Rôles et permissions
Les quatre rôles, ce que chacun permet, et comment les rôles s’attribuent entité par entité.
Les quatre rôles
| Rôle | En résumé |
|---|---|
| Administrateur | tous les droits sur l’entité, plus l’administration : organisation, entités, utilisateurs et invitations, sécurité |
| RSSI | pilote la conformité : écriture sur tous les modules métier, approbation des politiques, Trust Center, planification des rapports, journal d’audit ; consultation des utilisateurs |
| Contributeur | travaille sur les contrôles, risques, incidents, actifs, RGPD et tâches ; génère des rapports (sauf le Rapport d’Audit) ; n’a accès ni aux fournisseurs, ni aux politiques, ni au Trust Center |
| Auditeur | consultation de presque tout, sans aucune modification ; journal d’audit limité aux entités auditées ; pas d’accès aux utilisateurs |
Rôles par entité
- Un utilisateur a un rôle par entité, et peut avoir des rôles différents selon les entités (par exemple RSSI du siège et Auditeur d’une filiale).
- Les droits ne se transmettent pas aux entités filles : pour agir sur une filiale, il faut un rôle sur cette filiale. À la création d’une entité, son créateur et les Administrateurs de l’entité parente en deviennent Administrateurs.
- Les réglages communs à toute l’organisation (profil de l’organisation, sécurité, Trust Center, utilisateurs et invitations, journal d’audit, référentiels personnalisés, contrôles personnalisés et surcharges des référentiels adoptés, acceptation des mises à jour de référentiels, modèles) sont accessibles dès que l’un de vos rôles, sur n’importe quelle entité de l’organisation, donne le droit correspondant. Seule exception, le journal d’audit de l’Auditeur : il ne montre que les entrées des entités sur lesquelles il est Auditeur.
- Seuls comptent les rôles détenus dans l’organisation où vous êtes connecté : un rôle dans une autre organisation n’y donne aucun droit.
Détail des droits
| Domaine | Administrateur | RSSI | Contributeur | Auditeur |
|---|---|---|---|---|
| Organisation (profil, sécurité) | lecture, modification | lecture | lecture | lecture |
| Entités | lecture, création, modification, archivage | lecture | lecture | lecture |
| Utilisateurs et invitations | lecture, gestion | lecture | — | — |
| Contrôles, analyse d’écart | lecture, écriture | lecture, écriture | lecture, écriture | lecture |
| Mises à jour de référentiels | consultation, acceptation | consultation, acceptation | consultation | consultation |
| Contrôles personnalisés et surcharges des référentiels adoptés | écriture | écriture | — | — |
| Référentiels personnalisés | lecture, écriture, publication | lecture, écriture, publication | — | lecture |
| Risques, actifs, incidents | lecture, écriture | lecture, écriture | lecture, écriture | lecture |
| Fournisseurs | lecture, écriture | lecture, écriture | — | lecture |
| Modèles de questionnaires fournisseurs | lecture, écriture, publication | lecture, écriture, publication | — | lecture |
| Politiques | lecture, écriture | lecture, écriture | — | lecture |
| RGPD | lecture, écriture | lecture, écriture | lecture, écriture | lecture |
| Modèles d’activités de traitement | lecture, écriture | lecture, écriture | — | lecture |
| Tâches | lecture, écriture | lecture, écriture | lecture, écriture | lecture |
| Rapports | lecture, planification | lecture, planification | lecture | lecture |
| Trust Center | lecture, écriture | lecture, écriture | — | lecture |
| Journal d’audit | lecture (toute l’organisation) | lecture (toute l’organisation) | — | lecture (entités auditées) |
Quelques règles s’ajoutent à ce tableau :
- passer un contrôle en Non applicable : Administrateur ou RSSI de l’entité ;
- passer un contrôle en Non conforme : responsable du contrôle, Administrateur ou RSSI (le responsable ne pouvant pas encore être désigné dans l’interface, cela revient en pratique à un Administrateur ou un RSSI) ;
- accepter une mise à jour de référentiel : Administrateur ou RSSI, sur n’importe quelle entité de l’organisation, car elle s’applique à toute l’organisation ; pour les autres rôles, « Accepter la mise à jour » est grisé ;
- ajouter, modifier ou supprimer un contrôle personnalisé d’un référentiel maître adopté, ou lui poser une note interne ou une référence réglementaire propre à l’organisation : Administrateur ou RSSI, sur n’importe quelle entité de l’organisation, car le contrôle est ajouté à (ou retiré de) toutes les entités où le référentiel est actif ; les autres rôles ne voient pas ces boutons ;
- référentiels personnalisés : dans l’interface, la création, l’import, la publication et l’adoption ne sont proposées qu’aux Administrateurs, même si le RSSI en a le droit ;
- Rapport d’Audit : il contient la piste d’audit de l’entité, il est donc réservé aux rôles qui lisent le journal d’audit de cette entité (Administrateur, RSSI, Auditeur) ; il n’est pas proposé aux Contributeurs, et les Rapports d’Audit générés par d’autres n’apparaissent pas dans leur historique ;
- automatisations : l’onglet n’est utilisable que par un Administrateur ou un RSSI de l’entité sélectionnée ;
- créer une entité : être Administrateur de l’entité parente ;
- le dernier Administrateur de l’organisation ne peut être ni désactivé, ni rétrogradé.
Ce que l’on voit à l’écran
Le menu et les onglets des paramètres sont les mêmes pour tous les rôles, sauf l’onglet Utilisateurs, que seuls les Administrateurs et RSSI voient, et l’onglet Journal d’audit, que les Contributeurs ne voient pas. Certains boutons sont masqués selon le rôle, mais pas tous : un utilisateur peut donc voir une page ou un bouton qu’il n’a pas le droit d’utiliser, et l’action est alors refusée, parfois sans message d’erreur. Après un changement de rôle, rechargez l’application pour que vos nouveaux droits soient pris en compte.
Les administrateurs de la plateforme Conformitly (gestion des catalogues maîtres) ne font pas partie des rôles de votre organisation.
Mise à jour : 10 octobre 2026. Signaler une inexactitude