Contexte
Au sein de la filiale belge d’un grand groupe international, les droits d’accès SAP étaient gérés sans méthodologie claire.
À chaque demande d’octroi ou de modification de droits, l’équipe IT était sollicitée. Cela détournait non seulement les informaticiens de leurs missions principales, mais leur confiait également la responsabilité de la gestion des accès, alors même qu’ils ne disposaient pas toujours du contexte métier justifiant ces demandes.
L’équipe IT fonctionnait sur la base de critères standards, répondant aux demandes sans les remettre en question, ce qui a conduit à de nombreuses anomalies :
- Des responsables de département ne disposaient que de droits partiels, tandis que des stagiaires bénéficiaient parfois de droits excessifs (tels que des rôles de type « firefighter »).
- Des collaborateurs ayant changé de fonction conservaient des accès liés à leurs anciens postes sans recevoir ceux correspondant à leurs nouvelles responsabilités.
Du point de vue du contrôle financier, cette situation entraînait de sérieux problèmes de séparation des tâches, une même personne pouvant par exemple effectuer les paiements, les encoder, les contrôler et les valider.