Évaluez votre maturité
SoD dans SAP

❌ C'est le point de départ prioritaire. Sans matrice, toutes vos analyses SoD reposent sur des bases instables et inopposables à un auditeur.

❌ Au-delà de 6 mois, les mouvements de personnel rendent les résultats non fiables. Votre situation actuelle est probablement très différente de votre dernière analyse.

❌ Sans ownership, aucune remédiation n'aboutit. La gouvernance SoD doit être portée par les métiers, pas uniquement par l'IT.

❌ Achats, Ventes et Comptabilité concentrent la majorité des risques de fraude. Commencez par ces domaines — et vérifiez si RH/Paie est géré dans SAP ou dans un autre système.

❌ Sans analyse au niveau des objets d'autorisation (ACTVT, BUKRS…), vos résultats contiennent probablement entre 40 et 60 % de faux positifs — ce qui nuit à la crédibilité de toute votre démarche GRC.

❌ Sans priorisation, les équipes traitent tous les conflits avec la même urgence — et s'épuisent sur des risques mineurs au détriment des vrais enjeux.

❌ Une matrice validée uniquement par l'IT sera contestée lors d'un audit externe. Les propriétaires de processus (DAF, Responsable Achats, DRH…) doivent impérativement co-signer.

❌ Un compte désactivé dont les droits n'ont pas été supprimés reste exploitable. Cela révèle un problème dans votre procédure de départ/changement de poste — à corriger en priorité.

❌ Sans croisement avec les logs (SM20, STAD), vous traitez tous les conflits théoriques avec la même urgence — y compris ceux qui n'ont jamais été exercés depuis des années.

❌ Chaque remédiation non simulée peut créer de nouveaux conflits. Vous risquez de traiter un problème en en créant trois autres.

❌ Des rapports incompréhensibles pour les métiers = des remédiations qui tardent. La gouvernance SoD doit parler le langage du risque, pas de la technique SAP.

❌ Les extractions Excel de plus de 50 000 lignes génèrent systématiquement des erreurs. Un seul fichier corrompu peut invalider tout un audit externe.

❌ Détecter après coup, c'est déjà trop tard. Les nouveaux conflits créés entre deux revues peuvent rester actifs pendant des mois sans être détectés.

❌ Un auditeur demandera systématiquement la preuve que les risques ont été traités — par qui, quand, pour quelle raison. Sans traçabilité, votre démarche n'est pas opposable.

❌ Certains conflits sont inévitables (petites structures, postes cumulés). L'inaction silencieuse n'est jamais acceptable. Une dérogation documentée + contrôle compensatoire est la bonne réponse.

❌ Les conflits inter-systèmes sont les plus souvent ignorés et les plus dangereux. Un périmètre limité à un seul système SAP laisse des risques majeurs non détectés.

❌ L'objectif final n'est pas de survivre à l'audit, mais de l'aborder avec confiance. Un reporting continu est la seule façon d'y parvenir.

❌ Une analyse uniquement lors des audits, c'est naviguer à vue 90 % du temps. La détection continue est la seule approche compatible avec les exigences réglementaires modernes.

❌ Les comptes de service et RFC sont les plus dangereux : souvent dotés de droits très étendus, sans MFA, sans politique de mot de passe stricte, et rarement revus. Ils doivent absolument être inclus dans vos analyses SoD.