Gestion IAG
qui a accès à quoi, et qui l’a validé
Derrière le sigle, une question de gestion très ordinaire : qui détient quels droits dans l’entreprise, et sur quelle décision.
Dans un contexte professionnel, la gestion IAG désigne la gouvernance des identités et des accès : les règles et les contrôles qui déterminent qui dispose de quels droits dans le système d’information, pour quelle raison, et qui l’a validé. Son outil central est la revue périodique des habilitations, menée par les responsables métier et non par l’informatique.
- Trois sens du sigle : une société de courtage en assurance, l’intelligence artificielle générative dans quelques textes, et la gouvernance des accès dans le vocabulaire des entreprises.
- IAG n’est pas IAM : l’IAM ouvre les accès au quotidien, l’IAG décide des règles et vérifie l’existant.
- La revue des habilitations : chaque responsable confirme ou retire les droits de ses collaborateurs, avec une trace datée.
- Sans plateforme : un tableau à jour, deux revues par an et une procédure de départ écrite couvrent l’essentiel dans une petite structure.
IAG
trois sens, un seul qui concerne la gestion d’entreprise
Le sigle circule dans trois univers sans rapport entre eux. Il désigne une société française de courtage en assurance, dont le nom commercial occupe une bonne part des résultats de recherche. On le croise aussi, dans quelques publications, comme abréviation d’intelligence artificielle générative. Et dans le vocabulaire des directions informatiques et financières, IAG signifie Identity and Access Governance, soit la gouvernance des identités et des accès.
C’est ce dernier sens qui intéresse une entreprise quand elle parle de « gestion IAG ». Derrière l’anglicisme, une question très concrète : qui dispose de quels droits dans le système d’information, pour quelle raison, et qui a validé cette situation. Rien d’ésotérique. C’est du contrôle interne appliqué aux accès numériques.
Ce que la gouvernance des accès cherche à régler
Dans une organisation qui tourne depuis quelques années, les droits s’accumulent par sédimentation. Un salarié entre au service comptabilité et reçoit les accès correspondants. Trois ans plus tard, il passe au contrôle de gestion : on lui ouvre les nouveaux outils, et personne ne pense à refermer les anciens. Il change encore de poste, prend un intérim de deux mois sur un autre périmètre, dépanne un collègue en congé. À la fin, il cumule des droits que plus personne n’a décidés.
Ajoutez les autorisations accordées dans l’urgence un vendredi soir, les comptes créés pour un prestataire dont la mission s’est terminée, les boîtes partagées que tout le service peut lire. Vous obtenez la situation la plus courante en entreprise : personne n’est capable de répondre précisément à la question « qui a accès à la paie ? ».
Ce désordre coûte cher le jour où il faut en rendre compte. Un compte compromis ouvre alors bien plus de portes que nécessaire. Une fraude interne devient plus facile, et surtout plus difficile à repérer. Et le jour où un client, un commissaire aux comptes ou une autorité demande qui pouvait consulter le fichier des clients, la réponse honnête est souvent « une quarantaine de personnes, sans qu’on sache très bien pourquoi ».
IAM, IAG, PAM
qui fait quoi
Trois sigles voisins reviennent sans cesse, et leur confusion explique une partie des malentendus. L’un exécute, l’autre gouverne, le troisième traite un cas particulier. Une organisation peut disposer d’un IAM impeccable et d’aucune gouvernance : c’est même la situation la plus fréquente. Les accès fonctionnent très bien, ils sont simplement ingouvernés.
| Sigle | Ce qu’il recouvre | Qui le porte |
|---|---|---|
| IAM — gestion des identités et des accès | Créer les comptes, authentifier, ouvrir une application, réinitialiser un mot de passe | Équipe informatique, au quotidien |
| IAG — gouvernance des identités et des accès | Fixer les règles d’attribution, revoir périodiquement les droits accordés, conserver les traces de validation | Responsables métier, sous l’égide du contrôle interne |
| PAM — gestion des accès à privilèges | Encadrer les comptes les plus puissants : administrateurs, comptes de service, accès aux bases sensibles | Sécurité informatique, périmètre restreint |
Les briques concrètes d’une démarche IAG
Le cycle de vie d’une identité
Toute la mécanique repose sur trois moments : l’arrivée, la mobilité, le départ. Ce cycle suppose une source de vérité, et dans la plupart des cas c’est le référentiel des ressources humaines qui joue ce rôle : il sait qui est présent, dans quelle entité, sous quel statut. Sans lui, la gouvernance des accès travaille à l’aveugle.
