Workspace Center — l'espace de l'administrateur

01En une phrase #sec_655f1659

Un workspace est une délégation de gouvernance : une entité y administre les revues d'accès de son propre périmètre de données, en autonomie, à l'intérieur d'une enveloppe que la souscription lui a fixée.

02Le problème : la gouvernance centralisée ne passe pas à l'échelle #sec_75c36900

Un grand groupe n'est pas une organisation, c'est un assemblage d'entités — filiales, marques, régions, business units, souvent avec leurs propres équipes IT, leurs propres obligations réglementaires et leurs propres calendriers.

Lui proposer une console unique où tout le monde administre tout produit trois échecs simultanés :

Un échec de confidentialité. L'administrateur de la filiale allemande n'a aucune raison de voir les accès de la filiale brésilienne. Dans beaucoup de groupes, il n'en a même pas le droit.

Un échec de pertinence. Les règles de conformité, les calendriers ouvrés, les jours fériés, la langue, la tolérance aux exceptions : rien de tout cela n'est commun. Une politique unique est soit inapplicable localement, soit tellement permissive qu'elle ne contrôle rien.

Un échec d'appropriation. Une gouvernance imposée depuis le siège n'est pas exercée. Les campagnes sont subies, les décisions expédiées, et la conformité devient un rituel administratif dont personne ne répond vraiment.

À l'inverse, donner à chaque entité son propre outil résout l'appropriation et détruit tout le reste : plus de vision consolidée, plus de socle commun, plus de garantie que les règles minimales du groupe sont respectées.

03Le parti pris #sec_b47e3f95

On ne délègue pas un outil, on délègue un périmètre — et on délègue avec des bornes.

Le workspace est la réponse de REVIEWIT à cette tension. C'est une unité de gouvernance autonome créée par l'administration centrale du client (le Subscription Manager), qui reçoit à sa naissance deux choses indissociables :

1. Un périmètre de données — ses boundaries , c'est-à-dire ce qu'il a le droit de voir.
2. Un jeu de fonctionnalités — ce qu'il a le droit de faire, et avec quels moyens.

À l'intérieur de cette enveloppe, l'entité gouverne réellement : ses campagnes, ses règles, son calendrier, ses administrateurs, ses exclusions, ses délégations. Personne au centre ne valide ses décisions.

Hors de cette enveloppe, elle ne peut rien : ni voir une donnée d'une autre entité, ni activer une capacité qui ne lui a pas été accordée, ni dépasser son allocation.

C'est la même grammaire que celle qui régit [RITA](REVIEWIT_Dossier_RITA_v1.0.md) : la souscription gouverne, le workspace choisit dans l'enveloppe . Cette symétrie est délibérée — c'est le modèle d'autorité du produit, et il se réutilise pour chaque nouvelle capacité.

04Ce qu'un workspace reçoit à sa création #sec_0b61439e

Les boundaries — le périmètre de données

Un workspace ne se définit pas par une liste de ressources, qui serait périmée le lendemain. Il se définit par des règles d'appartenance évaluées en continu , ce qui lui permet de suivre l'organisation réelle sans maintenance.

Un périmètre se compose en trois couches :

Les conditions attributaires sont le cœur du dispositif. Elles expriment le découpage réel de l'organisation dans son propre vocabulaire : le pays, le département, une convention de nommage, un attribut d'annuaire métier. Une ressource ou une personne qui ne satisfait pas les conditions n'existe pas pour ce workspace — elle n'apparaît dans aucune campagne, aucun rapport, aucune recherche.

Ce n'est pas un filtre d'affichage. C'est une frontière de visibilité , et c'est ce qui rend la délégation acceptable pour un groupe où les entités ne doivent pas se voir.

Une campagne peut ensuite restreindre davantage à l'intérieur de ce périmètre, jamais l'élargir. La borne du workspace est un plafond.

Les fonctionnalités — ce que le workspace a le droit de faire

Chaque capacité sensible est accordée workspace par workspace :

Une capacité non accordée n'apparaît pas : ni menu, ni écran, ni bouton grisé. Une capacité accordée mais plafonnée par la souscription reste en revanche visible et verrouillée , avec la mention de qui la gouverne — un administrateur local doit pouvoir comprendre que la fonction existe et savoir à qui la demander.

L'allocation

Le workspace reçoit une enveloppe de crédits, et sa consommation est suivie. C'est le troisième terme de la délégation : un périmètre, des droits, des moyens.

