Un collaborateur est synonyme d’actions à réaliser pour le service informatique.
Une arrivée, une mobilité, un départ ? Cela entraîne des opérations comme la création, la modification ou la suppression de comptes mais je vais être plus précise.
Un collaborateur qui change de service, cela aura un impact dans le SIRH, l’annuaire de comptes comme l’Active Directory où il faudra changer ses droits et certains accès devront être supprimés tandis que d’autres seront créés.
Quelle que soit la manière dont ces actions sont effectuées, cela s’appelle de la gestion des accès et des identités, de l’IAM. Dans ce cas, l’IAM est réalisé à la main.
Le problème, c’est qu’un projet d’IAM est vu comme lourd et coûteux par la direction. Alors :
- Comment convaincre votre direction de prendre une solution d’IAM qui sont souvent chères ?
- Comment vendre un projet d’IAM en interne en y apportant un ROI, retour sur investissement ?
Vous êtes convaincus qu’une solution d’IAM vous serait bénéfique dans votre travail. Vous voyez bien les avantages indéniables de l’automatisation des processus tels que la suppression de phases chronophages, la diminution nette des erreurs, la programmation de workflows, le self-service pour la réinitialisation des mots de passe.
La difficulté, c’est de convaincre le DSI ou la direction de l’entreprise que ce budget sera vite rentabilisé.
C’est parti, je vous montre comment présenter votre projet d’IAM pour qu’il soit validé 👉
Avant de parler de ROI, soyons au clair sur l’objectif du projet d’IAM
Avant de partir tête baissée sur un projet d’IAM et d’essayer de le vendre en interne, il faut que vous soyez au clair sur le besoin initial et pourquoi vous voulez une solution de gestion des identités et des accès.
Il existe 4 grands axes :
- faciliter le travail de l’équipe IT
- optimiser l’expérience des collaborateurs
- renforcer la sécurité de l’entreprise
- assurer la mise en conformité de l’entreprise
Actuellement, vous n’avez probablement pas de solution d’IAM et vous réalisez toutes vos actions à la main, votre volonté d’avoir un IAM entre donc dans un de ces axes.
L’automatisation qui est une fonctionnalité phare de l’IAM permet de répondre à ces 4 axes.
La GIA (gestion des identités et des accès) vise à automatiser la gestion des comptes et donc l’onboarding et l’offboarding des utilisateurs, ce qui renforce par ailleurs la sécurité et permet une vision globale des identités et des accès ce qui offre une vision sur la conformité réelle de l’entreprise.
Les gains attendus sont donc importants mais dépendent aussi de vos processus internes.
Quels gains peut-on attendre d’une solution d’IAM ?
Plus vous déploierez l’IAM dans vos process plus votre ROI augmentera. Il est forcément corrélé à vos actions.
Si vous n’automatisez que certaines actions et en gardez une bonne partie en manuelle, votre ROI sera relativement bas.
Si vous avez un fort turnover, le ROI sera d’autant plus visible si vous automatisez l’ensemble des provisionings de comptes.
Si vous faites appel à de nombreux prestataires ou intérimaires, l’utilisation de la GIA sera très impactant dans votre ROI.
Voici les points sur lesquels vous aurez un impact en termes de ROI qui sont mesurables mais spécifiques à chaque cas dans un projet d’IAM :
- la double saisie RH - IT dans la transmission des informations d’un nouvel arrivant ;
- l’efficacité et la réactivité de la prise en compte des événements RH : arrivée, mutation, départ, etc. ;
- le temps passé à créer les différents comptes pour un collaborateur. Obtenir toutes les informations et appliquer les différentes nomenclatures pour toutes les applications est très chronophage ;
- le délai pour lequel un nouvel arrivant est opérationnel avec l’ensemble des applications et de ses accès :
→ coût par mois = salaire (moyen) par jour X nombre de jours non opérationnel X nombre d’arrivées par mois - la réduction des erreurs de saisie et donc l’amélioration de la fiabilité des données ;
- la gestion des licences et la connaissance du parc de licences ;
- le temps passé sur un audit : le nombre de personnes impliquées comme les managers, les responsables RH, les responsables applicatifs, le responsable de l’audit… ;
- la fiabilité des informations du SI ;
- la mise en conformité de l’entreprise en ayant un historique complet des provisionings de comptes ;
- le nombre de réinitialisations de mots de passe au sein du helpdesk.
