Le sanctuaire
01En une phrase #sec_08a1b71d
Le Sanctuaire permet de retirer une ressource du périmètre des revues d'accès — et impose que cette dérogation soit motivée, datée, attribuée et réexaminée .
02Le problème #sec_e5c2dc9d
Toute campagne de recertification rencontre des ressources qui n'ont rien à y faire : un compte de service qui alimente un connecteur, un site archivé conservé pour obligation légale, une équipe dont les accès sont pilotés hors du système. Les soumettre à un reviewer humain produit du bruit, use l'attention, et finit par dégrader la qualité de toutes les autres décisions.
Il faut donc pouvoir exclure. Mais l'exclusion est l'angle mort naturel d'un dispositif de conformité : ce qui sort du contrôle sort aussi de la vue . Une ressource exclue n'apparaît dans aucune campagne, dans aucun rapport, dans aucun taux de couverture. Si l'exclusion est silencieuse, elle devient le moyen le plus simple de faire disparaître un problème plutôt que de le traiter.
C'est précisément ce qu'un auditeur cherche en premier : non pas ce qui a été revu, mais ce qui ne l'a pas été, et pourquoi .
03Le parti pris #sec_646bb086
On n'empêche pas d'exclure. On rend l'exclusion coûteuse en transparence.
Interdire ne fonctionne pas : un administrateur bloqué contourne — il désactive la fonctionnalité, crée un périmètre parallèle, ou renonce à lancer la campagne. On perd alors la trace au lieu de la gagner.
Le Sanctuaire prend donc le chemin inverse. Exclure reste possible, simple et légitime. Mais chaque exclusion laisse une empreinte complète, consultable par l'auditeur, et porte une date de péremption . La dissuasion ne vient pas d'un mur, elle vient du fait que tout se voit.
Trois principes en découlent :
1. Une exclusion se justifie. Motif codifié, justification écrite et auteur identifié sont exigés à la pose. Le champ libre n'est pas décoratif : c'est la phrase que l'auditeur lira, citée telle quelle dans le dossier.
2. Une exclusion a une fin. L'échéance de réexamen est obligatoire. Sans elle, une dérogation posée un mardi pour trois semaines devient permanente parce que personne ne la rouvre jamais. Le produit refuse de créer ce type de trou.
3. Une exclusion ne s'efface pas. Elle se lève — et la levée se justifie à son tour. La ligne reste en base comme cycle clos. C'est ce qui permet de reconstituer une séquence après coup, y compris celles que personne n'aurait envie de montrer.
04Comment ça marche #sec_9e591ad2
Poser une exclusion
Un panneau dédié guide la sélection (plateforme → service → type de ressource → objet), puis demande les trois informations obligatoires. Le bouton de validation reste inactif tant que l'ensemble n'est pas complet — la contrainte est structurelle, pas un simple avertissement.
Motifs disponibles : hors périmètre · compte de service · ressource archivée · dérogation documentée · autre.
Échéance : 3 mois, 6 mois, 1 an ou date libre. L'écran annonce la date de rappel dès la saisie.
Le cycle de vie
Chaque exclusion est un cycle : ouvert à la pose, clos à la levée. Une ressource peut être exclue, réintégrée, puis ré-exclue — chaque passage crée son propre cycle, et l'ensemble se lit comme une chronologie.
| Action | Effet |
|---|---|
| Poser | Ouvre un cycle (motif, justification, échéance, auteur) |
| Prolonger | Repousse l'échéance de réexamen — et le trace |
| Lever | Clôt le cycle avec son propre motif ; la ressource revient dans les revues |
| Supprimer | N'existe pas |
Seule exception à l'indélébilité : une ligne sans objet exploitable, née d'un import corrompu. Elle n'a jamais rien exclu — ce n'est pas une preuve, c'est un déchet, et elle est purgée automatiquement.
L'échéance, signal principal de l'écran
La liste des exclusions actives est ordonnée autour d'une seule question : laquelle aurait déjà dû être réexaminée ?
- 🔴 Dépassée — la ligne entière est teintée ; l'onglet Historique porte une pastille d'alerte.
- 🟠 Sous 30 jours — à traiter bientôt.
- 🟢 À jour — rien à faire.
- ⚪ Sans échéance — uniquement pour des lignes antérieures à cette règle ; impossible à créer aujourd'hui.
L'historique, et ce qu'il révèle
L'onglet Historique liste les cycles clos, une ligne par ressource, avec la durée d'exclusion et les campagnes qui se sont déroulées pendant le cycle .
Cette corrélation est le cœur du dispositif. Elle rend visible un motif que rien d'autre ne montre : une ressource exclue peu avant le lancement d'une campagne, puis réintégrée peu après sa clôture. Le dossier l'énonce alors comme un fait daté :
⚠️ Levée le 17/08/2026, 3 jours après la clôture de la campagne SharePoint Experience — la ressource y a échappé.
Le produit ne juge pas et n'accuse personne : il expose la séquence. L'interprétation appartient à l'auditeur.
05Volumétrie : une limite graduée #sec_3c647a21
Un plafond absolu n'a pas de sens. Six cents exclusions dans un workspace de huit cents ressources vident le contrôle de sa substance ; les mêmes six cents dans un tenant de deux cent mille sont anecdotiques. Le Sanctuaire raisonne donc en part du périmètre exclue , et gradue sa réaction :
| Palier | Seuil | Réaction |
|---|---|---|
| Information | 5 % | Le taux s'affiche dans l'écran |
| Alerte | 10 % | Bandeau ambre + remontée dans la posture d'audit du workspace |
| Plafond | quota de souscription | La pose est refusée jusqu'à ce que des exclusions soient levées |
Les cycles levés ne consomment aucun quota : l'historique ne pénalise jamais l'usage courant.
L'import en masse obéit aux mêmes règles — motif, justification et échéance s'appliquent à tout le lot — et annonce clairement ce qu'il ne pourra pas importer plutôt que de tronquer en silence.
06Ce que l'auditeur y trouve #sec_2e9517f9
L'écran lui est ouvert en lecture seule : il consulte et exporte, il ne pose ni ne lève rien.
Il y trouve, sans avoir à les demander : la liste de ce qui échappe aux revues et depuis quand, la justification de chaque dérogation dans les mots de son auteur, les exclusions dont l'échéance est dépassée, l'historique complet des allers-retours, et la corrélation avec les campagnes.
L'export reprend l'intégralité de ces éléments — motif et justification compris. Un export d'exclusions sans le pourquoi n'aurait aucune valeur probante.
07Bon usage #sec_c198674c
Ce pour quoi le Sanctuaire est fait : comptes de service et identités techniques, ressources archivées conservées par obligation, périmètres gouvernés par un dispositif externe documenté, dérogations validées et datées.
Ce pour quoi il n'est pas fait : faire disparaître une ressource problématique en attendant que ça passe, améliorer artificiellement un taux de conformité, contourner un désaccord avec un reviewer. Ces usages ne sont pas techniquement bloqués — ils sont simplement visibles , et c'est délibéré.
08À retenir #sec_dab7f98b
Le Sanctuaire ne protège pas les ressources : il protège la crédibilité du dispositif de revue . Un contrôle dont on peut sortir sans laisser de trace ne prouve rien. En rendant chaque exclusion motivée, datée, réexaminable et lisible par un tiers, il permet d'affirmer non seulement ce qui a été revu , mais aussi ce qui ne l'a pas été, pourquoi, et jusqu'à quand .