Ce socle se chiffre sur devis. Cet agent est proposé, et ses capacités sont bien celles décrites ci-dessous. Son prix dépend de votre parc : nombre de systèmes suivis, volume traité, raccordements à ouvrir et niveau de service attendu. Nous le chiffrons donc sur devis, après un cadrage de votre besoin — et le devis engage le périmètre.
Si vous exploitez déjà un agent qui couvre une partie de ce périmètre, cette partie n'est pas refacturée : seule l'extension réelle se chiffre.
Demander un devis
● Offre B2B — Identités & habilitations
IAM et revues d'accès : qui accède à quoi, pourquoi, et l'écart à corriger
Une revue d'habilitations se fait au tableur, une fois par an, sur les applications qu'on a le temps de regarder. Votre agent travaille sur les extractions que vous lui déposez : il relie les comptes aux personnes, expose le chemin de chaque droit, nomme les écarts avec la règle qui les fonde et prépare l'ordre de changement. Hébergé en France : votre graphe d'habilitations, qui dit où sont vos clés, ne sort pas de l'entreprise. Retirer un accès reste une décision humaine, prise par le propriétaire de la ressource et tracée.
Hébergé en France
Graphe d'habilitations protégé
RGPD & AI Act : déploiement encadré
Supervision humaine
Mis à jour le
Déployé en quelques semaines
IAM & revues d'accès · hébergé en France
Où en est notre revue annuelle des habilitations ?
Sur les extractions déposées, chaque compte est relié à une personne ou à un service porteur, et chaque droit affiche son chemin d'héritage et son propriétaire.
Les écarts sont classés par ordre de portée, avec la règle, sa version et les valeurs observées.
Un compte que la donnée ne permet pas de trancher est marqué indéterminé, jamais conforme.
🔗 Sourcé · extractions déposées, avec la date et l'âge de chacune
Les écarts sont classés par ordre de portée, avec la règle, sa version et les valeurs observées.
Un compte que la donnée ne permet pas de trancher est marqué indéterminé, jamais conforme.
🔗 Sourcé · extractions déposées, avec la date et l'âge de chacune
Peut-on lui faire supprimer les accès des partants ?
L'ordre de changement est rédigé, complet et rejouable : compte, droit, motif, règle, propriétaire, effet attendu.
Retirer un accès peut interrompre une activité ou effacer une trace utile à une enquête : la décision appartient au propriétaire de la ressource, et l'effet n'est déclaré obtenu qu'après relecture de l'extraction suivante.
✎ Cadre · ordre préparé, décision et exécution humaines
Retirer un accès peut interrompre une activité ou effacer une trace utile à une enquête : la décision appartient au propriétaire de la ressource, et l'effet n'est déclaré obtenu qu'après relecture de l'extraction suivante.
✎ Cadre · ordre préparé, décision et exécution humaines
Inférence locale · traitements dans l'UE visés
Graphe d'habilitations hébergé en France
Souverain par constructionInférence locale ou hébergement France
RGPD & AI Act : déploiement encadréTraçabilité & supervision humaine
Clé en mainConçu, installé et exploité pour vous
Le propriétaire décideL'agent prépare, jamais ne révoque
✦ En bref
Un agent Blue Lemon Agent de revue des accès, qui travaille sur les extractions que vous déposez : il relie les comptes aux personnes, expose le chemin d'héritage de chaque droit et son propriétaire, nomme les écarts avec la règle et sa version, et rédige l'ordre de changement à porter à votre exploitant. Aucun accès n'est retiré par l'agent ; aucune connexion directe à un annuaire ou à un fournisseur d'identité n'est vendue ici. Il fonctionne en inférence locale ou est hébergé en France : votre graphe d'habilitations reste chez vous, architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité.
100 %
hébergé en France dans l'architecture cible
0
transfert hors UE dans l'architecture cible
12
modules de revue d'accès compris au socle
0
accès retiré sans décision humaine
Repères décrivant notre offre, et non des résultats mesurés chez un client. L'ampleur du gain sur le nombre de comptes, d'applications et de propriétaires se confirme par un pilote.
Le contexte
Qu'apporte un agent IA à votre revue des habilitations ?
Un droit dont on voit le chemin d'héritage et le propriétaire se tranche en une minute ; un tableur de comptes bruts se recopie pendant des semaines.
! L'enjeu
La CNIL recommande une revue régulière, a minima annuelle, des habilitations et la suppression des permissions dès qu'une personne n'est plus habilitée (CNIL, « Sécurité : gérer les habilitations », publié le 13/03/2024). Le travail qui coince n'est pas la décision : c'est de relier des milliers de comptes à des personnes, de retrouver qui répond de chaque application et de reconstituer d'où vient un droit. Ce travail est systématique, et il se prépare.
✓ Notre réponse
Vos propriétaires de ressources reçoivent des lots déjà instruits : le compte, la personne, le chemin du droit, la règle qui le questionne et les valeurs observées. Ils tranchent, et leur décision motivée est conservée avec sa date et son auteur. Un silence ne vaut jamais certification, et un compte que la donnée ne permet pas de trancher est marqué indéterminé. Inférence locale ou ressource isolée hébergée en France : le graphe qui décrit vos accès, et donc vos points d'entrée, ne sort pas de l'entreprise.
Le point décisif
Votre graphe d'habilitations : souveraineté & confidentialité
La liste de vos comptes à privilèges dit où sont vos clés. Sa confidentialité est un enjeu de sécurité en soi ; voici comment elle est tenue.
Inférence locale
L'agent peut tourner sur une machine de votre organisation : aucune extraction d'annuaire ni graphe d'habilitations ne sort du réseau.
Hébergement en France
Sinon, une ressource dédiée et isolée hébergée en France, sous droit français — vos extractions et vos décisions de revue : traitements et accès opérés dans l'Union européenne visés par l'architecture.
Exposition extraterritoriale réduite
Pour votre graphe d'habilitations et vos comptes à privilèges, l'architecture vise à réduire l'exposition au Cloud Act et au FISA 702 ; la seule localisation en France ou dans l'Union européenne ne garantit pas l'immunité.
Cloisonnement des entités
Chaque filiale, entité ou établissement a son propre espace : un lot de revue ne montre jamais les comptes d'une autre entité, et les rôles suivent ce cloisonnement.
Décisions conservées
Chaque décision garde son auteur, sa date, son motif et la version de règle appliquée ; chiffrement, accès par rôle (RBAC) et journalisation exploitable en contrôle.
AI Act : déploiement encadré
Agent strictement en appui ; aucun compte désactivé, aucun droit retiré et aucune campagne close automatiquement ; traçabilité et supervision humaine de bout en bout.
Ce qui dépend de l'architecture retenue Ces points ne sont pas des garanties générales : ils sont arrêtés déploiement par déploiement, au devis.
- La localisation applicable est celle de l'architecture décrite au devis et vérifiée avant mise en service.
- L'exécution locale n'est annoncée que pour la configuration explicitement décrite et recettée au devis.
- L'isolation applicable dépend du mode de déploiement décrit au devis ; aucune isolation dédiée n'est présumée.
- Les rôles et permissions sont configurés et recettés pour les identités et systèmes effectivement raccordés.
- Les événements journalisés, leur contenu, leur durée de conservation et leurs accès sont définis pour le déploiement retenu.
Pour les entités soumises à un régime sectoriel — services financiers, entités essentielles ou importantes —, options SecNumCloud et hébergement renforcé selon votre niveau d'exigence. Le périmètre d'un texte se vérifie entité par entité, et cette page n'en tient lieu ni de constat ni de garantie.
Démonstration
Voyez l'agent au travail
5 situations réelles, prises parmi celles qui reviennent le plus. Choisissez-en une : l'échange se déroule comme il se déroulerait chez vous.
Démonstration écrite à l'avance. Ces échanges illustrent le comportement de l'agent — ses sources, ses refus, ce qu'il laisse à vos équipes. Rien n'est envoyé depuis cette page, aucun modèle n'y est interrogé, et les dossiers cités sont fictifs. C'est précisément ce que nous promettons à vos données.
Les comportements montrés ici — surveillance, règles d'automatisation, routage et relances — sont paramétrés avec vous lors du déploiement, à partir de vos outils, de vos règles et de vos seuils.
Les points d'architecture cités dans ces échanges — localisation, exécution locale, isolation, chiffrement, accès par rôle, journalisation — ne sont pas une garantie attachée à la démonstration : ils sont ceux de l'architecture décrite à votre devis, et vérifiés avant mise en service.
