À chaque arrivée et à chaque départ, l’information part des ressources humaines et se termine par une saisie dans l’Active Directory, côté informatique. ADManager Plus permet de raccourcir ce trajet sans ouvrir l’annuaire aux équipes RH.
Le scénario est connu de toutes les directions informatiques. Les ressources humaines annoncent une arrivée par message ou par ticket. Un administrateur reprend les informations, crée le compte, l’ajoute aux bons groupes, ouvre les accès. Le même circuit se rejoue à chaque changement de poste, et une dernière fois au départ du collaborateur, si personne n’oublie de le déclencher.
Dans ce LinkedIn Live IT Inside, Hugo Briand, expert LAZAR SOFT, montre comment confier une partie de ce cycle de vie aux équipes RH avec ADManager Plus, sans leur donner le moindre accès direct à l’annuaire.
Le problème n’est pas la saisie, c’est la chaîne
Les données d’identité existent déjà, et elles existent du côté des ressources humaines : nom, date d’entrée, service, poste, responsable hiérarchique, type de contrat. Ce que les RH n’ont pas, ce sont les droits d’écriture dans l’Active Directory. Ce que l’informatique n’a pas, c’est l’information de première main. Entre les deux, un ticket.
Cette chaîne produit trois effets, toujours les mêmes : un délai entre la décision RH et l’ouverture effective des accès, des erreurs de ressaisie sur des champs que personne ne relit, et des comptes de partants qui restent actifs parce que la sortie n’a jamais été signalée.
Deux réponses viennent spontanément, et aucune ne tient. Donner une console d’administration aux ressources humaines revient à leur accorder des droits qu’aucun responsable de la sécurité n’acceptera. Tout garder à l’informatique maintient le goulot d’étranglement là où il est. La troisième voie consiste à déléguer l’action sans déléguer les droits.
Ce que montre ce LinkedIn Live IT Inside
Trois démonstrations s’enchaînent, chacune sur un moment concret du cycle de vie d’un collaborateur.
Des formulaires d’entrée et de sortie pour les RH
Mise en place et paramétrage
Une interface dédiée, réduite aux champs que les ressources humaines maîtrisent réellement. Le reste du compte se remplit à partir de règles définies par l’informatique.
Des circuits d’approbation, avec correction et suivi
Traitement des demandes
Chaque demande passe par une validation avant d’atteindre l’annuaire. Une demande incomplète se corrige et se renvoie, sans repartir de zéro, et son état reste visible du début à la fin.
Déléguer tout en gardant le contrôle
Sécurité et gouvernance
Les ressources humaines déclenchent l’action, l’informatique conserve la définition du périmètre, la validation et la trace de ce qui a été fait.
Visionnez le replay
La démonstration se fait en conditions réelles, dans la console ADManager Plus.
Trois garde-fous à poser avant de déléguer
Déléguer une action à une équipe métier ne se résume pas à lui ouvrir un écran. Trois mécanismes encadrent ce que les ressources humaines peuvent faire, et ce qu’il en reste une fois l’opération terminée.
Le périmètre
Ce que les RH voient, et rien d’autre
La délégation s’appuie sur des rôles et sur des unités d’organisation. Un profil RH n’affiche que les tâches qui lui ont été confiées, sur la portion d’annuaire qui lui a été affectée. Aucun droit d’administration n’est accordé sur la structure complète.
La validation
Ce qui se passe avant l’écriture
Une demande peut traverser jusqu’à quatre rôles avant d’atteindre l’Active Directory : demandeur, examinateur, approbateur, exécuteur. Le circuit se règle en une seule étape pour un cas simple, ou en plusieurs quand la décision engage. Chaque intervenant est prévenu à son tour.
La trace
Ce qu’il reste après
Les demandes en cours et terminées sont conservées, avec l’auteur, les valideurs successifs, l’état et l’heure d’exécution. C’est la pièce que l’on présente lors d’un contrôle, et celle qui permet de reconstituer une opération plusieurs mois plus tard.
Les questions à trancher avant de paramétrer
La difficulté d’un projet de délégation n’est pas technique, elle est organisationnelle. Cinq décisions conditionnent le reste, et elles se prennent avec les ressources humaines, pas à leur place.
- Quels moments du cycle de vie sont délégués. L’arrivée seule est un bon point de départ. Le changement de poste et la sortie peuvent suivre, une fois le circuit rodé.
- Quels champs les RH renseignent réellement. Tout ce qui se déduit du service, du site ou du poste se remplit par règle, y compris l’appartenance aux groupes et le responsable hiérarchique. Le formulaire RH ne doit contenir que les informations dont les RH sont la source.
- Qui approuve, et en combien d’étapes. Une validation par l’informatique suffit dans la plupart des cas. Un profil à privilèges élevés justifie une étape de plus.
- Quel délai d’exécution est attendu. Un circuit d’approbation sans engagement de traitement reproduit le goulot d’étranglement qu’il devait supprimer.
- Quelle preuve est produite. Il faut décider dès le départ ce qui sera exporté, à quelle fréquence, et à qui cela sera présenté.
Une délégation qui tient dans la durée
Le bénéfice immédiat est visible sur les arrivées : le compte existe le jour de l’entrée, avec les bons attributs, sans ressaisie. Le bénéfice durable se joue ailleurs, sur les sorties. Un départ déclaré par les ressources humaines dans le même formulaire que l’arrivée ne dépend plus d’un signalement informel, et l’annuaire cesse de se remplir de comptes que plus personne ne réclame.
Ce qu’il faut retenir
Les ressources humaines détiennent l’information, l’informatique détient les droits. La délégation consiste à faire circuler l’action sans faire circuler les droits : un formulaire restreint côté métier, une validation et un périmètre définis côté informatique, une trace conservée des deux côtés.
Le paramétrage se fait en quelques heures. L’accord sur les cinq décisions ci-dessus prend souvent plus de temps, et c’est là que se joue la réussite du projet.
LAZAR SOFT
Déléguer aux RH sans ouvrir l’Active Directory ?
Nos équipes avant-vente répondent aux questions de mise en oeuvre d’ADManager Plus, du périmètre de délégation aux circuits d’approbation.