Meilleurs logiciels GRC en Suisse pour les ETI et les grands groupes en 2027

Une étude de Supplier Shield, écrite pour ceux qui signent : RSSI, DPO, directions financières et responsables conformité des ETI et des grands groupes suisses. Données collectées en septembre 2026 à partir des pages publiques des éditeurs, de leur documentation d’aide et des textes des régulateurs. Lorsqu’un éditeur ne publie rien, la mention est « non publié », et rien n’est estimé.

La réponse courte

Il faut choisir en fonction de la décision que vous devrez défendre, et non selon la liste des fonctionnalités. Une ETI qui doit faire tenir un seul programme autour de l’ISO 27001, de la LPD et du risque fournisseurs dispose d’une shortlist plus courte qu’il n’y paraît. Acuna GRC, Swiss GRC et GoCompliant sont les options suisses dont l’hébergement est documenté publiquement, tandis qu’IBM OpenPages et ServiceNow IRM restent naturels pour les entreprises déjà standardisées sur ces plateformes. Vanta et Drata répondent à un autre besoin, une première certification SOC 2 pour un éditeur de logiciels tourné vers les États-Unis, et Orbiq s’adresse aux acheteurs européens hors de Suisse.

Acuna GRC est notre choix pour une ETI régulée, ou pour un groupe présent dans plusieurs entités, qui veut des logiciels et des experts travaillant sur les mêmes registres. La plateforme est éditée par le groupe qui exploite Supplier Shield, la section méthodologie en fin d’article précise donc où cela compte.

Les règles suisses qui guident le choix

La loi fédérale révisée sur la protection des données (LPD) s’applique depuis le 1er septembre 2023. Une plateforme GRC qui traite des données personnelles, ce qui est le cas de la plupart d’entre elles, doit figurer dans votre registre des activités de traitement et dans vos contrats fournisseurs. Les banques et les assurances doivent aussi respecter la circulaire FINMA 2023/1, Risques opérationnels et résilience, en vigueur depuis le 1er janvier 2024 avec des délais transitoires pouvant aller jusqu’à deux ans, ainsi que la circulaire FINMA 2018/3 sur l’externalisation, qui fait du prestataire et de ses sous-traitants une partie de votre devoir de surveillance.

Deux règles européennes comptent lorsqu’un groupe suisse est exposé à l’UE. Le règlement DORA s’applique aux entités financières de l’UE depuis janvier 2025, si bien qu’une banque suisse disposant d’une filiale européenne doit y assurer la surveillance de ses prestataires TIC. La directive NIS2 est un texte européen : elle ne touche une entreprise suisse que lorsque celle-ci opère dans l’UE et entre dans son champ d’application. Enfin, la norme ISO/IEC 27001 n’est pas une obligation légale, mais la plupart des grands clients la demandent encore lors des appels d’offres.

Cinq questions à trancher avant de constituer votre shortlist

La shortlist

1. Acuna GRC : des logiciels et des experts sur un seul jeu de registres

Convient particulièrement aux banques et assurances sous surveillance de la FINMA, aux groupes multi-entités et multi-clients, aux équipes réparties, aux ETI régulées et aux MSSP. La feuille de route de conformité crée, pour le référentiel choisi, les exigences, les mesures, les contrôles, les tâches et les responsables en une seule validation. Une bibliothèque de contrôles unique couvre plus de 50 référentiels. Aiko, l’assistant, propose des modifications et attend qu’une personne les confirme. Il peut être désactivé pour toute l’organisation, et lorsqu’il est désactivé, aucune donnée n’est envoyée à un fournisseur d’IA. La gestion de groupe relie le siège et ses filiales, et Cookie Manager est opérationnel, avec ses registres de consentement et ses versions de bandeau.

Prix publié : à partir de CHF 6’390 par an, avec des utilisateurs illimités et le catalogue inclus. La gestion des risques tiers seule démarre à CHF 4’290 par an. Aiko, Supplier Shield, la protection des données, les contrôles d’accès avancés, la continuité d’activité, la gestion des risques et l’audit sont facturés séparément. La page tarifaire indique un hébergeur suisse, mais la gestion des clés n’est pas documentée publiquement.