L'entreprise de cette démonstration
Entreprise fictiveVallonis Participations — société holding animatrice, six participations et une société d'économie mixte
- Secteur
- Activités des sociétés holding (NAF 64.2) — détention, animation, direction financière et informatique mutualisées
- Effectif
- 41 salariés au siège, dont 3 à l'informatique mutualisée ; 2 340 personnes dans le périmètre consolidé, aucune fonction RSSI
- Participations servies
- 6 filiales et 1 SEM : services numériques, industrie, énergie, une clinique en participation, deux sociétés de portefeuille
- Ordre de grandeur
- 3 180 comptes actifs, 74 applications recensées, 214 comptes sans propriétaire nommé ; une revue par an, exigée par le commissaire aux comptes
- Outils en place
- Annuaire d'entreprise et outil de tickets au siège, un ERP financier partagé, quatre parcs applicatifs distincts en filiale — l'agent lit les EXTRACTIONS déposées, il ne se raccorde à aucun de ces outils
- Qui décide
- Le directeur administratif et financier du groupe arbitre les retraits ; la responsable du contrôle interne instruit et tient les preuves ; chaque directeur de filiale est propriétaire de ses applications ; l'infogéreur exécute les ordres signés
- Les points d'amélioration
- La revue 2025 a couvert 11 applications sur 74 et s'est arrêtée en avril faute de propriétaires identifiés ; 214 comptes n'ont personne en face, et 38 comptes de partants étaient encore actifs au moment de l'extraction
Vallonis Participations doit prouver chaque année au commissaire aux comptes que les accès de son périmètre consolidé sont revus. La difficulté n'est pas la décision : c'est que la holding ne détient aucun de ces comptes, que ses six participations n'ont ni le même annuaire ni le même vocabulaire, et qu'aucune fonction de sécurité ne tranche à leur place. L'agent tourne en inférence locale sur une machine du siège et lit les extractions que chaque filiale dépose, avec leur date. Il relie, explique, nomme les écarts et rédige les ordres ; le directeur administratif et financier décide, chaque directeur de filiale répond de ses applications, et l'infogéreur exécute. Les cinq onglets sont les cinq périmètres de la campagne 2026, du premier tri au dossier remis au commissaire.
Cette entreprise, ses chiffres et les échanges qui suivent ont été inventés pour la démonstration. Ils illustrent une situation courante ; ils ne décrivent aucun client réel.
IAM & revues d'accès · hébergé en France
La campagne 2026 est ouverte sur le premier périmètre : Sillage Numérique, votre filiale de services numériques. 412 comptes déposés le 2 septembre, 409 reliés à une personne ou à un service porteur, 3 laissés indéterminés.
Relier un compte, c'est établir qui en répond : une personne du fichier du personnel, ou un service technique avec un porteur nommé. Un rapprochement fondé sur le seul nom ne suffit pas — deux homonymes existent dans votre périmètre consolidé.
Ce que l'extraction du 2 septembre porte, et son âge : annuaire de la filiale — 6 heures ; fichier du personnel du siège — 31 heures ; journal de dernière connexion — 6 heures. Toutes sous le seuil de 72 heures que vous avez fixé.
La pièce d'entrée du lot est jointe : l'extraction telle que je l'ai reçue, sans retouche, avec l'empreinte du fichier déposé. Tout ce qui suit s'en déduit, et vous pouvez rejouer n'importe quel chiffre à partir d'elle.
Les quatre cas ouverts tiennent au même cycle — les arrivées, les mobilités et les départs —, et c'est là que les écarts naissent, jamais ailleurs :
· PME-01 — un compte applicatif encore actif seize jours après un départ. Contrat terminé le 17 août au fichier du personnel, compte ouvert et utilisé le 29 août. Changement demandé, priorité 1.
· PME-04 — un compte d'administration partagé entre trois personnes. Trois postes distincts s'y authentifient sur trente jours. Aucune action faite depuis ce compte n'est imputable à quelqu'un : je ne peux pas le certifier, j'ouvre une exception datée, priorité 1.
· PME-02 — un compte invité inactif depuis 190 jours, propriétaire identifié : la directrice de projet qui l'avait demandé. Éligible à la revue, priorité 2.
· PME-03 — une arrivée du 1er septembre. Je propose les droits de base de sa population, et rien d'autre : les huit droits que partagent les onze personnes du même métier, jamais ceux d'un collègue pris pour modèle. Revue assignée, priorité 4.
Ce que je vous propose : vous ouvrez le cas PME-01, vous voyez d'où vient le droit, et vous jugez si l'ordre que j'ai rédigé est celui que vous auriez écrit. extraction-deposee_sillage-numerique.csvPièce d'entrée · 412 lignes reçues, non retouchées lot-de-revue_sillage-numerique.pdf412 comptes, 4 cas ouverts, 3 indéterminés
⛓ Sourcé · extractions déposées le 02/09 (annuaire 6 h, fichier du personnel 31 h, connexions 6 h)
Relier un compte, c'est établir qui en répond : une personne du fichier du personnel, ou un service technique avec un porteur nommé. Un rapprochement fondé sur le seul nom ne suffit pas — deux homonymes existent dans votre périmètre consolidé.
Ce que l'extraction du 2 septembre porte, et son âge : annuaire de la filiale — 6 heures ; fichier du personnel du siège — 31 heures ; journal de dernière connexion — 6 heures. Toutes sous le seuil de 72 heures que vous avez fixé.
La pièce d'entrée du lot est jointe : l'extraction telle que je l'ai reçue, sans retouche, avec l'empreinte du fichier déposé. Tout ce qui suit s'en déduit, et vous pouvez rejouer n'importe quel chiffre à partir d'elle.
Les quatre cas ouverts tiennent au même cycle — les arrivées, les mobilités et les départs —, et c'est là que les écarts naissent, jamais ailleurs :
· PME-01 — un compte applicatif encore actif seize jours après un départ. Contrat terminé le 17 août au fichier du personnel, compte ouvert et utilisé le 29 août. Changement demandé, priorité 1.
· PME-04 — un compte d'administration partagé entre trois personnes. Trois postes distincts s'y authentifient sur trente jours. Aucune action faite depuis ce compte n'est imputable à quelqu'un : je ne peux pas le certifier, j'ouvre une exception datée, priorité 1.
· PME-02 — un compte invité inactif depuis 190 jours, propriétaire identifié : la directrice de projet qui l'avait demandé. Éligible à la revue, priorité 2.
· PME-03 — une arrivée du 1er septembre. Je propose les droits de base de sa population, et rien d'autre : les huit droits que partagent les onze personnes du même métier, jamais ceux d'un collègue pris pour modèle. Revue assignée, priorité 4.
Ce que je vous propose : vous ouvrez le cas PME-01, vous voyez d'où vient le droit, et vous jugez si l'ordre que j'ai rédigé est celui que vous auriez écrit. extraction-deposee_sillage-numerique.csvPièce d'entrée · 412 lignes reçues, non retouchées lot-de-revue_sillage-numerique.pdf412 comptes, 4 cas ouverts, 3 indéterminés
⛓ Sourcé · extractions déposées le 02/09 (annuaire 6 h, fichier du personnel 31 h, connexions 6 h)
Le compte du partant, on le coupe tout de suite ?
L'ordre est écrit et il est prêt : compte, droit, motif, règle appliquée, propriétaire, effet attendu, et il se rejoue sans effet double. Ce qu'il attend, c'est votre signature — pas la mienne.
Pourquoi je ne la prends pas à votre place, et ce n'est pas une précaution de forme : ce compte porte encore l'ordonnancement de deux traitements de facturation nocturnes et il est propriétaire de onze fichiers partagés. Le couper ce soir arrête la facturation de demain matin. C'est exactement le genre d'effet qu'une révocation automatique ne voit pas.
Ce que j'ai préparé pour que la coupure soit sans conséquence, et c'est le travail que personne n'a le temps de faire :
· les deux traitements réordonnancés sous le compte de service svc-factu-nuit, porteur nommé, avec la fenêtre de bascule ;
· les onze fichiers transférés à la directrice de projet, liste jointe ;
· l'ordre de retrait, à porter à votre infogéreur, avec la date d'effet que vous choisissez. C'est cela, une remédiation contrôlée : un ordre rejouable, une date choisie, et l'effet vérifié sur la source avant d'être déclaré obtenu.
Le cadre : la CNIL recommande de supprimer les permissions dès qu'une personne n'est plus habilitée (« Sécurité : gérer les habilitations », publié le 13/03/2024). Elle recommande de le faire, elle ne dit pas de le faire à l'aveugle : seize jours de retard se rattrapent en une signature, une facturation arrêtée met une semaine.
Ce que je ferai après votre signature : j'attends l'extraction suivante et je relis le compte. Tant que la source ne le montre pas fermé, l'effet n'est pas déclaré obtenu — un ordre envoyé n'est pas un ordre appliqué. ordre-de-changement_PME-01.pdfRetrait préparé, dépendances traitées, effet à confirmer
✎ Cadre · ordre rédigé, décision au propriétaire, effet confirmé sur la source
Pourquoi je ne la prends pas à votre place, et ce n'est pas une précaution de forme : ce compte porte encore l'ordonnancement de deux traitements de facturation nocturnes et il est propriétaire de onze fichiers partagés. Le couper ce soir arrête la facturation de demain matin. C'est exactement le genre d'effet qu'une révocation automatique ne voit pas.
