Sous-traitant, stagiaire, cabinet comptable : quand créer un compte nominatif plutôt que partager un accès

Donner un accès à Sage, à Microsoft 365 ou à un dossier partagé dans l'urgence semble banal. Pourtant, entre compte nominatif, accès invité et mot de passe transmis par habitude, une PME engage bien plus que du confort : sa traçabilité, sa sécurité et parfois sa conformité.

Le compte partagé rassure sur le moment, puis il brouille tout

Dans beaucoup de TPE et de PME, la scène est connue. Le cabinet comptable doit récupérer des pièces dans la journée, un stagiaire arrive sans poste prêt, un sous-traitant doit intervenir sur un export ou une boîte mail. Le plus rapide consiste alors à transmettre un identifiant déjà utilisé. Sur le papier, cela dépanne. En pratique, le partage d'identifiants en entreprise crée un risque immédiat et, plus gênant encore, un flou durable.

Quand plusieurs personnes utilisent le même accès, il devient difficile de savoir qui a consulté, modifié, supprimé ou exporté un document. La question n'est pas théorique. Dans Sage, sur un partage réseau ou dans Microsoft 365, la capacité à relire les actions compte autant que l'accès lui-même. Sans cette lecture, il n'y a plus de responsabilité claire, plus de révocation fine, plus de retour en arrière serein.

Un compte commun complique aussi la suite. Si l'intervenant externe part, il faut changer le mot de passe pour tout le monde, mettre à jour les automatismes liés, prévenir les usages légitimes et espérer qu'aucune copie locale ne subsiste. Un accès temporaire dans Microsoft 365 pour une PME, même limité, est presque toujours plus propre qu'un code partagé par message ou au téléphone.

Ce que l'entreprise perd réellement avec un accès non nominatif

La traçabilité n'est pas un luxe administratif

On parle souvent de sécurité comme d'une muraille. En réalité, c'est aussi une écriture fine. La traçabilité des accès dans Sage pour une PME ou dans un tenant Microsoft 365 permet de savoir ce qui s'est passé quand une anomalie apparaît : facture modifiée, mail envoyé, dossier supprimé, droit élargi sans validation. Sans compte nominatif, les journaux techniques perdent une partie de leur valeur. Ils racontent qu'un compte a agi, pas une personne.

Pour une direction financière ou un office manager, ce détail change tout lors d'un litige, d'une erreur de saisie ou d'un départ précipité. Et du point de vue du RGPD, le principe de maîtrise des accès et de proportionnalité n'aime pas beaucoup les identifiants circulants.

La révocation devient brutale ou incomplète

Un compte nominatif se coupe en quelques secondes. Un compte partagé, lui, oblige à arbitrer entre deux mauvaises solutions : laisser l'accès vivre trop longtemps ou le fermer brutalement en perturbant d'autres usages. C'est souvent là que les incidents naissent, à bas bruit. Un ancien intervenant conserve un mot de passe connu, ou bien une équipe interne se retrouve bloquée parce qu'un accès unique servait à tout le monde.

Nous rencontrons cela lors de reprises d'environnement ou d'échanges de support : derrière un simple compte "compta" ou "prestataire", il y a souvent des boîtes mail, des exports Sage, des permissions de dossiers et parfois des droits d'administration. Le raccourci initial finit par coûter du temps.

Trois options existent, mais elles ne se valent pas selon le contexte

Le compte nominatif reste le standard dès qu'une action est identifiable

Pour un cabinet comptable, un prestataire informatique, un consultant RH ou un stagiaire qui doit ouvrir, modifier, valider ou exporter des données, le bon réflexe est le compte nominatif pour prestataire informatique ou intervenant externe. Même si l'accès ne dure que quinze jours. C'est le seul modèle qui permette un niveau correct de preuve, de limitation des droits et de désactivation ciblée.

Dans Microsoft 365, un compte invité ou un utilisateur dédié avec groupe de sécurité suffit souvent. Dans Sage, tout dépend de l'architecture, mais l'objectif reste identique : attribuer des droits au plus juste, sur une période définie, sans donner les clés du voisin.

Le compte générique n'est défendable que s'il est très encadré

Il existe des cas plus techniques : scanner multifonction, applicatif ancien, boîte de service, connecteur. Là, un compte générique peut se justifier, mais à trois conditions minimales : usage non humain, périmètre strict, supervision régulière. Dès qu'une personne se connecte avec, on sort de cette logique et le risque remonte d'un cran.

Quand le cabinet comptable demandait "juste le même accès que la comptable"

Dans une PME de services près de Nanterre, le besoin paraissait simple : donner au cabinet extérieur un accès rapide à Sage et à quelques dossiers comptables partagés pendant une période de clôture. L'identifiant de la comptable circulait déjà, un peu par fatigue, un peu parce que "cela avait toujours marché comme ça".

En reprenant le sujet, nous avons séparé les usages : accès dédié pour l'intervenante du cabinet, droits bornés aux dossiers utiles, expiration planifiée et vérification des partages les plus sensibles. Ce type d'arbitrage fait partie de ce que nous traitons lors d'un accompagnement sur Sage ou d'une reprise plus large en infogérance. Quelques semaines plus tard, une modification contestée a pu être retracée sans débat stérile. C'est souvent là que la bonne méthode devient visible.

Le plus intéressant, au fond, n'était pas l'incident évité. C'était le silence qu'il laissait.

La checklist utile avant d'ouvrir un accès externe

Avant toute ouverture, posez cinq questions simples :

1. Qui a besoin d'accéder, nommément ?
2. À quoi exactement : application, dossier, messagerie, VPN, export ?
3. Pour combien de temps : un jour, une semaine, une mission récurrente ?
4. Avec quels droits : lecture, modification, validation, administration ?
5. Comment retire-t-on l'accès sans impacter les autres ?

Ajoutez deux vérifications souvent oubliées : l'activation d'une authentification forte quand elle existe, et la revue des accès partagés déjà présents. Sur ce point, les recommandations de l'ANSSI restent cohérentes avec la réalité du terrain : mieux vaut réduire la surface d'accès que compter sur la seule confiance.

Si des comptes partagés existent déjà, inutile de tout casser en une journée. Commencez par les accès les plus sensibles : messagerie, Sage, VPN, dossiers RH, partages financiers. Puis documentez, remplacez, révoquez. L'effort est progressif, mais il produit vite des effets, notamment si vous préparez aussi la facture électronique, où la traçabilité devient moins négociable qu'avant.

Remettre de la netteté dans les accès

Créer un compte nominatif n'est pas du formalisme. C'est une manière très concrète de préserver la continuité, la responsabilité et la sécurité quand plusieurs mains touchent aux mêmes outils. Dans une PME ou une collectivité, ce sont souvent de petites décisions d'accès qui évitent les grands désordres. Si vous voulez faire le tri entre comptes partagés, accès invités et droits à revoir, nous pouvons vous aider à cadrer cela proprement, depuis un premier échange jusqu'à un audit ou une reprise d'environnement en Île-de-France et à distance partout en France.