Les points faibles : la liste des sous-traitants IA et la région de traitement du modèle fourni par Acuna GRC ne sont pas encore publiées. Demandez les deux par écrit. L’interface et la documentation sont disponibles en français et en anglais, l’allemand et l’espagnol étant en bêta. Utilisez la démonstration pour tester la structure de votre propre groupe.

2. Swiss GRC : un éditeur suisse établi, avec un assistant IA ajouté

Convient aux directions de l’espace germanophone qui connaissent déjà l’éditeur et veulent un référentiel avec un assistant par-dessus. La GRC Toolbox fonctionne sur Microsoft Azure en Suisse, le prix n’est pas publié, et l’interface est disponible en allemand et en anglais. Grace AI cite ses sources et respecte les droits des utilisateurs, ce qui est une bonne conception. Le produit est établi plutôt que natif IA par son origine. Demandez donc si le fournisseur du modèle et la région de traitement sont documentés, et si désactiver l’assistant signifie qu’aucun fournisseur n’est sollicité.

3. GoCompliant : quand la gestion des clés tranche

Convient aux dossiers où la gestion des clés est le critère décisif, y compris les dossiers soumis au secret bancaire au sens de l’article 47 de la loi sur les banques (LB). GoCompliant fonctionne sur Azure Suisse, réplique entre les régions Suisse Nord et Suisse Ouest, accepte votre propre clé et propose un déploiement sur site. Le prix est une offre individuelle, et l’interface est disponible en allemand et en français. Vérifiez la couverture des référentiels en démonstration, par rapport à votre propre liste.

4. Priverion : protection des données et sécurité à l’échelle du groupe

Convient à un bureau de la protection des données multi-entités qui a besoin d’une vue unique sur la protection des données et la sécurité de l’information entre les entités juridiques. La plateforme est hébergée en Suisse, sur Kubernetes géré. Le modèle de prix est publié par entité juridique, mais le montant ne l’est pas. L’interface est disponible en anglais.

5. IBM OpenPages : la gestion des risques d’entreprise pour les grandes banques

Convient aux grandes banques déjà standardisées sur IBM. La solution peut tourner sur IBM Cloud, sur d’autres clouds ou sur site. Les prix catalogue sont publiés à partir de USD 3’300 pour OpenPages Essentials sur AWS, et le prix sur site se demande auprès de l’éditeur. Prévoyez le budget de déploiement, car l’effort dépend du nombre d’entités et de référentiels à intégrer.

6. ServiceNow IRM : le risque sur la plateforme que l’informatique utilise déjà

Convient aux entreprises déjà standardisées sur la plateforme Now. Le service est fourni depuis des centres régionaux, et la résidence des données en Suisse n’est pas publiée. Le prix n’est pas publié non plus. Demandez donc le coût complet, licences, modules et déploiement compris.

7. Orbiq : hébergé dans l’UE, conçu pour les PME européennes

Convient aux PME et aux ETI européennes qui veulent un hébergement dans l’UE par défaut. Le prix est publié, et l’interface est disponible en anglais, en allemand, en français et en néerlandais. Ce n’est pas un éditeur suisse : vérifiez donc sa couverture de la LPD si vos clients sont en Suisse.

8. Vanta et Drata : un premier SOC 2 pour un logiciel tourné vers les États-Unis

Convient aux éditeurs de logiciels qui préparent un premier audit américain. Vanta est hébergé aux États-Unis par défaut, avec Francfort sur demande explicite à l’onboarding, et non de façon rétroactive. Drata est principalement hébergé aux États-Unis et facture par référentiel. Nous n’avons pas trouvé de correspondance publiée avec la FINMA ou la LPD, et les prix sont sur demande ou non publiés.

Comparatif

Uniquement des faits publiés, à la date de septembre 2026. Sur téléphone, faites défiler le tableau latéralement pour voir toutes les colonnes.

Également évalués mais hors de cette shortlist : COMPLYANT couvre le droit fédéral suisse de l’environnement, de la sécurité des installations et de la santé au travail, sans couverture cyber. SwissSafeComply est un outil d’entrée de gamme pour la LPD, destiné aux très petites entreprises. SAP GRC gère les contrôles d’accès et la séparation des tâches dans l’ERP, pour les entreprises qui utilisent déjà SAP.