Ce que j'ai préparé pour que la coupure soit sans conséquence, et c'est le travail que personne n'a le temps de faire :
· les deux traitements réordonnancés sous le compte de service svc-factu-nuit, porteur nommé, avec la fenêtre de bascule ;
· les onze fichiers transférés à la directrice de projet, liste jointe ;
· l'ordre de retrait, à porter à votre infogéreur, avec la date d'effet que vous choisissez. C'est cela, une remédiation contrôlée : un ordre rejouable, une date choisie, et l'effet vérifié sur la source avant d'être déclaré obtenu.
Le cadre : la CNIL recommande de supprimer les permissions dès qu'une personne n'est plus habilitée (« Sécurité : gérer les habilitations », publié le 13/03/2024). Elle recommande de le faire, elle ne dit pas de le faire à l'aveugle : seize jours de retard se rattrapent en une signature, une facturation arrêtée met une semaine.
Ce que je ferai après votre signature : j'attends l'extraction suivante et je relis le compte. Tant que la source ne le montre pas fermé, l'effet n'est pas déclaré obtenu — un ordre envoyé n'est pas un ordre appliqué. ordre-de-changement_PME-01.pdfRetrait préparé, dépendances traitées, effet à confirmer
✎ Cadre · ordre rédigé, décision au propriétaire, effet confirmé sur la source
Et les 214 comptes sans propriétaire dont on parle depuis deux ans ?
Sur ce périmètre, ils sont 61. J'en ai proposé un propriétaire pour 47, et je vous dis sur quoi je me fonde — vous corrigez ce qui est faux.
La méthode, et elle ne devine rien : pour chaque application sans responsable, je regarde qui a demandé les accès dans vos tickets, qui les a validés, et quel service concentre les connexions. Quand les trois convergent, je propose ; quand ils divergent, je le dis.
· 34 applications : les trois indices convergent. Proposition faite, à confirmer d'un clic par le directeur de filiale.
· 13 applications : deux indices sur trois. Proposition faite, avec le désaccord affiché — c'est le contrôle de gestion qui valide, mais les connexions viennent des opérations.
· 14 applications : rien ne converge. Je ne propose personne. Une de ces quatorze n'a plus aucune connexion depuis 400 jours : la vraie question n'est pas qui en répond, c'est si elle doit encore exister.
Le chiffre qui ne m'arrange pas, et je le publie : sur les 47 propositions, votre contrôle interne en a récusé 6 lors du test à blanc — toutes des applications reprises d'une acquisition de 2023, où les tickets d'origine appartiennent à une société qui n'existe plus. 13 % de mes propositions étaient fausses sur ce sous-ensemble, et zéro ailleurs. J'ai donc ajouté une règle : une application issue d'une acquisition antérieure à sa reprise ne reçoit plus de proposition automatique, elle part directement au directeur de filiale.
Ce que je vous propose ensuite : passer au périmètre industriel, où le sujet n'est plus le propriétaire mais le cumul de droits. proprietaires-proposes_61-applications.pdf47 propositions, 14 abstentions, 6 récusées au test à blanc
⛓ Sourcé · 3 400 tickets d'accès, journaux de connexion 12 mois, historique des validations
La méthode, et elle ne devine rien : pour chaque application sans responsable, je regarde qui a demandé les accès dans vos tickets, qui les a validés, et quel service concentre les connexions. Quand les trois convergent, je propose ; quand ils divergent, je le dis.
· 34 applications : les trois indices convergent. Proposition faite, à confirmer d'un clic par le directeur de filiale.
· 13 applications : deux indices sur trois. Proposition faite, avec le désaccord affiché — c'est le contrôle de gestion qui valide, mais les connexions viennent des opérations.
· 14 applications : rien ne converge. Je ne propose personne. Une de ces quatorze n'a plus aucune connexion depuis 400 jours : la vraie question n'est pas qui en répond, c'est si elle doit encore exister.
Le chiffre qui ne m'arrange pas, et je le publie : sur les 47 propositions, votre contrôle interne en a récusé 6 lors du test à blanc — toutes des applications reprises d'une acquisition de 2023, où les tickets d'origine appartiennent à une société qui n'existe plus. 13 % de mes propositions étaient fausses sur ce sous-ensemble, et zéro ailleurs. J'ai donc ajouté une règle : une application issue d'une acquisition antérieure à sa reprise ne reçoit plus de proposition automatique, elle part directement au directeur de filiale.
Ce que je vous propose ensuite : passer au périmètre industriel, où le sujet n'est plus le propriétaire mais le cumul de droits. proprietaires-proposes_61-applications.pdf47 propositions, 14 abstentions, 6 récusées au test à blanc
⛓ Sourcé · 3 400 tickets d'accès, journaux de connexion 12 mois, historique des validations
Orion Industrie, votre filiale industrielle multi-sites : 1 148 comptes, 22 applications, un ERP partagé avec le siège. Quatre cas, et le premier est celui que votre commissaire aux comptes cherchera.
· ETI-01 — une personne détient à la fois la création de fournisseur et la mise en paiement. Le cumul de ces deux droits permet, à lui seul, de créer un fournisseur et de lui payer une facture sans qu'un tiers intervienne. Règle SoD-04 de votre matrice, version 3, adoptée le 12 janvier 2026. Les deux droits ne viennent pas du même endroit : la création est directe, posée à la main en 2021 ; la mise en paiement est héritée du groupe Compta-Sites, lui-même membre de Finance-Étendue. Aucun contrôle compensatoire n'est déclaré. Exception ouverte, priorité 1.
· ETI-02 — un compte d'administration de l'ERP, sans connexion depuis 120 jours. Privilège permanent, inactivité mesurée. Changement demandé, priorité 1.
· ETI-03 — un accès de projet dont la date de fin était le 31 août 2026, toujours ouvert au 2 septembre. Changement demandé, priorité 2.
· ETI-04 — une application sans propriétaire. Aucune certification par défaut : personne ne peut certifier ce dont personne ne répond. Exception ouverte, priorité 3.
Ce que je vous propose : pour ETI-01, trois issues chiffrées plutôt qu'un signalement — vous choisissez celle qui tient dans votre organisation. conflit-separation-des-taches_ETI-01.pdfRègle SoD-04 v3, deux chemins d'héritage, trois issues chiffrées
⛓ Sourcé · extraction ERP du 02/09 (8 h), matrice SoD v3 du 12/01/2026, journal des attributions
· ETI-01 — une personne détient à la fois la création de fournisseur et la mise en paiement. Le cumul de ces deux droits permet, à lui seul, de créer un fournisseur et de lui payer une facture sans qu'un tiers intervienne. Règle SoD-04 de votre matrice, version 3, adoptée le 12 janvier 2026. Les deux droits ne viennent pas du même endroit : la création est directe, posée à la main en 2021 ; la mise en paiement est héritée du groupe Compta-Sites, lui-même membre de Finance-Étendue. Aucun contrôle compensatoire n'est déclaré. Exception ouverte, priorité 1.
· ETI-02 — un compte d'administration de l'ERP, sans connexion depuis 120 jours. Privilège permanent, inactivité mesurée. Changement demandé, priorité 1.
· ETI-03 — un accès de projet dont la date de fin était le 31 août 2026, toujours ouvert au 2 septembre. Changement demandé, priorité 2.
· ETI-04 — une application sans propriétaire. Aucune certification par défaut : personne ne peut certifier ce dont personne ne répond. Exception ouverte, priorité 3.
Ce que je vous propose : pour ETI-01, trois issues chiffrées plutôt qu'un signalement — vous choisissez celle qui tient dans votre organisation. conflit-separation-des-taches_ETI-01.pdfRègle SoD-04 v3, deux chemins d'héritage, trois issues chiffrées
⛓ Sourcé · extraction ERP du 02/09 (8 h), matrice SoD v3 du 12/01/2026, journal des attributions
Sur un site de 90 personnes, on n'a pas trois personnes à mettre sur ce circuit.
C'est exact, et c'est pour cela que je vous donne trois issues plutôt qu'une injonction. Les voici, avec ce que chacune coûte réellement.
· Séparer les deux droits. La création de fournisseur passe à l'assistante de gestion du site. Coût réel : 4 dossiers par mois à réacheminer, mesuré sur vos douze derniers mois. Le conflit disparaît.
· Garder le cumul, et poser un contrôle compensatoire. Toute facture d'un fournisseur créé depuis moins de 30 jours part en visa du contrôle de gestion. Sur douze mois, cela aurait visé 11 factures — soit un peu moins d'une par mois. Le conflit devient une exception documentée, datée, avec son contrôle en face.
· Garder le cumul sans rien poser. C'est possible, et c'est votre droit — mais je l'écris tel quel dans le dossier : exception acceptée par le directeur administratif et financier le 6 septembre 2026, sans contrôle compensatoire, à revoir dans six mois. Votre commissaire aux comptes lira cette ligne, et elle sera exacte.
Ce que je recommande, chiffré : la deuxième. Elle coûte onze visas par an contre quarante-huit réacheminements pour la première, et elle laisse le circuit là où il fonctionne.