→ coût par mois = nombre d’appels X 30 X [le temps passé X le coût horaire d’une personne du helpdesk]
Les deux grands thèmes majeurs sont :
- la baisse des actions manuelles
- la réduction voir la suppression des erreurs lors des actions de gestion des comptes
Comment mesurer concrètement le ROI d’un projet d’IAM ?
Le ROI se calcule ainsi :
ROI = (bénéfices - coûts) / coûts
Dans les coûts, il faut inclure :
Les coûts d’une solution on-premise :
- l’achat de la solution,
- les développements spécifiques,
- l’hébergement sur vos serveurs,
- le maintien des serveurs,
- la sauvegarde,
- l’installation avec l’aide d’un consultant,
- la formation,
- les mises à niveaux,
- le développement de connecteurs,
- l’immobilisation des collaborateurs en interne durant la phase de formation et de déploiement,
- le support,
- la conduite du changement si l’entreprise a des processus manuels très ancrés.
Les coûts d’une solution en SaaS :
- les coûts mensuels,
- les développements spécifiques,
- la phase d’intégration avec un consultant,
- l’immobilisation des collaborateurs en interne durant la phase de formation,
- la formation,
- le support,
- la conduite du changement, surtout si la solution choisie est très technique.
Nous distinguons donc deux sortes de coûts :
- les coûts en phase de BUILD qui sont ponctuels souvent au début du projet
- les coûts en phase de RUN qui sont inhérents à la gestion quotidienne de la solution.
Il est donc nécessaire, avant de calculer les bénéfices que vous pourriez tirer d’une solution, combien elle va vous coûter.
Vérifiez bien ce qui est inclus de ce qui ne l’est pas.
Par exemple, chez Youzer, il n’y a pas de coûts cachés, la solution est en SaaS ce qui évite les coûts de maintenance, le support et la formation sont compris dans chaque offre.
Les développements s’ils profitent à l’ensemble de nos clients ne sont pas facturés ainsi que le développement de connecteurs, s’ils peuvent être utilisés par plusieurs de nos clients, ils ne sont pas facturés non plus.
Youzer ne nécessite pas de longs mois de déploiement et se connecte en quelques heures, ce qui immobilise peu les collaborateurs en interne et il n’y a pas de consultant à prévoir non plus.
Nous avons aussi élaboré une solution avec plusieurs niveaux d’utilisation et de lecture, ce qui la rend intuitive et facile à prendre en main. Par exemple, nous n’avons pas d’abandon dû à la complexité d’utilisation.
Pour ce qui est des bénéfices, voici ce que vous pouvez quantifier en amont :
- le nombre de licences payantes retrouvées
- le temps gagné à supprimer les actions manuelles (chez les managers, les RH et bien sûr l’informatique)
- la suppression des erreurs qui vous évite des cyberattaques aux conséquences graves
- la réalisation d’audit en quelques clics et l’extract des données pour une mise en conformité
Comment réussir à estimer au plus près le ROI de son projet de gestion des identités et des accès ?
Réalisez un POC
Il n’a pas mieux qu’un POC, proof of concept, pour mettre en application tout ce que l’on vient de voir.
- Vous allez pouvoir tester la solution dans votre environnement avec des contraintes spécifiques et voir sa viabilité à long terme
- Vous allez avoir les premiers résultats immédiatement
- Vous ne vous engagez pas sur du long terme
- Vous avez des éléments concrets à présenter à votre DSI ou à votre direction
Je vous conseille de réaliser votre POC sur un périmètre restreint comme seulement une entité ou uniquement avec quelques applications. Il faut néanmoins que votre POC doit être représentatif de votre institution.