Restent les identités qui n’ont pas de fiche RH : comptes techniques, comptes de service utilisés par les applications entre elles, accès ouverts à des prestataires ou à des partenaires. Personne ne les fait partir, puisque personne n’y est attaché. Ils demandent donc un traitement propre : un propriétaire humain désigné nommément, une raison d’être écrite, et une date à laquelle quelqu’un devra reconfirmer qu’ils servent encore. Faute de quoi ils survivent à tout le monde.
Ouvrir le juste nécessaire
La personne reçoit les droits attachés à son poste, ni plus ni moins. Un profil type par fonction évite les demandes au cas par cas et les copies d’accès d’un collègue.
Retirer en même temps qu’ouvrir
Le point le plus souvent manqué. Les anciens droits doivent tomber au moment où les nouveaux sont accordés, sans période de recouvrement « au cas où ».
Couper le jour même
Tous les accès, y compris les comptes secondaires, les services externes et les partages de fichiers. Le référentiel RH doit déclencher la fermeture sans passer par une demande manuelle.
La revue des habilitations
C’est le cœur du sujet, et paradoxalement ce dont on parle le moins. Une revue consiste à présenter à un responsable la liste des droits détenus par ses collaborateurs, et à lui demander de confirmer ou de retirer chaque ligne. L’exercice a trois vertus : il nettoie l’existant, il fait porter la décision par celui qui connaît le métier, et il laisse une trace datée de la validation.
La fréquence se règle sur le risque. Les applications les plus sensibles — paie, comptabilité, données clients, outils de production — méritent un passage plus rapproché que la messagerie interne. L’usage courant tourne autour d’une à deux campagnes par an sur les périmètres critiques, mais aucune règle universelle ne s’impose : c’est une décision d’entreprise, à documenter comme telle.
Le moindre privilège : chacun reçoit le strict nécessaire à son travail, pour la durée où il en a besoin. La séparation des tâches : une même personne ne doit pas pouvoir à la fois créer un fournisseur et valider son paiement. Ces deux règles se décident une fois et se vérifient à chaque revue.
Par où commencer, dans l’ordre
Vouloir tout cartographier avant d’agir enterre le sujet pour deux ans. Les démarches qui aboutissent avancent par périmètre réduit, quitte à laisser des zones entières de côté au premier tour.
Le partage des rôles se pose dès le départ, sous peine de blocage à la première campagne. L’équipe informatique extrait les droits et applique les décisions. Le responsable métier, ou le propriétaire de l’application, décide qui garde quoi : c’est lui qui signe. Le contrôle interne, la direction financière ou la direction générale selon la taille de la maison, commande l’exercice, fixe l’échéance et reçoit les écarts. Une démarche portée par la seule informatique s’arrête au premier arbitrage difficile.
-
Fiabiliser la source de vérité
S’assurer que la liste des personnes présentes est juste, à jour, et que les départs y sont enregistrés sans délai. Ajouter les prestataires et les stagiaires, qui manquent presque toujours.
-
Choisir un périmètre pilote
Une poignée d’applications sensibles plutôt que l’ensemble du parc. La paie, la comptabilité et l’outil qui contient les données clients suffisent à occuper une première campagne.
-
Extraire qui détient quoi
Un export brut suffit, à condition qu’il porte le minimum utile : identifiant technique, personne rattachée, application, profil ou niveau de droit, et date d’octroi lorsqu’elle existe. Sans la colonne « personne », la revue est illisible pour un manager.
-
Mener la première revue
Format simple, échéance ferme, un interlocuteur par périmètre. Les résultats sont toujours spectaculaires, parce que la campagne exhume des comptes oubliés depuis des années.
-
Donner suite, et le vérifier
Un droit retiré sur le papier doit être retiré dans l’outil, et quelqu’un doit contrôler que ça a été fait. C’est l’étape la plus négligée, et celle qui décide de la crédibilité de la suivante.
-
Automatiser ce qui se répète
Extraction, relances, consolidation des réponses : ces tâches deviennent le facteur limitant bien avant la décision elle-même. C’est à ce moment, et pas avant, qu’un outillage se justifie.