Ce qui vous revient, et à personne d'autre : déclarer que ce cumul est acceptable. C'est un arbitrage de risque, il porte votre nom, et une exception non signée n'est pas une exception — c'est un trou. issues-chiffrees_ETI-01.pdf3 issues, coût mesuré sur 12 mois, recommandation motivée
✎ Cadre · trois issues mesurées sur douze mois, arbitrage au directeur financier
· Séparer les deux droits. La création de fournisseur passe à l'assistante de gestion du site. Coût réel : 4 dossiers par mois à réacheminer, mesuré sur vos douze derniers mois. Le conflit disparaît.
· Garder le cumul, et poser un contrôle compensatoire. Toute facture d'un fournisseur créé depuis moins de 30 jours part en visa du contrôle de gestion. Sur douze mois, cela aurait visé 11 factures — soit un peu moins d'une par mois. Le conflit devient une exception documentée, datée, avec son contrôle en face.
· Garder le cumul sans rien poser. C'est possible, et c'est votre droit — mais je l'écris tel quel dans le dossier : exception acceptée par le directeur administratif et financier le 6 septembre 2026, sans contrôle compensatoire, à revoir dans six mois. Votre commissaire aux comptes lira cette ligne, et elle sera exacte.
Ce que je recommande, chiffré : la deuxième. Elle coûte onze visas par an contre quarante-huit réacheminements pour la première, et elle laisse le circuit là où il fonctionne.
Ce qui vous revient, et à personne d'autre : déclarer que ce cumul est acceptable. C'est un arbitrage de risque, il porte votre nom, et une exception non signée n'est pas une exception — c'est un trou. issues-chiffrees_ETI-01.pdf3 issues, coût mesuré sur 12 mois, recommandation motivée
✎ Cadre · trois issues mesurées sur douze mois, arbitrage au directeur financier
Et l'administrateur qui ne s'est pas connecté depuis 120 jours, on le supprime ?
Je propose de retirer le privilège, pas de supprimer le compte — et la nuance porte sur votre traçabilité.
Ce que la donnée dit : compte nominatif, privilège d'administration de l'ERP posé en 2019, dernière connexion il y a 120 jours, personne toujours présente au fichier du personnel — c'est le responsable de production du site nord, qui a changé de poste en mai.
Pourquoi le privilège part et le compte reste : supprimer le compte efface le lien entre son identifiant et les 1 340 écritures qu'il a passées dans l'ERP depuis 2019. Ces écritures deviendraient orphelines dans votre piste d'audit, et votre commissaire aux comptes vous le demandera. Le compte reste, sans privilège, avec sa date de désactivation.
Ce que j'ai préparé : l'ordre de retrait du privilège, la vérification qu'aucune tâche planifiée ne s'exécute sous ce compte — il n'y en a aucune, je l'ai regardé — et la proposition d'un accès temporaire de quatre heures si son successeur a besoin de lui pendant la bascule.
Le repère du secteur, annoncé comme indicatif : le règlement délégué (UE) 2024/1774 du 13 mars 2024, qui s'applique aux entités financières visées par DORA, prescrit d'attribuer les droits selon le besoin d'en connaître, le besoin d'en disposer et le moindre privilège, et de n'accorder les accès administrateur et d'urgence que sur la base du besoin d'en disposer ou au cas par cas. Orion Industrie n'est pas une entité financière : ce texte ne vous oblige pas. Il donne l'état de l'art, et c'est à ce titre que je le cite. retrait-de-privilege_ETI-02.pdfPrivilège retiré, compte conservé, piste d'audit préservée
⛓ Sourcé · extraction ERP, fichier du personnel, tâches planifiées, règl. délégué (UE) 2024/1774 du 13/03/2024
Ce que la donnée dit : compte nominatif, privilège d'administration de l'ERP posé en 2019, dernière connexion il y a 120 jours, personne toujours présente au fichier du personnel — c'est le responsable de production du site nord, qui a changé de poste en mai.
Pourquoi le privilège part et le compte reste : supprimer le compte efface le lien entre son identifiant et les 1 340 écritures qu'il a passées dans l'ERP depuis 2019. Ces écritures deviendraient orphelines dans votre piste d'audit, et votre commissaire aux comptes vous le demandera. Le compte reste, sans privilège, avec sa date de désactivation.
Ce que j'ai préparé : l'ordre de retrait du privilège, la vérification qu'aucune tâche planifiée ne s'exécute sous ce compte — il n'y en a aucune, je l'ai regardé — et la proposition d'un accès temporaire de quatre heures si son successeur a besoin de lui pendant la bascule.
Le repère du secteur, annoncé comme indicatif : le règlement délégué (UE) 2024/1774 du 13 mars 2024, qui s'applique aux entités financières visées par DORA, prescrit d'attribuer les droits selon le besoin d'en connaître, le besoin d'en disposer et le moindre privilège, et de n'accorder les accès administrateur et d'urgence que sur la base du besoin d'en disposer ou au cas par cas. Orion Industrie n'est pas une entité financière : ce texte ne vous oblige pas. Il donne l'état de l'art, et c'est à ce titre que je le cite. retrait-de-privilege_ETI-02.pdfPrivilège retiré, compte conservé, piste d'audit préservée
⛓ Sourcé · extraction ERP, fichier du personnel, tâches planifiées, règl. délégué (UE) 2024/1774 du 13/03/2024
La Clinique des Rives, votre participation santé, est le périmètre où je change de régime : ici, un retrait critique demande deux validations, et je ne les prends ni l'une ni l'autre.
· SAN-01 — un compte de soignante partie le 21 août, dont les droits d'accès au dossier patient sont toujours ouverts. Double validation requise : le responsable applicatif du dossier patient et la direction des soins. Priorité 1.
· SAN-02 — un accès d'urgence a été utilisé le 27 août à 3 h 12, sur un dossier, pendant 9 minutes. Un accès d'urgence — dit « bris de glace » — ouvre tout, immédiatement, et il doit exister : la nuit, une vie ne dépend pas d'un circuit d'autorisation. Ce qui doit exister, c'est la justification après coup. Éligible à la revue, priorité 1.
· SAN-03 — un prestataire dont le contrat porte « support » et dont le compte porte « administration ». Le droit observé dépasse le droit contracté : l'écart est entre deux pièces que vous détenez toutes les deux. Exception ouverte, priorité 1.
· SAN-04 — un droit d'infirmière conforme : rôle et service concordent, ancienneté cohérente. Éligible à la revue, priorité 4 — il part quand même au propriétaire, parce qu'un droit conforme se certifie, il ne se saute pas.
Ce que je vous propose : commencer par SAN-02, l'accès d'urgence — c'est le cas où la revue apporte le plus, et celui qu'on regarde le moins. lot-de-revue_clinique-des-rives.pdf4 cas, 1 double validation, 1 accès d'urgence à justifier
⛓ Sourcé · extraction du 02/09 (11 h), registre des accès d'urgence, contrats de prestation déposés
· SAN-01 — un compte de soignante partie le 21 août, dont les droits d'accès au dossier patient sont toujours ouverts. Double validation requise : le responsable applicatif du dossier patient et la direction des soins. Priorité 1.
· SAN-02 — un accès d'urgence a été utilisé le 27 août à 3 h 12, sur un dossier, pendant 9 minutes. Un accès d'urgence — dit « bris de glace » — ouvre tout, immédiatement, et il doit exister : la nuit, une vie ne dépend pas d'un circuit d'autorisation. Ce qui doit exister, c'est la justification après coup. Éligible à la revue, priorité 1.
· SAN-03 — un prestataire dont le contrat porte « support » et dont le compte porte « administration ». Le droit observé dépasse le droit contracté : l'écart est entre deux pièces que vous détenez toutes les deux. Exception ouverte, priorité 1.
· SAN-04 — un droit d'infirmière conforme : rôle et service concordent, ancienneté cohérente. Éligible à la revue, priorité 4 — il part quand même au propriétaire, parce qu'un droit conforme se certifie, il ne se saute pas.
Ce que je vous propose : commencer par SAN-02, l'accès d'urgence — c'est le cas où la revue apporte le plus, et celui qu'on regarde le moins. lot-de-revue_clinique-des-rives.pdf4 cas, 1 double validation, 1 accès d'urgence à justifier
⛓ Sourcé · extraction du 02/09 (11 h), registre des accès d'urgence, contrats de prestation déposés
On ne va pas demander des comptes à un soignant sur un bris de glace de nuit.
Non, et ce n'est pas ce que je propose. La question n'est pas « pourquoi avez-vous ouvert ? » — c'est « l'ouverture correspond-elle à ce qui s'est passé cette nuit-là ? », et cette question-là se répond en trente secondes.
Ce que j'ai réuni pour le responsable applicatif : l'heure d'ouverture, la durée, le dossier concerné, et le fait que ce dossier figure au registre des admissions de la même nuit, à 2 h 54. La justification est presque écrite : il reste à la valider d'un clic, ou à la contester.
Ce que je ne fabrique pas : le lien entre les deux. Je le montre, je ne le conclus pas. Une admission à 2 h 54 et une ouverture à 3 h 12 peuvent parfaitement ne rien avoir en commun, et c'est un soignant qui le sait, pas moi.
