Concepts d'autorisation

Alors que certains doutent encore de la nécessité des autorisations SAP - et des concepts d'autorisation qui y sont liés -, d'autres hésitent à les mettre en œuvre en raison de leur grande complexité. Le fait est que les concepts d'autorisation SAP sont indispensables pour la conformité et la sécurité informatique à l'échelle de l'entreprise. Mais comment les entreprises peuvent-elles obtenir un concept d'autorisation SAP fiable sans se décourager ? Existe-t-il une voie royale ou plusieurs chemins mènent-ils au but ?

Un concept d'autorisation SAP reflète les normes juridiques pertinentes et les règles internes à l'entreprise, qu'il convient d'harmoniser avec les directives de sécurité informatique au sein d'un système SAP. Un concept d'autorisation bien pensé permet de réduire considérablement la charge administrative tout en respectant les obligations légales. Il crée non seulement la conformité souhaitée, c'est-à-dire des structures compréhensibles avec une documentation et un versionnement sans faille, mais il dote également chaque utilisateur des autorisations nécessaires à ses tâches dans le système SAP, conformément aux règles.

Aucun signe de méfiance

Ceux qui pensent que des autorisations claires sont un signe de méfiance se trompent. Elles servent à la fois à protéger l'entreprise et les employés. Cela permet d'éviter des dommages massifs qui pourraient être causés par des actions accidentelles des employés. Des exemples typiques sont la levée d'un blocage de livraison ou l'utilisation erronée d'une fonction de modification en masse. Parallèlement, un concept d'autorisation protège contre les tentatives de fraude, par exemple lorsque des collaborateurs falsifient des bilans et portent ainsi préjudice aux parties prenantes. Bien que les concepts d'autorisation SAP puissent protéger les entreprises de dommages financiers et de réputation considérables, la plupart d'entre elles ne s'en préoccupent que lorsque des événements externes et internes les y obligent. Parmi les événements externes, on compte classiquement les audits et les contrôles économiques. En interne, les autorisations qui se sont développées au fil du temps entraînent généralement des conflits et nécessitent alors une réduction, voire une épuration fondamentale. Mais une migration vers S/4 Hana, inévitable dans un avenir proche, incite également les entreprises à devoir se pencher sur la question des autorisations.

Possibilités d'action

Lorsque les entreprises sont confrontées à ces événements, elles ont essentiellement trois possibilités d'action :

1. juste avant Bien entendu, les entreprises sont libres d'adopter une position d'attente et de ne s'attaquer à leur concept d'autorisation SAP que lorsqu'elles ne peuvent plus faire autrement. Mais cela n'est pas recommandé. Surtout si le prochain audit est imminent. Les entreprises seraient bien avisées de ne pas attendre un tel déclencheur critique en termes de temps pour se pencher sur leur concept d'autorisation SAP.

2. ajustements ponctuels : Une autre possibilité plutôt nécessaire pour les entreprises est de procéder de manière réactive à des adaptations ponctuelles de leur concept d'autorisation SAP et d'atténuer ainsi la "douleur" actuelle. Dans les milieux spécialisés, on appelle volontiers une telle procédure la méthode de la feuille de vigne. Elle est souvent moins axée sur les processus et rend inévitable un nouveau départ au bout d'un certain temps, par exemple en raison d'un trop grand nombre d'interfaces, de workarounds ou d'un manque de transparence. En effet, les véritables quick wins n'apparaissent que lorsque les adaptations ponctuelles sont mises en œuvre avec clairvoyance et qu'une future solution globale est déjà prise en compte lors de la planification.

3. approche holistique : L'idéal pour les entreprises est d'intégrer leur concept d'autorisation SAP dans une stratégie globale. Cela signifie l'introduire de manière modulaire au moyen d'un système intégré. Certes, cela peut sembler à première vue plus compliqué que des adaptations ponctuelles, mais cela présente plusieurs avantages. D'une part, les entreprises ne doivent pas développer d'interfaces. D'autre part, grâce à sa structure modulaire, la solution peut être parfaitement adaptée aux besoins individuels de l'entreprise et des collaborateurs. Si l'on veut, cette méthode ne fait pas que soulager la douleur, elle s'attaque à la racine du problème.

Les concepts d'autorisation SAP, leur mise en œuvre et leur optimisation sont tout aussi individuels que chaque entreprise. La voie royale est donc un mythe. C'est pourquoi les trois scénarios suivants montrent à titre d'exemple les différentes voies possibles en matière de concepts d'autorisation SAP.