Le coût réel, et la ligne qui fait varier la facture

Le prix d’entrée n’est que rarement le coût total. Pour Acuna GRC, ce sont les options qui font la facture, car la gestion des risques tiers, la protection des données et l’IA ont chacune leur propre ligne. COMPLYANT facture selon le nombre de sites, de CHF 125 à 480 par mois, en plus d’une licence de base de CHF 3’100 à 8’200. SwissSafeComply démarre à CHF 129 par mois pour un besoin limité à la protection des données. IBM publie des prix catalogue à partir de USD 3’300, et la plupart des autres éditeurs répondent sur demande. Demandez à chaque éditeur de chiffrer le même périmètre sur trois ans, avec les mêmes référentiels, entités et utilisateurs, pour que les montants soient comparables.

Questions pour la démonstration, et questions à obtenir par écrit

Posez les premières en démonstration et les secondes par écrit. Une réponse écrite engage l’éditeur, alors qu’une réponse orale en démonstration ne l’engage pas.

Comment cette liste a été établie, et où nous avons un intérêt

Supplier Shield fait partie du même groupe qu’Acuna GRC. Acuna GRC figure dans chaque grille et est soumise aux mêmes règles que les autres plateformes, et chaque fiche Acuna GRC repose sur sa documentation publique. Nous n’avons réalisé aucun test pratique chez un concurrent. Lorsqu’un score dépend d’une affirmation que nous n’avons pas pu vérifier, la fiche indique « non publié » plutôt que de deviner.

Nous évaluons la documentation publique, et non le comportement réel. Un éditeur peut donc faire mieux que ce qu’il publie. Testez la shortlist sur votre propre périmètre avant de décider, et considérez cette page comme un point de départ, non comme un verdict.

Questions fréquentes

Quel est le meilleur logiciel GRC pour une ETI en Suisse ?

Pour une ETI qui doit faire tenir l’ISO 27001, la LPD et le risque fournisseurs dans un seul programme, notre choix est Acuna GRC, car sa feuille de route de conformité et sa bibliothèque de contrôles partagée réduisent l’effort interne. Si la gestion des clés est le critère décisif, commencez par GoCompliant.

Quels logiciels GRC utilisent les banques suisses ?

Les grandes banques standardisent souvent sur IBM OpenPages ou ServiceNow IRM. Les banques et assurances de taille moyenne comparent généralement ces solutions à des plateformes qui couvrent, dans un seul registre, la circulaire FINMA 2023/1, l’externalisation et la surveillance des tiers. Testez chaque candidat par rapport à cette circulaire avant de décider.

Un logiciel GRC doit-il être hébergé en Suisse ?

La LPD n’impose pas d’hébergement en Suisse. Les banques et de nombreuses entreprises en font toutefois une règle interne, et certains contrats clients aussi. Demandez à chaque éditeur, par écrit, le lieu d’hébergement, la gestion des clés et la région de traitement de l’IA.

Acuna GRC est-elle certifiée ISO 27001 ?

Oui. Acuna GRC est certifiée ISO 27001, et les clients peuvent demander le certificat pendant l’évaluation.

Pour aller plus loin

Pour la vue complète de due diligence sur le marché suisse, lisez Logiciels GRC en Suisse : le panorama 2027 et l’indice de divulgation. Pour la question de l’IA dans chaque outil GRC, lisez GRC IA native en 2027. Pour comparer les prix, consultez le benchmark tarifaire GRC. Pour la gestion des risques tiers, voyez Supplier Shield. Pour une comparaison côte à côte d’Acuna GRC et de Swiss GRC, voyez la page d’alternatives à Swiss GRC.

Sources

Loi fédérale sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023 : fedlex.admin.ch. Circulaires FINMA 2023/1, Risques opérationnels et résilience, et 2018/3, Externalisation : finma.ch. Règlement (UE) 2022/2554 (DORA) : eur-lex.europa.eu. Pages publiques et documentation d’aide des éditeurs Acuna GRC, Swiss GRC, GoCompliant, Priverion, IBM, ServiceNow, Orbiq, Vanta et Drata, consultées en septembre 2026.