Établir un diagnostic
Une séparation affichée dans l’organigramme peut être annulée par des comptes partagés ou des délégations trop larges.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Tester qu’un utilisateur ne peut à la fois créer et approuver une opération interdite, ou que le contrôle compensatoire détecte ce cumul.
Suivre incompatibilités actives, dérogations et contrôles compensatoires non réalisés.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Vérifiez un départ récent de bout en bout : annuaire, applications non fédérées, sessions, jetons et accès partenaires. La désactivation d'un compte central n'implique pas toujours la disparition immédiate de tous les moyens d'accès.
Trois actions de départ
- Identifier les combinaisons de tâches sensibles
- Configurer les incompatibilités utiles
- Définir les contrôles compensatoires et vérifier leur exécution