Cherchez ensuite des quicks wins :
- recherchez les comptes en erreur et les orphelins (utilisateurs partis avec des comptes actifs rattachés ou des comptes actifs non rattachés)
- faites un audit restreint et montrez les écarts et les risques
- repérez les licences inutilisées
- testez les packages d’applications qui vous permettent d’attribuer des accès dans une pré-automatisation
- présentez le référentiel unique d’utilisateurs (contrats et hors contrats sont visibles), cela donne une vision claire pour les RH : centralisation des sources
Quelques chiffres de référence pour un ROI d’un projet d’IAM
Voici par exemple ce qui a été réalisé au bout d’une heure d’utilisation de l’application Youzer. Notre prospect a pu réaliser une rentabilité de la solution d’IAM au bout d’1h en retrouvant 144 licences actives attribuées à des utilisateurs partis, alors qu’il commençait son POC !
Il n’avait alors ajouté que 2 connecteurs (applications).
Nous remarquons qu’en moyenne 10% des licences globales ne sont rattachées à aucune personne. Soit la personne est partie, soit elle a changé de service, soit c’était pour un usage occasionnel et cela n’a pas été pris en compte.
L’économie de temps réalisé sur les créations de compte représente, bien sûr en fonction de la taille de l’entreprise, un ETP. Vous pouvez le mettre sur autre chose ou vous n’avez pas à recruter.
Les audits de comptes (la réconciliation des comptes et des utilisateurs) représentent en moyenne un mois de travail complet pour un ETP qui va solliciter aussi d’autres interlocuteurs dans l’entreprise.
Quand le paramétrage est correctement réalisé, cela ne représente qu’un clic.
La correction des anomalies est aussi un réel gain de temps, Youzer se charge de vous faire des propositions qui seront, selon vos décisions, appliquées automatiquement dans chaque application. Il n’y a donc pas besoin de se connecter à chaque application pour effectuer une correction. Vous avez un gain de temps d’environ 5 à 15 mn sur chaque correction.
Je vous invite à lire les différents témoignages de nos clients pour vous donner une idée plus précise des gains que vous pourrez tirer d’une solution d’Identity and Access Management.
→ automatiser la création de comptes pour un grand nombre d’arrivées et permettre à tous d’être opérationnel dès le 1er jour.
→ Automatiser la création des comptes et centraliser des applications d’horizons différents. “Niveau tarif, la décision a été vite prise : Le truc était tout bête : le temps perdu pour créer des comptes à droite, à gauche par rapport au coût d'une automatisation, on l'a gagné directement.”
→ Gain de temps dans les audits de comptes utilisateurs pour une mise en conformité.
En conclusion
Il est évident que vous avez besoin de justifier d’un ROI pour vendre votre projet d’IAM en interne mais gardez en vue que le ROI est très dépendant de votre organisation et de vos process.
Certains de nos clients ont complètement automatisé leur cycle de vie utilisateur, ce qui leur offre un ROI exponentiel.
Certains autres gardent un nombre de processus manuel, ce qui ralentit la rentabilité.
Autre point à observer, comme le souligne le Clusif, il y a des coûts de RUN et de BUILD qui ne vont pas impacter vos finances dans les mêmes périodes. Il faudra les prendre en compte.
Mais il faudra faire attention aux coûts connus et aux coûts inconnus. Les jours d’intégrations peuvent être plus étendus que prévu, les besoins en formation plus importants, les développements spécifiques plus conséquents.
Votre entreprise peut décider de réaliser un recrutement important qui va augmenter vos délais de créations de comptes et qui va donc augmenter l’intérêt d’une solution d’IAM avec un ROI plus important.
Pour récapituler : rassemblez bien l’ensemble des coûts de la solution d’IAM, estimez les bénéfices (coûts humains, erreurs et licences) et si possible, testez la solution avant de vous engager.