Le chiffre qui ne m'arrange pas : sur douze mois, 147 accès d'urgence, dont 31 pour lesquels je ne trouve aucun élément de rapprochement. Je ne les présente pas comme suspects — je les présente comme non rapprochés, ce qui n'est pas la même chose. Sur les 31, 19 concernent des dossiers de patients admis dans un autre établissement et n'ont donc laissé aucune trace ici : l'élément manquant n'est pas chez vous.
Ce que je propose pour les 12 restants : une question unique au cadre de nuit concerné, avec la date et l'heure. Douze questions en un an, ce n'est pas une surveillance — c'est le minimum qui rend le dispositif d'urgence défendable le jour où on vous le demandera. revue-des-acces-durgence_12-mois.pdf147 accès, 116 rapprochés, 31 non rapprochés dont 19 expliqués
⛓ Sourcé · registre des accès d'urgence 12 mois (147), registre des admissions, dossiers rapprochés
Ce que j'ai réuni pour le responsable applicatif : l'heure d'ouverture, la durée, le dossier concerné, et le fait que ce dossier figure au registre des admissions de la même nuit, à 2 h 54. La justification est presque écrite : il reste à la valider d'un clic, ou à la contester.
Ce que je ne fabrique pas : le lien entre les deux. Je le montre, je ne le conclus pas. Une admission à 2 h 54 et une ouverture à 3 h 12 peuvent parfaitement ne rien avoir en commun, et c'est un soignant qui le sait, pas moi.
Le chiffre qui ne m'arrange pas : sur douze mois, 147 accès d'urgence, dont 31 pour lesquels je ne trouve aucun élément de rapprochement. Je ne les présente pas comme suspects — je les présente comme non rapprochés, ce qui n'est pas la même chose. Sur les 31, 19 concernent des dossiers de patients admis dans un autre établissement et n'ont donc laissé aucune trace ici : l'élément manquant n'est pas chez vous.
Ce que je propose pour les 12 restants : une question unique au cadre de nuit concerné, avec la date et l'heure. Douze questions en un an, ce n'est pas une surveillance — c'est le minimum qui rend le dispositif d'urgence défendable le jour où on vous le demandera. revue-des-acces-durgence_12-mois.pdf147 accès, 116 rapprochés, 31 non rapprochés dont 19 expliqués
⛓ Sourcé · registre des accès d'urgence 12 mois (147), registre des admissions, dossiers rapprochés
Et le prestataire qui a plus de droits que son contrat ?
Là, je n'ai pas d'issue à trois branches : le contrat dit « support », le compte dit « administration », et c'est l'un des deux qui doit changer.
Ce que j'ai reconstitué, et c'est ce qui rend le cas instructif : le compte a été créé en support en 2022. Le privilège d'administration lui est venu le 14 mars 2024, par l'ajout au groupe Exploitation-DPI — une bascule technique où 27 comptes ont été ajoutés d'un coup. Personne n'a voulu donner ce droit à ce prestataire : il l'a reçu avec le lot.
Ce que j'ai regardé ensuite, avant de vous le remonter : les 26 autres comptes de ce lot. Trois sont dans le même cas. Le cas SAN-03 n'est donc pas un cas, c'est le symptôme visible d'une bascule de 2024.
Ce que je vous propose, dans cet ordre :
· les 4 comptes ramenés à leur droit contracté, ordre rédigé, à faire signer par le responsable applicatif ;
· une règle de revue à l'ajout groupé : tout ajout de plus de 10 comptes à un groupe privilégié ouvre un lot de revue le lendemain. Sur vos trois dernières années, cette règle se serait déclenchée 4 fois — elle ne noierait personne ;
· la clause de revue trimestrielle à porter au prochain avenant du contrat de prestation, texte joint.
Ce qui reste chez vous : le prestataire travaille en ce moment sur une migration. Ramener son droit ce soir peut l'arrêter. La date d'effet, c'est vous qui la posez ; je propose le 15 septembre, fin de sa fenêtre annoncée. ecart-droit-contrat_SAN-03.pdfBascule du 14/03/2024, 4 comptes sur 27, règle de revue proposée
✎ Cadre · cause commune identifiée, 4 comptes concernés, date d'effet au propriétaire
Ce que j'ai reconstitué, et c'est ce qui rend le cas instructif : le compte a été créé en support en 2022. Le privilège d'administration lui est venu le 14 mars 2024, par l'ajout au groupe Exploitation-DPI — une bascule technique où 27 comptes ont été ajoutés d'un coup. Personne n'a voulu donner ce droit à ce prestataire : il l'a reçu avec le lot.
Ce que j'ai regardé ensuite, avant de vous le remonter : les 26 autres comptes de ce lot. Trois sont dans le même cas. Le cas SAN-03 n'est donc pas un cas, c'est le symptôme visible d'une bascule de 2024.
Ce que je vous propose, dans cet ordre :
· les 4 comptes ramenés à leur droit contracté, ordre rédigé, à faire signer par le responsable applicatif ;
· une règle de revue à l'ajout groupé : tout ajout de plus de 10 comptes à un groupe privilégié ouvre un lot de revue le lendemain. Sur vos trois dernières années, cette règle se serait déclenchée 4 fois — elle ne noierait personne ;
· la clause de revue trimestrielle à porter au prochain avenant du contrat de prestation, texte joint.
Ce qui reste chez vous : le prestataire travaille en ce moment sur une migration. Ramener son droit ce soir peut l'arrêter. La date d'effet, c'est vous qui la posez ; je propose le 15 septembre, fin de sa fenêtre annoncée. ecart-droit-contrat_SAN-03.pdfBascule du 14/03/2024, 4 comptes sur 27, règle de revue proposée
✎ Cadre · cause commune identifiée, 4 comptes concernés, date d'effet au propriétaire
La SEM Clairval, détenue avec la communauté d'agglomération : 604 comptes. Ce périmètre est celui où je refuse le plus de choses, et je vous dis pourquoi à chaque fois.
· PUB-01 — une mobilité interne du 1er juillet : agent passé de l'aménagement à la commande publique. J'ai comparé les droits de l'ancien poste et ceux du nouveau : 14 droits en commun, 9 propres à l'ancien poste toujours ouverts, 4 manquants pour le nouveau. Revue assignée, priorité 2. Une mobilité n'est pas un départ : je ne propose pas de tout retirer, je propose la différence.
· PUB-02 — un compte générique accueil-clairval, sans exception documentée. Cinq personnes s'y authentifient. Exception ouverte, priorité 1.
· PUB-03 — un lot de revue envoyé le 12 août à un propriétaire, relancé deux fois, sans réponse au 2 septembre. Le lot reste ouvert et les 23 droits qu'il contient restent à instruire. Exception ouverte, priorité 3.
· PUB-04 — l'extraction de votre application de gestion locative a 96 heures, alors que le seuil que vous avez fixé est de 24. Je ne présente donc aucun de ses 87 comptes comme un constat à jour : ils sont marqués « source périmée », priorité 2.
Ce que je vous propose : PUB-03, le lot sans réponse — c'est le cas qui décide de la valeur de toute la campagne. lot-de-revue_sem-clairval.pdf604 comptes, 4 cas, 87 comptes en source périmée
⛓ Sourcé · extractions du 02/09, sauf gestion locative (29/08, 96 h, hors seuil)
· PUB-01 — une mobilité interne du 1er juillet : agent passé de l'aménagement à la commande publique. J'ai comparé les droits de l'ancien poste et ceux du nouveau : 14 droits en commun, 9 propres à l'ancien poste toujours ouverts, 4 manquants pour le nouveau. Revue assignée, priorité 2. Une mobilité n'est pas un départ : je ne propose pas de tout retirer, je propose la différence.
· PUB-02 — un compte générique accueil-clairval, sans exception documentée. Cinq personnes s'y authentifient. Exception ouverte, priorité 1.
· PUB-03 — un lot de revue envoyé le 12 août à un propriétaire, relancé deux fois, sans réponse au 2 septembre. Le lot reste ouvert et les 23 droits qu'il contient restent à instruire. Exception ouverte, priorité 3.
· PUB-04 — l'extraction de votre application de gestion locative a 96 heures, alors que le seuil que vous avez fixé est de 24. Je ne présente donc aucun de ses 87 comptes comme un constat à jour : ils sont marqués « source périmée », priorité 2.
Ce que je vous propose : PUB-03, le lot sans réponse — c'est le cas qui décide de la valeur de toute la campagne. lot-de-revue_sem-clairval.pdf604 comptes, 4 cas, 87 comptes en source périmée
⛓ Sourcé · extractions du 02/09, sauf gestion locative (29/08, 96 h, hors seuil)
Le propriétaire est en congé. On peut valider à sa place pour boucler la campagne ?
Non, et c'est la seule chose que je refuse sans proposer d'aménagement : je ne transforme pas un silence en certification. Mais boucler la campagne, oui — par le bon chemin, et il existe.
