Risk Management Consultant

Description de l'offre

BNP Paribas est présent dans 75 pays avec plus de 185,000 collaborateurs dont 145,000 en Europe. Acteur de premier plan sur ses deux d'activités majeures: le financement des particuliers et le financement des entreprises et institutionnels.

Chez BNP Paribas, nous travaillons en continuellement pour nos clients en les accompagnants dans la réalisation de leurs projets partout dans le monde.
Participez à cet élan et accompagnez nos clients sur les marchés matures et émergeants, grâce à des solutions, des services et des produits de financement dédiés.

Une forte culture du risque associée à une gestion équilibrée, nous ont permis de devenir un groupe bancaire international majeur et de renforcer nos succès.

En nous rejoignant, vous ferez partie intégrante de cette dynamique qui embrasse les nationalités, les cultures et les expériences de personnes venues du monde entier et qui reflète notre engagement international.

Contexte et enjeux
Le département Information and Communications Technology Risk (ICT RISK) est intégré à la Fonction Risques de BNP Paribas. Il contribue à la seconde ligne de défense du groupe placé sous la responsabilité du Chief Cyber & Technology Risk Officer de la Banque. Le département a la responsabilité de l'identification des risques IT majeurs et d'accompagner les Métiers/Fonctions et leurs partenaires technologiques dans leur décision. Cela consiste en :
• l'évaluation, en liaison avec les équipes métiers et IT, des risques IT et de sécurité liés aux applications et aux infrastructures existantes et futures. La participation et le suivi des plans de mitigation associés ou d'acceptation du risque,
• de manière horizontale, l'évaluation des risques IT transverses au groupe concernant un thème spécifique ou une technologie en particulier (le processus changement relatif aux firewalls, les applications qui traitent plusieurs millions d'opérations par jour, le cloud, etc.),
• de manière verticale, l'évaluation des risques IT d'un produit, d'un service, d'une technologie ou d'une infrastructure. A titre d'illustration nous pouvons procéder à une analyse de risque de bout en bout de notre solution de télétravail – infrastructure, applications, données, menaces… - ou encore les connections du groupe à Internet,
• le développement d'un partenariat avec les Métiers/Fonctions et leur IT pour leur bonne compréhension de leur profil de risque IT et d'accompagner leurs décisions,
• l'analyser de la surface d'exposition aux attaques / le panorama des menaces et la proposition d'un regard indépendant de la posture sécurité et de l'appétence aux risques aux parties prenantes,
• la mise en œuvre de plans de contrôles récurrents auprès et pour les entités du Groupe.

L'équipe Risk Measurement joue un rôle essentiel dans l'évaluation de la posture « sécurité » de la banque. Elle facilite le processus de prise de décisions concernant de nouveaux produits, services, technologies ou de nouvelles infrastructures.

L'équipe Risk Measurement est en charge de la coopération interne et externe avec les parties prenantes et les filières sécurité autour de thème tels que l'émergence des nouveaux risques ou l'évaluation des risques liés à l'usage de nouvelles technologies, la mesure de l'efficacité des dispositifs mis en œuvre via des plans de contrôles, pour proposer de façon proactive une compréhension indépendante des risques de cyber sécurité.

Vos missions
En tant que Risk Management Consultant vous devez contribuer à l'identification et la présentation des risques ICT et recommander des mesures aux interlocuteurs clés du métier. Vous devez être précis et rigoureux dans votre démarche intellectuelle, et vous disposes d'une bonne capacité d'analyse et d'un fort background technique-Cyber. Un relationnel adapté, une capacité de négociation et de gestion des conflits et une bonne compréhension des besoins métiers et techniques des parties prenantes sont des éléments clés de ce poste.

Le Risk Management Consultant doit être autonome, disposer de la capacité de jugement nécessaire à définir les priorités et les ressources à mobiliser. Il doit porter un intérêt certain pour les problématiques « cyber », l'actualité « sécurité » ou les évolutions technologiques (Cloud, IoT, nouveaux outils sécurité…).
Ce rôle est actuellement en mode start-up au sein de la seconde ligne. A terme, l'équipe comportera une dizaine de personnes. Le Risk Management Consultant participera à cet effort.