Ce qui fait échouer les démarches
Les échecs se ressemblent d’une organisation à l’autre, et chacun se rattache à une étape précise. Un référentiel RH incomplet fausse tout en amont : si les prestataires, les stagiaires et les comptes techniques n’y figurent pas, ils échapperont à la gouvernance. Un modèle de rôles trop fin épuise le projet avant qu’il aboutisse : à vouloir décrire chaque nuance de poste, on fabrique des centaines de rôles que personne ne maintient.
Une revue déléguée à l’informatique perd tout son sens, parce que l’informatique sait ce qu’un droit permet techniquement, pas si la personne en a besoin. Vient ensuite le travers le plus répandu : la validation en bloc. Un responsable qui reçoit deux cents lignes à revoir en deux jours cochera tout d’un clic, et la campagne produira une trace parfaitement conforme, parfaitement vide de sens. Un lot par petits paquets, étalé, coûte moins cher qu’une revue annuelle massive et donne des décisions réelles.
Enfin, l’absence de suite donnée aux écarts constatés décrédibilise l’ensemble. Si les droits signalés en trop sont toujours actifs à la campagne suivante, plus personne ne prendra l’exercice au sérieux, et le prochain envoi restera sans réponse.
Et dans une structure de vingt personnes ?
Rien de ce qui précède n’exige une plateforme dédiée. Une version minimale tient dans quelques habitudes : un tableau tenu par une personne identifiée, listant pour chaque application qui y a accès et à quel niveau ; une relecture deux fois par an, où chaque responsable passe en revue la ligne de ses collaborateurs ; une procédure de départ écrite, avec la liste des accès à couper, cochée le jour même. Et un réflexe au moment d’accorder un droit : demander pour quelle tâche, et pour combien de temps.
C’est rudimentaire, et largement suffisant pour éviter les situations les plus embarrassantes.
Comment savoir de quel IAG on parle ?
Le contexte de la phrase tranche presque toujours. S’il est question de contrat, de garantie ou de sinistre, il s’agit de la société de courtage qui porte ce nom. S’il est question de modèles, de rédaction automatique ou d’outils conversationnels, l’auteur emploie le sigle pour l’intelligence artificielle générative. Dès qu’apparaissent les mots habilitation, annuaire, profil ou revue, on est dans la gouvernance des identités et des accès.
Peut-on avoir un IAM sans gouvernance des accès ?
C’est le cas le plus répandu. Les comptes se créent, les mots de passe se réinitialisent, les applications s’ouvrent : tout fonctionne. Ce qui manque, c’est la question posée régulièrement à quelqu’un qui peut y répondre — ces droits sont-ils encore justifiés ? Une entreprise s’en aperçoit généralement lors d’un audit, ou après un incident, quand elle découvre l’écart entre les accès réels et ceux qu’elle croyait avoir.
Qui doit valider les droits lors d’une revue des habilitations ?
Le responsable hiérarchique ou le propriétaire de l’application, pas l’équipe informatique. L’informatique sait ce qu’un droit permet techniquement ; seul le métier sait si la personne en a besoin pour son travail. Déléguer la validation à l’informatique vide l’exercice de son sens et reporte la responsabilité sur ceux qui ne peuvent pas la porter.
À quelle fréquence faut-il revoir les droits d’accès ?
La fréquence se règle sur la sensibilité du périmètre. Les applications critiques — paie, comptabilité, données clients, outils de production — justifient un rythme plus soutenu que les outils bureautiques. L’usage courant tourne autour d’une à deux campagnes par an sur les périmètres sensibles, mais c’est une décision d’entreprise, à documenter et à justifier par le niveau de risque.
Faut-il un logiciel dédié pour gouverner ses accès ?
Pas pour commencer. Un tableau à jour, une relecture semestrielle et une procédure de départ écrite couvrent l’essentiel dans une petite structure. L’outillage devient pertinent quand le volume d’identités et d’applications rend la charge manuelle intenable, ou quand la traçabilité doit être opposable à un auditeur.
Que faire des accès d’un salarié qui quitte l’entreprise ?
Les couper le jour même, tous, y compris les comptes secondaires, les accès aux services externes et les partages de fichiers. Le départ est le moment où le référentiel des ressources humaines doit déclencher automatiquement la fermeture. Le compte encore actif plusieurs mois après un départ reste l’un des écarts les plus classiques relevés en audit.
La gouvernance des accès ne se juge pas à la sophistication de l’outillage, mais à la capacité de répondre, un jour d’audit ou d’incident, à une question simple : qui avait accès, et qui l’avait décidé.