Ce qu'un silence vaut, mécaniquement : si l'absence de réponse valait accord, votre campagne mesurerait la disponibilité de vos cadres, pas la justesse de vos droits. Le premier propriétaire débordé certifierait le plus gros lot, et l'instrument cesserait de mesurer ce pour quoi il existe. Le jour où on vous demandera comment ces 23 droits ont été certifiés, la réponse « personne n'a répondu » est intenable.
Les trois chemins qui bouclent la campagne, et ils sont tous ouverts :
· le délégataire désigné à l'avance — votre note du 3 mars 2026 prévoit une suppléance pour la commande publique, elle n'a jamais été activée ;
· l'escalade au directeur général de la SEM après deux relances, avec le lot tel quel ;
· la clôture partielle : les 23 droits restent ouverts, la campagne se clôt sur les 581 autres comptes, et le rapport porte la ligne exacte — « 23 droits non instruits, propriétaire absent, deux relances les 19 et 26 août ».
Ce que je recommande : le premier. Il est déjà écrit dans votre organisation, il ne demande aucune décision nouvelle, et il transforme un trou dans la campagne en une ligne de procédure appliquée.
Ce que la campagne de recertification vaut, au fond : elle ne vaut que par ce qu'un propriétaire a lu et signé. Une campagne close sur des lots muets ne recertifie rien.
Ce que je fais dans tous les cas : je consigne l'absence de réponse avec sa date. Elle est elle-même une preuve — celle que la question a été posée, deux fois, et à qui. lot-sans-reponse_PUB-03.pdf23 droits, 2 relances, 3 chemins de clôture
✎ Cadre · silence consigné, trois chemins de clôture, aucune certification par défaut
Ce qu'un silence vaut, mécaniquement : si l'absence de réponse valait accord, votre campagne mesurerait la disponibilité de vos cadres, pas la justesse de vos droits. Le premier propriétaire débordé certifierait le plus gros lot, et l'instrument cesserait de mesurer ce pour quoi il existe. Le jour où on vous demandera comment ces 23 droits ont été certifiés, la réponse « personne n'a répondu » est intenable.
Les trois chemins qui bouclent la campagne, et ils sont tous ouverts :
· le délégataire désigné à l'avance — votre note du 3 mars 2026 prévoit une suppléance pour la commande publique, elle n'a jamais été activée ;
· l'escalade au directeur général de la SEM après deux relances, avec le lot tel quel ;
· la clôture partielle : les 23 droits restent ouverts, la campagne se clôt sur les 581 autres comptes, et le rapport porte la ligne exacte — « 23 droits non instruits, propriétaire absent, deux relances les 19 et 26 août ».
Ce que je recommande : le premier. Il est déjà écrit dans votre organisation, il ne demande aucune décision nouvelle, et il transforme un trou dans la campagne en une ligne de procédure appliquée.
Ce que la campagne de recertification vaut, au fond : elle ne vaut que par ce qu'un propriétaire a lu et signé. Une campagne close sur des lots muets ne recertifie rien.
Ce que je fais dans tous les cas : je consigne l'absence de réponse avec sa date. Elle est elle-même une preuve — celle que la question a été posée, deux fois, et à qui. lot-sans-reponse_PUB-03.pdf23 droits, 2 relances, 3 chemins de clôture
✎ Cadre · silence consigné, trois chemins de clôture, aucune certification par défaut
Et les 87 comptes de la gestion locative, on les regarde quand même ?
Vous pouvez les regarder — je vous les montre — mais je refuse de les compter dans la campagne, et la différence est tout sauf formelle.
Ce que 96 heures changent réellement, sur cette application-là : vos mouvements de personnel des quatre derniers jours n'y sont pas. Sur votre historique, cela représente en moyenne 3 mouvements. Certifier « conforme » un compte qui a été fermé hier, ou passer à côté d'un compte ouvert avant-hier, c'est produire une preuve fausse — et une preuve fausse vaut moins que pas de preuve.
Ce que j'ai fait à la place : les 87 comptes sont instruits, leurs écarts sont calculés, et le tout attend l'extraction fraîche. Le travail n'est pas perdu : au dépôt suivant, seuls les comptes qui ont bougé sont recalculés, les autres sont déjà prêts.
Ce que je vous propose, et c'est la vraie correction : le dépôt de cette application est manuel et mensuel, c'est ce qui produit l'écart. Trois autres de vos 74 applications sont dans le même cas — je les nomme dans la pièce jointe. Passer ces quatre dépôts à une cadence hebdomadaire suffirait à tenir votre seuil de 24 heures le jour de la campagne.
Un point que je vous dois, et ce n'est pas un manque de moyens : je ne vais pas chercher l'extraction moi-même dans l'application. Aucune liaison directe avec vos applications ou votre annuaire n'est en service, et je n'en annonce aucune : une telle liaison s'étudie au cas par cas, se documente et s'éprouve avant d'être promise. Ce qui est vendu ici, c'est ce qui fonctionne aujourd'hui : vous déposez, je travaille, et vous savez à chaque instant de quand date ce que je vous montre. fraicheur-des-sources_74-applications.pdf4 applications hors seuil, cadence de dépôt à revoir
⛓ Sourcé · dates de dépôt des 74 applications, seuil de fraîcheur 24 h fixé par le client
Ce que 96 heures changent réellement, sur cette application-là : vos mouvements de personnel des quatre derniers jours n'y sont pas. Sur votre historique, cela représente en moyenne 3 mouvements. Certifier « conforme » un compte qui a été fermé hier, ou passer à côté d'un compte ouvert avant-hier, c'est produire une preuve fausse — et une preuve fausse vaut moins que pas de preuve.
Ce que j'ai fait à la place : les 87 comptes sont instruits, leurs écarts sont calculés, et le tout attend l'extraction fraîche. Le travail n'est pas perdu : au dépôt suivant, seuls les comptes qui ont bougé sont recalculés, les autres sont déjà prêts.
Ce que je vous propose, et c'est la vraie correction : le dépôt de cette application est manuel et mensuel, c'est ce qui produit l'écart. Trois autres de vos 74 applications sont dans le même cas — je les nomme dans la pièce jointe. Passer ces quatre dépôts à une cadence hebdomadaire suffirait à tenir votre seuil de 24 heures le jour de la campagne.
Un point que je vous dois, et ce n'est pas un manque de moyens : je ne vais pas chercher l'extraction moi-même dans l'application. Aucune liaison directe avec vos applications ou votre annuaire n'est en service, et je n'en annonce aucune : une telle liaison s'étudie au cas par cas, se documente et s'éprouve avant d'être promise. Ce qui est vendu ici, c'est ce qui fonctionne aujourd'hui : vous déposez, je travaille, et vous savez à chaque instant de quand date ce que je vous montre. fraicheur-des-sources_74-applications.pdf4 applications hors seuil, cadence de dépôt à revoir
⛓ Sourcé · dates de dépôt des 74 applications, seuil de fraîcheur 24 h fixé par le client
Énergie Boréale, votre filiale réseau : le périmètre le plus sensible, et celui où je prépare le plus sans jamais exécuter.
· OT-01 — un accès distant de prestataire toujours ouvert alors que sa fenêtre s'est fermée le 29 août à 18 h. Double validation requise : responsable d'exploitation et responsable du réseau industriel. Priorité 1.
· OT-02 — un compte de service qui ouvre des sessions interactives. Un compte de service est fait pour qu'un programme s'exécute, pas pour qu'une personne s'y connecte. 14 ouvertures de session en 30 jours, depuis 2 postes. Exception ouverte, priorité 1.
· OT-03 — une demande d'élévation temporaire de 45 minutes sur un automate, pour une intervention planifiée. Je propose la durée, la ressource exacte et les deux approbateurs ; je ne l'accorde pas. Sur ce périmètre, les privilèges ne sont plus permanents : ils passent par des accès temporaires bornés, approuvés, et revus après usage. Revue assignée, priorité 2.
· OT-04 — une demande de révocation d'urgence sur un compte suspecté. Double validation requise, priorité 1. Dans cette démonstration, aucun geste n'est exécuté : ni ici, ni ailleurs, aucune écriture ne part vers un système réel.
Le bilan de la campagne, sur les cinq périmètres : 3 180 comptes déposés, 3 174 reliés, 20 cas ouverts, 74 applications couvertes contre 11 l'an dernier, zéro écriture externe.
Le temps que cela déplace, poste par poste : le rapprochement des comptes et des personnes occupait 70 % du temps d'une revue ; il en prend 9 %. La recherche du propriétaire d'une application passait de 45 % à 8 %, et la constitution du dossier de preuve de 35 % à 5 % — elle se construit désormais au fil des décisions, au lieu d'être écrite à la fin. bilan-de-campagne_2026.pdf3 180 comptes, 20 cas, 74 applications, 0 écriture externe
⛓ Sourcé · extractions des 5 périmètres du 02/09, registre des fenêtres d'intervention
· OT-01 — un accès distant de prestataire toujours ouvert alors que sa fenêtre s'est fermée le 29 août à 18 h. Double validation requise : responsable d'exploitation et responsable du réseau industriel. Priorité 1.