En tant que Consultant, vous rapportez directement au responsable de l'activité of Risk Assessment et collaborez avec les partenaires IT, Sécurité et les autres membres des équipes ORC ICT.
Environnement de Gestion des Risques :
• Identification & évaluation : Réalisation d'analyses de risques cyber, IT et opérationnels sur toutes les entités du Groupe à partir d'interviews, d'analyse de documents, de résultats d'audits, des données de pertes internes et externes, des plans de contrôles… Définition et mesures des KPIs, KRIs. Amélioration des méthodes et outils employés. Support aux autres équipes ORC ICT sur l'évaluation du respect de la gestion de la sécurité et risques technologiques et applications du Groupe. Fournir des activités d'évaluation des risques pour les métiers et entités du Groupe.
• Contrôles : Amélioration de l'efficacité du programme de contrôle interne en réalisant la revue de l'environnement de contrôle, l'évaluation des risques, la réalisation des opérations de contrôle, le système d'information et de communication, la qualité de la supervision. Evaluation des stratégies de réponse aux risques opérationnels. Validation des options de transfert des risques. Participation au développement de la culture des risques dans la banque. Mesure récurrente de la conception et de l'efficacité des contrôles.
• Reportings : Participation au processus de supervision de la Direction en assurant le monitoring régulier des risques opérationnels et l'exposition aux pertes. Participation à la réalisation des reportings aux comités de management et aux lignes métiers. Amélioration des reportings de façon continue. Retour aux entités pour améliorer les processus de gestion des risques, les politiques, procédures et bonnes pratiques.
• Reportings réglementaires : Participation à la mise à jour des déclarations réglementaires au format standard défini par la banque et conformément à la politique approuvée par le la Direction. Participation à la définition des reportings réglementaires sur le contrôle interne. Implémentation d'un processus pour évaluer l'a déquation des déclarations, en incluant leur vérification et leur fréquence.
Governance and supervision :
• Participation à l'é tablissement du programme d'évaluation des risques IT du Groupe au sein des trois lignes de défense en alignement avec le framework de gestion des risques Groupe.
• Participation à l'i mplémentation efficace et la communication des politiques et procédures de gestion des risques opérationnels IT.
• Participation à la supervision du risque opérationnel et à l'assurance que les pratiques sont consistantes avec les exigences réglementaires et les bonnes pratiques de la Place.
• Participation aux comités de gouvernance des Risques et organisation de comités lorsque cela est approprié.
• Participation au modèle de supervision global des risques pour les projets IT et les projets de transformation incluant la revue des partenaires et fournisseurs principaux.

Votre profil
Vous êtes diplômé(e) Bac +5 et justifiez d' au moins 3 ans d'expérience en tant que « Cyber Security Expert » ou « Information Security Analyst », « Information Security Analyst », « Risk analysis consultant » de préférence dans le secteur financier.

Votre niveau d'anglais est courant.

• Qualification professionnelle reconnue dans le domaine de la sécurité de l'information telle que CISSP, CISM/CISA, CRISC, CEH...

Pour réussir sur le poste, vous avez une :
• Connaissance des frameworks de contrôle et des prérogatives de la Conformité (eg. COSO, LSF, CRBF97-02).
• Connaissance des réglementations relatives à l'activité (ie. Comité de Bâle, ECB, AMF, FSA, FFIEC, SMA, HKMA, FED, CNI/LPM, CNIL/GDPR/Privacy, PCI DSS…)
• Bonne compréhension des processus de gestion des risques et du concept des « 3 lignes de défense ».

Vous maîtrisez les frameworks et normes de sécurité tels que : NIST, FFIEC, CIS20, famille ISO27K et notamment ISO2705,ISO15408…et vous maîtrisez les fondamentaux conceptuels applicables à l'environnement cyber, aux cyber risques et aux cyber menaces.

Enfin, vous faites preuve de capacité d'analyse et de synthèse. De plus, votre capacité d'initiative ainsi que votre capacité à communiquer et à vous adapter vous permettront de réussir sur le poste.