REVIEWIT en une page
01Le problème #sec_39161269
Dans une entreprise de taille moyenne, personne ne sait qui a accès à quoi.
Ce n'est pas une négligence, c'est une conséquence. Les accès s'accumulent : on en donne à l'arrivée d'une personne, on en ajoute pour un projet, on en oublie au départ d'un prestataire. Chaque geste est justifié au moment où il est fait. Au bout de trois ans, la somme ne l'est plus, et plus personne n'a le contexte pour trancher.
Les auditeurs, eux, posent une question simple : qui a validé cet accès, quand, et sur quelle base ? La plupart des organisations n'ont pas de réponse. Elles ont un tableur.
02La réponse #sec_f8e9f261
REVIEWIT organise la recertification des accès : à intervalle régulier, les personnes qui savent regardent les accès dont elles répondent, et décident de les garder ou de les retirer. Le produit ne décide rien à leur place. Il fait trois choses.
Il collecte. Il se connecte à Microsoft 365 — et à d'autres solutions — et relève l'état réel des accès : qui est dans quel groupe, qui possède quel espace, qui n'a rien ouvert depuis dix-huit mois.
Il organise. Il découpe cette masse en campagnes : un périmètre, une politique, des relecteurs, une échéance. Chaque relecteur reçoit ce dont il répond, et rien d'autre.
Il prouve. Chaque décision porte le nom de qui l'a prise, la date, et la justification écrite. La piste d'audit est scellée : elle ne se réécrit pas.
03La promesse, et sa contrepartie #sec_52756ffe
REVIEWIT promet qu'une décision d'accès est imputable à une personne qui a regardé, jugé, et qui en répond .
Cette promesse a une contrepartie que le produit assume partout : un administrateur n'approuve rien . Il organise, il relance, il débloque, il rend des comptes — mais aucune surface d'administration ne lui permet de rendre une décision de revue à la place d'un relecteur. L'API publique ne le permet pas davantage. Ce n'est pas une limitation qu'on lèvera dans une version future : c'est la raison d'être du produit.
04Ce que vous verrez à l'écran #sec_d4095e07
Trois interfaces, une par métier.
| Surface | Qui l'ouvre | Ce qu'on y fait |
|---|---|---|
| REVIEW Center | Le relecteur | Rendre des décisions sur les accès dont il répond |
| Workspace Center | L'administrateur de workspace | Lancer et piloter les campagnes d'une entité |
| Centre d'administration | L'administrateur de souscription | Ouvrir des workspaces, allouer les moyens |
Elles ne se recouvrent pas, et c'est structurel. Voir [Trois surfaces, trois métiers](qui-fait-quoi).
05Ce que ça donne concrètement #sec_5ec09af0
Un relecteur ouvre sa file un lundi matin. Il y trouve, mettons, quarante ressources OneDrive marquées inactives depuis plus de douze mois. Pour chacune, l'écran lui dit ce que la politique attendait et ce qu'il a observé — « une activité au cours des 12 derniers mois » contre « dernière activité le 07/05/2024 · il y a 27 mois ».
Il tranche : conserver, ou confirmer l'inactivité. Il écrit pourquoi. Il enregistre.
Trois mois plus tard, un auditeur demande sur quelle base l'accès de cette personne a été maintenu. La réponse existe, datée, signée, et personne n'a eu à la reconstituer.
06Et l'IA, dans tout ça #sec_82afb6d4
RITA est l'assistante intégrée. Elle répond en langage naturel aux questions de pilotage — « où en sont mes campagnes », « qui est en retard » — et propose une formulation de justification au relecteur qui hésite sur les mots.
Elle ne décide jamais. Une suggestion de justification reste une suggestion : le relecteur l'accepte, la corrige ou l'ignore, et c'est son nom qui figure sur la décision. Voir [RITA — l'assistante des revues d'accès](rita).
07À retenir #sec_840ec2f5
Un produit qui organise un jugement humain, et qui le prouve. Trois surfaces pour trois métiers qui ne se confondent pas. Et une règle qui tient tout le reste : personne n'approuve à la place de quelqu'un d'autre.