· OT-02 — un compte de service qui ouvre des sessions interactives. Un compte de service est fait pour qu'un programme s'exécute, pas pour qu'une personne s'y connecte. 14 ouvertures de session en 30 jours, depuis 2 postes. Exception ouverte, priorité 1.
· OT-03 — une demande d'élévation temporaire de 45 minutes sur un automate, pour une intervention planifiée. Je propose la durée, la ressource exacte et les deux approbateurs ; je ne l'accorde pas. Sur ce périmètre, les privilèges ne sont plus permanents : ils passent par des accès temporaires bornés, approuvés, et revus après usage. Revue assignée, priorité 2.
· OT-04 — une demande de révocation d'urgence sur un compte suspecté. Double validation requise, priorité 1. Dans cette démonstration, aucun geste n'est exécuté : ni ici, ni ailleurs, aucune écriture ne part vers un système réel.
Le bilan de la campagne, sur les cinq périmètres : 3 180 comptes déposés, 3 174 reliés, 20 cas ouverts, 74 applications couvertes contre 11 l'an dernier, zéro écriture externe.
Le temps que cela déplace, poste par poste : le rapprochement des comptes et des personnes occupait 70 % du temps d'une revue ; il en prend 9 %. La recherche du propriétaire d'une application passait de 45 % à 8 %, et la constitution du dossier de preuve de 35 % à 5 % — elle se construit désormais au fil des décisions, au lieu d'être écrite à la fin. bilan-de-campagne_2026.pdf3 180 comptes, 20 cas, 74 applications, 0 écriture externe
⛓ Sourcé · extractions des 5 périmètres du 02/09, registre des fenêtres d'intervention
La révocation d'urgence, c'est justement le cas où on n'a pas le temps d'attendre deux signatures.
Vous avez raison sur le temps, et c'est pour cela que j'ai chronométré le circuit plutôt que de vous répondre par principe.
Ce que j'ai préparé, et qui est prêt avant même la première signature : l'ordre complet — compte, droits, ressources touchées, les 3 automates dont l'arrêt dépend de ce compte, la procédure de repli, et l'accusé à réclamer à l'exploitant. Le travail long est fait ; ce qui reste, ce sont deux clics.
Ce que les deux signatures coûtent réellement, mesuré sur vos six derniers exercices de crise : 4 minutes de médiane, 11 minutes au pire. À comparer aux 40 minutes qu'il faut, sans dossier préparé, pour établir la liste des ressources touchées avant d'oser couper.
Pourquoi deux et pas une, sur ce périmètre précisément : couper un accès sur un réseau industriel peut arrêter une production, et une coupure faite sur une suspicion erronée est elle-même un incident. La deuxième signature n'est pas une lenteur administrative : c'est la seule personne qui sait ce que le geste arrête.
Ce que je propose pour supprimer le temps qui reste : une pré-autorisation nominative — deux personnes désignées d'avance, joignables en astreinte, dont l'accord vaut pour tout compte du périmètre concerné pendant une fenêtre de crise ouverte. Elle se signe une fois par an, et elle ramène les 4 minutes à moins d'une. Le texte est joint ; il porte votre nom, pas le mien. circuit-de-revocation-durgence.pdfDossier prêt, 4 min de médiane, pré-autorisation proposée
✎ Cadre · circuit chronométré, dossier prêt, décision et exécution humaines
Ce que j'ai préparé, et qui est prêt avant même la première signature : l'ordre complet — compte, droits, ressources touchées, les 3 automates dont l'arrêt dépend de ce compte, la procédure de repli, et l'accusé à réclamer à l'exploitant. Le travail long est fait ; ce qui reste, ce sont deux clics.
Ce que les deux signatures coûtent réellement, mesuré sur vos six derniers exercices de crise : 4 minutes de médiane, 11 minutes au pire. À comparer aux 40 minutes qu'il faut, sans dossier préparé, pour établir la liste des ressources touchées avant d'oser couper.
Pourquoi deux et pas une, sur ce périmètre précisément : couper un accès sur un réseau industriel peut arrêter une production, et une coupure faite sur une suspicion erronée est elle-même un incident. La deuxième signature n'est pas une lenteur administrative : c'est la seule personne qui sait ce que le geste arrête.
Ce que je propose pour supprimer le temps qui reste : une pré-autorisation nominative — deux personnes désignées d'avance, joignables en astreinte, dont l'accord vaut pour tout compte du périmètre concerné pendant une fenêtre de crise ouverte. Elle se signe une fois par an, et elle ramène les 4 minutes à moins d'une. Le texte est joint ; il porte votre nom, pas le mien. circuit-de-revocation-durgence.pdfDossier prêt, 4 min de médiane, pré-autorisation proposée
✎ Cadre · circuit chronométré, dossier prêt, décision et exécution humaines
Qu'est-ce que vous faites tout seul, au fond, sans nous demander ?
Trois gestes, et ils sont tous les trois réversibles d'un mot. Je préfère vous les nommer que vous laisser les découvrir.
· J'ouvre un cas quand une extraction fait apparaître un écart, sans attendre la campagne annuelle. Un compte de partant trouvé le 3 septembre ne dort pas jusqu'en mars. Et l'inverse est vrai : si l'extraction suivante montre que l'écart n'existe plus, je referme le cas moi-même, avec la preuve.
· Je relance un propriétaire qui n'a pas répondu, deux fois, à sept jours d'intervalle. Je m'arrête là : la troisième relance, c'est une escalade, et une escalade porte un nom — le vôtre.
· Je marque « source périmée » toute donnée plus vieille que votre seuil, et je retire ses comptes du décompte de la campagne. Le geste se défait dès que l'extraction fraîche arrive, sans rien ressaisir.
Tout le reste attend une décision, et la liste tient en une pièce jointe : retirer, accorder, fusionner deux identités, certifier, clore une campagne, accepter une exception. Six gestes, six signatures, et chacune porte un nom, une date et un motif.
Où tout cela tourne : sur une machine du siège, en IA souveraine — inférence locale, hébergement en France ; votre graphe d'habilitations ne quitte pas le groupe.
Ce que je ne mesure pas, et ce n'est pas une pudeur : je ne produis aucun indicateur par personne sur la vitesse ou la qualité des réponses de revue. Le mécanisme est simple : un tel indicateur deviendrait un objectif, et un propriétaire pressé certifie plus vite en regardant moins. L'instrument détruirait ce qu'il mesure. Une seule exception, et elle n'en est pas une : qui signe est nommé. Une signature n'est pas un compteur. qui-decide-quoi.pdf3 gestes automatiques, 6 décisions signées, 0 indicateur individuel
✎ Cadre · trois gestes automatiques réversibles, six décisions signées
· J'ouvre un cas quand une extraction fait apparaître un écart, sans attendre la campagne annuelle. Un compte de partant trouvé le 3 septembre ne dort pas jusqu'en mars. Et l'inverse est vrai : si l'extraction suivante montre que l'écart n'existe plus, je referme le cas moi-même, avec la preuve.
· Je relance un propriétaire qui n'a pas répondu, deux fois, à sept jours d'intervalle. Je m'arrête là : la troisième relance, c'est une escalade, et une escalade porte un nom — le vôtre.
· Je marque « source périmée » toute donnée plus vieille que votre seuil, et je retire ses comptes du décompte de la campagne. Le geste se défait dès que l'extraction fraîche arrive, sans rien ressaisir.
Tout le reste attend une décision, et la liste tient en une pièce jointe : retirer, accorder, fusionner deux identités, certifier, clore une campagne, accepter une exception. Six gestes, six signatures, et chacune porte un nom, une date et un motif.
Où tout cela tourne : sur une machine du siège, en IA souveraine — inférence locale, hébergement en France ; votre graphe d'habilitations ne quitte pas le groupe.
Ce que je ne mesure pas, et ce n'est pas une pudeur : je ne produis aucun indicateur par personne sur la vitesse ou la qualité des réponses de revue. Le mécanisme est simple : un tel indicateur deviendrait un objectif, et un propriétaire pressé certifie plus vite en regardant moins. L'instrument détruirait ce qu'il mesure. Une seule exception, et elle n'en est pas une : qui signe est nommé. Une signature n'est pas un compteur. qui-decide-quoi.pdf3 gestes automatiques, 6 décisions signées, 0 indicateur individuel
✎ Cadre · trois gestes automatiques réversibles, six décisions signées
Inférence locale · traitements dans l'UE visés
Votre cas n'est pas ici ? C'est exactement ce dont on parle en 15 minutes. Réserver l'audit gratuit →
Cas d'usage
Que fait l'agent concrètement ?
Douze modules de revue compris au socle, du recensement des sources jusqu'au dossier de preuve, plus le socle d'IA souveraine sur lequel ils reposent. Tous fonctionnent en appui, sous votre validation.
Inclus dans votre agent
Les 13 capacités essentielles à cette promesse sont comprises, sans surcoût.
