Cabinets et PME : faut-il supprimer les mots de passe partagés avant l'incident de trop ?

Dans beaucoup de cabinets et de PME, un mot de passe partagé en entreprise semble pratique jusqu'au jour où il brouille les responsabilités. Pour la messagerie, Sage ou un dossier métier, la vraie question n'est pas morale : elle tient à la traçabilité des accès informatiques et à la continuité d'activité.

Le compte commun rassure, puis il finit par coûter cher

Le schéma est connu. Une adresse de service, un accès Sage, parfois un VPN ou un compte Windows local, et plusieurs personnes s'y connectent parce que cela va plus vite. Au début, tout paraît fluide. Personne ne se plaint, donc le risque reste abstrait.

Mais un compte partagé mélange trois choses qui devraient rester distinctes : l'identité, le droit et la preuve. Quand cinq personnes utilisent le même accès, vous ne savez plus qui a supprimé un message, modifié un règlement, exporté un fichier ou validé une écriture. En cas d'erreur, de départ conflictuel ou de contrôle, cette zone grise devient très concrète.

Dans les secteurs juridique, comptable ou de la santé, ce flou est encore plus dangereux. Non parce que le principe serait théoriquement interdit partout et toujours, mais parce que les données manipulées sont sensibles, les obligations de confidentialité plus fortes et les conséquences souvent immédiates.

Ce qui vous expose réellement en cas d'incident ou de contrôle

Une erreur impossible à attribuer

Le premier risque, c'est l'absence de piste fiable. Si une boîte mail de facturation envoie un mauvais RIB, si un dossier client disparaît ou si un export comptable part au mauvais destinataire, vous aurez du mal à reconstituer les faits. Or la sécurité de la messagerie professionnelle ne repose pas seulement sur l'antispam ou le MFA : elle repose aussi sur la capacité à savoir qui a fait quoi.

Un départ qui laisse un accès actif

Quand une personne quitte la structure, les comptes partagés en PME compliquent tout. Le mot de passe circule, a parfois été enregistré sur un mobile personnel, dans un navigateur ou dans un carnet. Il faut alors le changer partout, prévenir tout le monde, reconfigurer les outils liés - et il reste souvent un angle mort. Nous le voyons souvent lors d'une reprise ou d'un audit initial : l'accès supposé collectif est en réalité devenu incontrôlable.

Une non-conformité discrète mais sérieuse

Un contrôle ne cherche pas seulement un grand incident. Il regarde aussi la logique d'organisation. Si plusieurs collaborateurs utilisent le même identifiant pour consulter des données nominatives, médicales, sociales ou financières, vous aurez du mal à démontrer une gestion sérieuse des habilitations. La CNIL comme l'ANSSI rappellent d'ailleurs qu'un accès individualisé fait partie des bases d'une politique de sécurité crédible.

Tous les outils ne se valent pas, mais aucun n'aime le partage

Messagerie : le faux confort de la boîte commune

Une boîte partagée peut avoir un sens si elle est gérée comme boîte fonctionnelle avec des délégations propres. Ce n'est pas la même chose qu'un identifiant unique utilisé par plusieurs personnes. Dans Microsoft 365 ou Google Workspace, il est généralement préférable d'attribuer des droits nominatifs, puis de journaliser les actions. C'est plus propre, et souvent plus simple qu'on ne l'imagine.

Sage : la rapidité apparente, le brouillard derrière

Pour Sage et les accès utilisateurs, le sujet est encore plus sensible. Un compte générique en comptabilité masque les validations, les modifications de paramétrage et certains exports. Sur des environnements que nous accompagnons via notre expertise Sage, l'enjeu n'est pas seulement la sécurité : c'est aussi la capacité à reconstituer un historique utile quand une anomalie apparaît en clôture, en facturation électronique ou lors d'une passation.

Dossiers partagés, VPN, téléphonie

Le même principe vaut pour un accès à un dossier réseau, un VPN ou un standard. Un compte technique partagé finit par brouiller le support, l'analyse et les droits. Et quand tout le monde a "le même accès", personne n'a vraiment le bon.

Quand un accès Sage bloquait la passation dans un cabinet comptable

Dans un cabinet de Seine-et-Marne, un identifiant commun servait à traiter une partie des règlements et des exports sur Sage pendant les congés. Rien de spectaculaire. Puis une collaboratrice est partie plus vite que prévu, et une anomalie sur des écritures a surgi quelques jours après. Impossible de savoir si le problème venait d'une mauvaise manipulation, d'un doublon d'import ou d'un ancien paramétrage relancé sans le vouloir.

La difficulté n'était pas technique au départ, mais organisationnelle. Nous avons repris les droits, individualisé les accès prioritaires, puis documenté les délégations utiles pour éviter qu'une absence ne bloque le cabinet. La continuité a été préservée sans alourdir les gestes quotidiens. Ce genre de situation rappelle une chose un peu sèche, mais vraie : un accès commode devient vite un passif silencieux.

Les signaux qui montrent qu'il faut corriger sans attendre

• Le mot de passe est connu de plus de deux personnes et personne ne sait où il est encore enregistré.
• Un même compte sert à la fois sur poste fixe, en mobilité et sur smartphone.
• Les départs et les arrivées se règlent en changeant un mot de passe "quand on y pense".
• Une boîte mail générique est utilisée comme identité personnelle.
• Les accès à Sage, au VPN ou aux dossiers sensibles n'ont jamais été revus formellement.
• Votre structure grandit et les habitudes prises à 5 personnes perdurent à 25.

En Île-de-France, nous rencontrons souvent ce point de bascule dans les structures de 10 à 100 postes : l'organisation a mûri, mais les droits utilisateurs sont restés artisanaux.

Un plan réaliste pour individualiser les accès sans bloquer l'équipe

1. Inventoriez les comptes partagés réels, pas ceux que vous croyez avoir. Messagerie, Sage, VPN, scans, téléphonie, dossiers réseau.
2. Classez-les par criticité : commencez par les accès financiers, juridiques, RH et métiers.
3. Créez des comptes nominatifs avec le bon niveau de droit, pas un copier-coller d'administration.
4. Remplacez les usages collectifs par des délégations, des boîtes fonctionnelles ou des groupes de sécurité.
5. Documentez les exceptions : certains comptes techniques existent, mais ils doivent être encadrés, journalisés et modifiés hors routine.

Si la transition paraît lourde, elle l'est rarement autant qu'un incident mal attribué. Et si vous devez arbitrer entre vitesse et preuve, il vaut mieux perdre une heure de paramétrage qu'une semaine de doute. Pour approfondir ces sujets, nos articles sur la messagerie, les départs d'utilisateurs ou la continuité d'activité peuvent servir de point d'appui.

Remettre de l'ordre avant le prochain angle mort

Supprimer les mots de passe partagés n'est pas une lubie d'auditeur. C'est une manière simple de rendre votre activité plus lisible, plus défendable et souvent plus sereine. Si vous soupçonnez des accès encore flous sur la messagerie, Sage ou vos dossiers sensibles, nous pouvons vous aider à les cartographier, à les reprendre et à les sécuriser sans casser les usages utiles. Le plus simple est souvent de commencer par un échange via notre FAQ ou de vérifier notre zone d'intervention avant une reprise ciblée des droits.