Un conflit de Séparation des Tâches (SoD) ne peut pas toujours être résolu en retirant un accès. Petites équipes, processus critiques, accès d’urgence : dans ces situations, la bonne réponse n’est pas de supprimer le conflit mais de le surveiller. C’est le rôle du contrôle compensatoire : encore faut-il savoir quand l’utiliser, lequel choisir, et comment le rendre opposable en cas d’audit.
L’essentiel :
- Un contrôle compensatoire ne supprime pas un conflit SoD, il permet de détecter rapidement s’il est exploité.
- Il devient nécessaire quand retirer l’accès bloquerait le métier : petites équipes, processus critiques peu segmentables, accès d’urgence, comptes techniques.
- Les formes les plus courantes : revue périodique de logs, rapprochement croisé, workflow d’approbation a posteriori, alertes automatiques.
- Un contrôle n’a de valeur en audit que s’il est documenté, exécuté à fréquence fixe et prouvé – sans preuve, il n’existe pas.
- Chaque contrôle doit avoir un responsable nommé et être revu périodiquement pour rester efficace.
Quand un contrôle compensatoire devient-il nécessaire ?
Quatre situations reviennent le plus souvent dans les organisations qui utilisent SAP.
Taille de l’équipe. Dans une PME ou une filiale à effectif réduit, une seule personne peut légitimement porter plusieurs rôles faute d’effectif suffisant pour les séparer.
Continuité métier. Séparer strictement certaines étapes ralentirait un processus critique (clôture, paie) au point de créer un risque opérationnel plus grand que le risque SoD lui-même.
Accès d’urgence. Les accès de type « firefighter », accordés temporairement en cas d’incident, cumulent volontairement des droits étendus le temps de résoudre le problème.
Comptes techniques. Certains comptes d’interface ou de batch nécessitent des droits transverses qu’il serait artificiel de fragmenter entre plusieurs identités.
Dans ces cas, la bonne question n’est pas « comment supprimer le conflit ? » mais « comment le surveiller pour qu’il ne devienne jamais un incident silencieux ? »
Les principaux types de contrôles compensatoires
Étape 1 : Qualifier précisément le risque résiduel
Avant de choisir un contrôle, il faut décrire ce que l’utilisateur pourrait faire avec le cumul d’accès, et l’impact réel si cela se produisait : financier, réglementaire, opérationnel. Cette qualification conditionne tout le reste de la démarche.
Étape 2 : Choisir un contrôle proportionné
Le contrôle doit correspondre au niveau de risque identifié. Une revue mensuelle suffit pour un risque mineur ; une alerte en temps réel s’impose pour un risque financier direct comme la modification de coordonnées bancaires.
Étape 3 : Formaliser fréquence et responsable
Chaque contrôle a un propriétaire nommé et une périodicité fixe.
⚠️ Erreur fréquente : un contrôle sans responsable identifié finit toujours par ne plus être exécuté. La responsabilité diluée équivaut, en pratique, à l’absence de contrôle.
Étape 4 : Définir la preuve attendue
Rapport signé, export archivé, ticket de workflow clôturé : la preuve doit être horodatée, attribuable à une personne identifiée, et conservée dans un emplacement accessible en cas de contrôle interne ou d’audit externe.
Étape 5 : Revoir périodiquement son efficacité
Un contrôle compensatoire n’est pas figé : il doit être réévalué si le contexte change (nouvel outil, réorganisation, volumétrie plus importante).
💡 Bonne pratique : avant de considérer un contrôle compensatoire comme définitif, vérifiez s’il ne serait pas possible, à moyen terme, de le remplacer par une véritable suppression du conflit, via une refonte de rôle ou un recrutement. Le contrôle compensatoire est une réponse à un risque résiduel, pas une solution permanente par défaut.
Les pièges les plus fréquents
Le contrôle existe sur le papier mais n’est jamais exécuté : sans preuve, il n’a aucune valeur en audit.
Aucun responsable clairement identifié, ce qui dilue la responsabilité et fait disparaître le contrôle avec le temps.
Contrôle manuel non traçable : une vérification « de mémoire », sans document ni horodatage, ne peut pas être présentée à un auditeur.
Absence de revue de l’efficacité : un contrôle mis en place il y a deux ans peut ne plus correspondre au risque réel si le contexte a changé.
Concevoir des contrôles SAP qui tiennent face à un audit
Définir un contrôle compensatoire est une chose, l'industrialiser sur l'ensemble de votre périmètre SAP en est une autre : conception des contrôles, revue périodique des utilisateurs et des autorisations, preuve d'exécution centralisée.
Découvrir SWAWE CCM →FAQ : Tout comprendre sur les contrôles compensatoires SAP
Qu'est-ce qu'un contrôle compensatoire en SAP ?
Un contrôle compensatoire est une mesure de détection ou de surveillance mise en place lorsqu’un conflit de séparation des tâches (SoD) ne peut pas être éliminé par une simple modification des accès. Il ne supprime pas le risque à la source, mais permet de détecter rapidement une anomalie ou un abus si le risque se matérialise.
Un contrôle compensatoire suffit-il à lui seul à couvrir un risque SoD ?
Non. Un contrôle compensatoire réduit le risque résiduel mais ne l’annule pas. Il doit être documenté, exécuté à une fréquence définie, tracé avec preuve à l’appui, et revu périodiquement pour vérifier qu’il reste efficace et réellement appliqué.
Qui doit valider la mise en place d'un contrôle compensatoire ?
La définition du contrôle relève généralement du responsable sécurité SAP ou du contrôle interne, mais sa validation doit impliquer le propriétaire du processus métier concerné et, pour les risques les plus sensibles, être documentée dans le cadre d’audits ou de revues de conformité.
Comment prouver qu'un contrôle compensatoire est réellement exécuté ?
La preuve d’exécution peut prendre la forme d’un rapport signé, d’un export daté et archivé, d’un ticket de workflow clôturé ou d’un journal de revue. L’essentiel est que la preuve soit horodatée, attribuable à une personne identifiée, et conservée pour être présentée en cas d’audit.
Quelle est la différence entre un contrôle compensatoire et une dérogation SoD ?
La dérogation est la décision formelle d’accepter un conflit SoD au lieu de le supprimer. Le contrôle compensatoire est la mesure concrète mise en œuvre pour encadrer cette dérogation dans le temps. En pratique, les deux vont toujours de pair : une dérogation sans contrôle compensatoire associé n’est pas défendable en audit