'expérience professionnelle en gouvernance de la cybersécurité, en gestion des risques ou en conformité, incluant au moins 3 années à la tête d'une équipe, d'un programme ou d'une pratique GRC.
• Expérience démontrée dans la gestion de registres de risques, de programmes de conformité et de mandats d'audit.
• Expérience de travail avec des équipes multidisciplinaires (TI, TO, Affaires juridiques, Audit, unités d'affaires).

COMPÉTENCES ET APTITUDES

Compétences techniques
• Bonne connaissance des cadres de référence en cybersécurité (NIST CSF, ISO 27001, CIS Controls, SCF) et des méthodologies de gestion des risques (EBIOS, FAIR).
• Connaissance des exigences réglementaires (RGPD, Loi 25, SOX, PCI-DSS, NERC).
• La connaissance d'outils et de plateformes GRC constitue un atout.

Compétences non techniques
• Excellentes capacités d'analyse et de pensée critique.
• Capacité à synthétiser et à présenter des informations complexes à la haute direction dans un langage d'affaires clair.
• Excellentes aptitudes organisationnelles et de gestion des parties prenantes.
• Approche collaborative et sens de la diplomatie, avec un grand souci du détail.
• Leadership et aptitudes en coaching; capacité à exercer une influence sans lien d'autorité formel auprès des différentes unités d'affaires.
• Aisance à évoluer dans un contexte d'ambiguïté et à composer avec des priorités concurrentes.

LANGUES
• Maîtrise du français et de l'anglais, à l'oral comme à l'écrit.

La connaissance de l'anglais est requise pour ce poste spécifique, car Kruger fait affaire avec des partenaires partout en Amérique du Nord et le candidat retenu devra communiquer fréquemment avec ces derniers. Kruger a pris tous les moyens raisonnables pour éviter d'imposer la connaissance de l'anglais, notamment en évaluant les besoins linguistiques réels associés aux tâches à accomplir, en s'assurant que les connaissances linguistiques déjà requises des autres membres du personnel étaient insuffisantes pour l'exercice de ces fonctions et en limitant autant que possible le nombre de postes comportant des fonctions dont l'exercice requiert la connaissance de l'anglais.