Scénario un

Une entreprise industrielle de renom souhaite migrer vers S/4 Hana dans les meilleurs délais afin de se préparer à l'avenir et de profiter de l'occasion pour optimiser les autorisations et les licences. Au préalable, elle a discuté en détail de l'approche de migration la plus appropriée : Greenfield, Brownfield ou Bluefield. Sur la base de ses exigences spécifiques et après une réflexion approfondie, l'entreprise a finalement opté pour l'approche Greenfield, c'est-à-dire la réimplémentation d'un système S/4. L'entreprise industrielle sait qu'il est judicieux de mettre en place un nouveau concept d'autorisation avant la mise en service afin d'éviter la prolifération classique et de garantir immédiatement la conformité. C'est en effet la seule façon d'éviter divers problèmes de sécurité lors de la mise en service, par exemple en raison de rôles et d'attributions de rôles prédéfinis et trop étendus. C'est pourquoi l'entreprise industrielle décide au préalable d'utiliser le System Trace de SAP comme base pour enregistrer en permanence le comportement des utilisateurs. Sur cette base, l'entreprise déduit les adaptations nécessaires et les intègre dans le nouveau concept d'autorisation. Après une phase d'optimisation, tous les problèmes de sécurité ont été éliminés et la migration avec les nouvelles autorisations s'est achevée avec succès.

Scénario deux

Check-up pour l'audit à venir. Au cours d'un audit interne qui ne devait servir qu'à des fins de test ou de préparation à l'audit annuel, un groupe automobile a constaté qu'il avait divers défis à relever en ce qui concerne ses autorisations SAP, notamment en ce qui concerne la séparation des fonctions des utilisateurs dans les domaines critiques pour l'entreprise. Par exemple, divers collaborateurs peuvent actuellement créer des fournisseurs, enregistrer une entrée de marchandises et, pour couronner le tout, lancer le cycle de paiement sans réelle nécessité. Ce problème est apparu suite à une attribution des rôles insuffisamment contrôlée par le passé. Pour remédier rapidement - et surtout à temps - à sa douleur ponctuelle, l'entreprise cherche une solution intelligente qui automatise les processus de conformité et dans laquelle le contrôle, la validation et l'atténuation des conflits peuvent être présentés de manière conviviale et sûre.

Le groupe automobile opte pour une solution capable d'effectuer un audit automatique avant et après les modifications des autorisations et des rôles. Le grand avantage : l'entreprise peut s'assurer, avant l'examen à venir, que les conflits d'audit pertinents ont été identifiés, documentés de manière à garantir la sécurité de l'audit et versionnés. Cela garantit en outre que, lors de modifications futures, les violations pertinentes sont déjà signalées avant le workflow de demande et peuvent ainsi être évitées. Cela permet de réduire les coûts de processus et de garantir un audit efficace avec moins de travail préparatoire.

Scénario trois

Réduire le concept de rôles qui s'est développé au fil du temps. Une restructuration liée à de nouvelles exigences de conformité met une grande entreprise énergétique au défi de vérifier toutes les autorisations et tous les rôles. Ce projet s'avère être une tâche herculéenne, car les systèmes ont fortement évolué au cours des dix à quinze dernières années. De nouveaux rôles et autorisations ont certes été ajoutés régulièrement, mais leur pertinence n'a pas été vérifiée, voire pas du tout. L'entreprise d'énergie aimerait bien réduire les anciens "rôles monstrueux" et retirer aux utilisateurs les autorisations superflues. Mais il s'avère rapidement que cela n'est pas réalisable à un coût raisonnable, que ce soit avec les outils SAP debord ou manuellement.

L'entreprise énergétique a besoin d'une solution simple qui lui permette d'identifier et de nettoyer automatiquement les autorisations inutilisées et les rôles surchargés. Elle peut ainsi se libérer en peu de temps de ses charges héritées du passé. En plus de travaux administratifs allégés, l'entreprise d'énergie profite désormais d'une réduction considérable des frais de contrôle lors des audits. La réduction des coûts de licence rend la nouvelle vue d'ensemble encore plus positive.

Ne pas avoir peur des concepts d'autorisation SAP

Introduire des concepts d'autorisation SAP ou les mettre à jour ne doit pas nécessairement impliquer de gros efforts. Des optimisations ponctuelles permettent déjà d'obtenir des gains rapides. En outre, à l'aide d'algorithmes complexes associés à l'intelligence artificielle, l'analyse, la création et la révision des concepts d'autorisation SAP seront automatisées à l'avenir et donc beaucoup plus efficaces. Il n'en reste pas moins que la voie royale tant évoquée n'existe pas.

Ainsi, les voies vers un concept d'autorisation SAP moderne sont aussi individuelles que les entreprises qui les empruntent. Elles devraient considérer cela comme une chance d'explorer une approche adaptée à leurs besoins - et à l'avenir assistée par l'IA. De nombreux exemples pratiques réussis le montrent. Ainsi, les entreprises ne se contentent pas de surmonter leur réticence à l'égard des concepts d'autorisation SAP, mais sont en passe d'élever la conformité et la sécurité informatique à un niveau solide.