Inventaire des sources d'identité
Recense les extractions que vous déposez — annuaire, paie, applications, comptes techniques — avec la date de chacune et son âge au moment de la revue.
Résolution d'identité
Relie un compte à une personne ou à un service porteur, sur des identifiants forts. Un rapprochement fondé sur le seul nom reste à confirmer par vous.
Arrivées, mobilités et départs
Compare les mouvements du fichier du personnel aux droits observés, et prépare les créations, les changements et les retraits qui en découlent.
Graphe des habilitations
Montre pour chaque droit son chemin d'héritage : la personne, le groupe, le rôle, la ressource et le propriétaire qui en répond.
Catalogue des droits et de leurs propriétaires
Versionne rôles, droits, justification, criticité, durée et responsable de ressource — et signale ceux qui n'ont personne en face.
Rôles de base par population
Propose un socle de droits par métier à partir de règles que vous approuvez. Aucune attribution n'est déduite d'une simple ressemblance entre comptes.
Séparation des tâches
Détecte les cumuls de droits incompatibles à partir de votre matrice, avec la règle, sa version, le contexte et l'exception datée s'il y en a une.
Comptes à risque
Repère les comptes orphelins, dormants, partagés, expirés, sans propriétaire, ou ouverts à une connexion interactive alors qu'ils sont techniques.
Campagnes de recertification
Répartit les lots entre les propriétaires, collecte la décision motivée, relance les retardataires et conserve la preuve de chaque réponse.
Privilèges et accès temporaires
Prépare les élévations à durée bornée, les approbations requises, l'accès d'urgence et la revue qui suit son usage.
Remédiation contrôlée
Rédige l'ordre de changement à porter à votre exploitant, rejouable sans effet double, puis attend l'extraction suivante pour confirmer l'effet obtenu.
Preuves et pilotage
Journalise source, décision, campagne, exception, action, accusé et délai — le dossier que réclame un contrôle interne ou un commissaire aux comptes.
IA souveraine
Le socle d'hébergement et de confidentialité sur lequel repose l'agent.
Contrôles et garanties
Ces 4 contrôles sont intégrés à l'agent : ils encadrent ce qu'il fait, quelle que soit la formule retenue. Ils ne se choisissent pas et ne s'ajoutent pas à votre commande.
Validation humaine, exceptions et escalade
Statut, clôture sûre et traçabilité
Accéder au contexte technique avec permissions minimales
Versionner, journaliser, revenir en arrière et mesurer la qualité
Besoin d'aller plus loin ?
Ces agents traitent un autre processus métier, avec leur propre responsable et leur propre tarif. Ils s'ajoutent à celui-ci.
Cybersécurité & journaux
Corréler les événements d'un incident et qualifier une alerte relève de la supervision de sécurité, pas de la revue d'accès.
Cybersécurité & journaux dès 601 € HT / mois Découvrir l'agent →Appui DPO / RGPD
Qualifier juridiquement une violation de données et décider de la notifier appartient au DPO.
Appui DPO / RGPD dès 668 € HT / mois Découvrir l'agent →
Votre besoin sort du cadre ?
Réserver l'audit gratuit →
Composer votre agent
En 15 minutes, nous identifions l'agent le plus pertinent — sans surdimensionner le projet.
Le gain
Combien d'applications une revue peut-elle couvrir ?
En prenant en charge le rapprochement, la recherche du propriétaire et la reconstitution des chemins d'héritage, on déplace l'effort vers la décision. L'ampleur du gain dépend de votre parc et reste à confirmer par un pilote.
Rapprochement des comptes et des personnes
Recherche du propriétaire d'une application
Constitution du dossier de preuve
Repères illustratifs, non contractuels, à confirmer par un pilote sur votre nombre de comptes, d'applications et de propriétaires. Retirer un accès peut interrompre une activité ou effacer une trace utile : cette décision appartient au propriétaire de la ressource, et son exécution à votre exploitant.
Comment ça se passe
Les étapes de votre projet d'agent IA
1
Audit & cadrage
15 min pour cibler le cas d'usage le plus rentable.
2
Devis ou souscription directe
Une offre du catalogue se souscrit en ligne ; un besoin particulier reçoit un devis chiffré.
3
Conception
Nous concevons l'agent et ses garde-fous.
4
Intégration & tests
Nous raccordons vos outils à l'agent, lui-même hébergé en France.
5
Déploiement
Mise en service et formation de votre équipe.
6
Exploitation
Supervision continue et amélioration.
Devis
Un agent, un périmètre cadré avec vous
Un agent de revue des accès (rapprochement, graphe, campagnes, preuves), installé et exploité pour vous. Le périmètre se cadre entité par entité — vos sources, vos applications, vos propriétaires de ressources —, et le chiffrage suit ce cadrage.
Ce socle se chiffre sur devis. Cet agent est proposé, et ses capacités sont bien celles décrites ci-dessous. Son prix dépend de votre parc : nombre de systèmes suivis, volume traité, raccordements à ouvrir et niveau de service attendu. Nous le chiffrons donc sur devis, après un cadrage de votre besoin — et le devis engage le périmètre. Demander un devis
Notre engagement
Quatre garanties qui comptent pour vos habilitations
Votre graphe d'habilitations reste chez vousInférence locale ou ressource isolée hébergée en France ; aucune extraction confiée à un tiers, aucune donnée utilisée pour entraîner un modèle.
Données en France, sous droit françaisVos extractions, votre graphe et vos décisions de revue : minimisation et localisation en France, architecture conçue pour réduire l'exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l'immunité.
Le propriétaire garde la décisionL'agent prépare des lots instruits et des ordres de changement, vérifiables et modifiables ; aucune révocation, aucune fusion d'identité et aucune clôture ne sont automatisées.
Supervision humaine & traçabilitéChaque décision porte son auteur, sa date, son motif et la version de règle appliquée ; journalisation et suivi systématiques, conformes à l'AI Act.
Aller plus loin
Ressources liées
Questions fréquentes
Vos questions, nos réponses
L'agent remplace-t-il notre annuaire ou notre outil de gestion des identités ?
Non. L'annuaire reste la source et l'autorité ; l'outil de gestion des identités reste le système qui exécute. L'agent prépare la revue : il rapproche, explique, nomme les écarts et rédige l'ordre de changement. Il ne détient aucun compte.
Peut-il révoquer un accès automatiquement ?
Non, et ce n'est pas un réglage. L'agent prépare un ordre de changement complet et rejouable ; la décision appartient au propriétaire de la ressource et l'exécution à votre exploitant. L'effet n'est déclaré obtenu qu'après relecture de l'extraction suivante — pas sur la foi de l'ordre envoyé.
Comment se raccorde-t-il à nos applications ?
Par les extractions que vous déposez, dans le format que vous produisez déjà, avec leur date. Aucune connexion directe à un annuaire ou à un fournisseur d'identité n'est vendue sur cette page : une telle liaison se traite au cas par cas, après étude de faisabilité, et n'est annoncée que lorsqu'elle est établie et documentée.
Comment traite-t-il les comptes partagés ?
Il les nomme et refuse de les certifier en l'état : une action faite depuis un compte partagé n'est imputable à personne. La CNIL recommande d'éviter les comptes génériques partagés entre plusieurs personnes (« Gérer les utilisateurs », publié le 27/01/2020). L'agent ouvre une exception datée, avec un porteur nommé et une échéance, ou prépare le passage à des comptes nominatifs.
Comment détecte-t-il un conflit de séparation des tâches ?
À partir de votre matrice de cumuls interdits, versionnée : il montre la règle appliquée, sa version, les deux droits en cause, leur chemin d'héritage et le contrôle compensatoire s'il en existe un. Il ne devine aucune règle de votre organisation.
Que se passe-t-il si un propriétaire ne répond pas ?
Le lot reste ouvert et l'agent relance. Un silence n'est jamais transformé en certification : le compte reste à instruire et l'absence de réponse est elle-même consignée, avec sa date, dans le dossier de preuve.
Comment isole-t-il nos filiales les unes des autres ?
Chaque entité a son propre espace : les extractions, les lots de revue, les décisions et les exceptions y restent. Un propriétaire d'une filiale ne voit ni les comptes ni les décisions d'une autre, et les rôles de consultation transverse sont nommés et tracés.
Cette page prouve-t-elle notre conformité à un texte ?
Non. Le règlement d'exécution (UE) 2024/2690 du 17 octobre 2024 fixe des exigences de contrôle d'accès pour certaines entités du numérique, et le règlement délégué (UE) 2024/1774 du 13 mars 2024 des exigences de gestion des droits d'accès pour les entités financières visées par DORA. Savoir si l'un de ces textes vous vise, et à quel titre, se vérifie entité par entité : l'agent produit des preuves exploitables dans un contrôle, il ne délivre aucun constat de conformité.
Cas d'usage liés
D'autres agents pour l'informatique
Parlons-en
Estimons le potentiel sur votre prochaine campagne de revue
15 minutes pour cadrer vos sources, vos entités et vos propriétaires — hébergé en France, supervisé, sans engagement.