05Ce que le workspace décide chez lui #sec_855af133

C'est ici que la délégation devient réelle. Aucun de ces réglages ne remonte au centre :

• Ses campagnes — périmètre, politique, population de reviewers, calendrier, règles du jeu.
• Ses règles de certification — les politiques de conformité qu'il retient et la manière dont elles sont évaluées.
• Son temps — fuseau horaire, jours ouvrés, heures de travail et ses propres jours fériés . Les échéances des reviewers d'une entité se calculent sur le calendrier de cette entité, pas sur celui du siège.
• Ses administrateurs — l'attribution et l'expiration des rôles sur son périmètre.
• Ses exclusions et ses délégations — avec la traçabilité complète décrite plus bas.
• Son identité visuelle et ses notifications , lorsque la souscription l'y autorise.

Une entité peut ainsi mener une campagne trimestrielle stricte pendant qu'une autre mène une revue annuelle allégée, sans que ni l'une ni l'autre n'ait à en référer — et sans qu'aucune ne sorte du socle commun.

06Le second principe : l'administrateur n'approuve rien #sec_d7f1d80f

La délégation de gouvernance s'arrête net à la décision de revue.

Aucune surface d'administration ne permet de rendre une décision de revue.

Un dispositif de recertification ne vaut que si la décision émane de la personne qui connaît l'usage réel d'un accès. Si l'administrateur du workspace pouvait certifier à la place des reviewers, la délégation de gouvernance deviendrait une délégation d'auto-attestation, et l'entité se délivrerait à elle-même sa propre conformité.

Toutes les actions de la colonne de gauche laissent une trace attribuée. Aucune ne substitue le jugement de l'administrateur à celui du reviewer. Les décisions se rendent dans le [REVIEW Center](REVIEWIT_Dossier_ReviewCenter_v1.0.md), et nulle part ailleurs.

07Les quatre temps du pilotage #sec_976d1a81

1. Préparer. L'assistant de campagne construit périmètre, politique, population, calendrier et règles. Un principe le traverse : ce qui n'est pas activé n'apparaît nulle part — une campagne sans période de contestation n'en montre aucune trace côté reviewer.

2. Suivre. La liste des campagnes donne l'avancement réel. Le taux affiché compte les décisions rendues , pas les demandes marquées terminées par un mécanisme interne : la barre et le détail au survol racontent la même chose.

3. Débloquer. La vue Oversight est l'écran du quotidien : réassigner une demande dont le reviewer est parti, relancer un retardataire, ouvrir le dossier d'une ressource, remonter la chronologie d'une demande, voir les autres campagnes qui la portent. Sur de gros volumes, seules les lignes affichées sont chargées — un workspace d'un million de demandes s'ouvre comme un workspace de mille.

4. Rendre compte. Rapports, centre d'alertes, dossier de certification, et exports dans quatre formats avec signature électronique du PDF lorsque la souscription dispose d'un certificat.

08Les paramètres de gouvernance #sec_cadc5b27

Ce sont les réglages qui engagent la crédibilité du dispositif — et qui, pour cette raison, sont tous tracés.

Les deux premiers partagent une grammaire commune, volontairement : une ligne est un cycle, jamais une donnée effaçable . On pose puis on lève une exclusion ; on met en place puis on révoque une délégation. Dans les deux cas la ligne demeure, avec son motif, sa justification, son auteur et ses dates.

Ce n'est pas un raffinement : dans un modèle délégué, ce sont exactement les deux leviers par lesquels une entité pourrait s'arranger avec le contrôle qu'on lui a confié. Ce qui a été retiré du périmètre et ce qui a été décidé au nom d'autrui sont les deux premières questions d'un auditeur.

09Les rôles #sec_8fa09e1f

Les rôles sont portés par le workspace — c'est une conséquence directe de la délégation — et leur expiration est appliquée : un rôle échu ne donne plus accès, y compris si la session était ouverte au moment de l'échéance.

Le profil auditeur

L'auditeur, interne ou externe, dispose d'un accès en lecture seule totale . Il n'a pas de tableau de bord d'exploitation, mais une page d'accueil dédiée, la Posture d'audit , construite autour de ses questions : que couvre le dispositif, qu'est-ce qui en sort, qui décide au nom de qui, quelles décisions sont contestées, qu'est-ce qui traîne.

Un bandeau permanent rappelle le mode de consultation, la navigation masque les surfaces d'action, et une garde applicative interdit l'accès direct par URL. Les exports lui restent grands ouverts : sortir la preuve est son métier.

10Une note sur le reviewer #sec_e261b41c

Le workspace est une dimension d' administration . Ce n'en est délibérément pas une pour le reviewer.

Une personne propriétaire de ressources réparties sur trois entités voit une seule file de travail , pas trois. Elle n'a jamais à choisir un périmètre avant de travailler, ni à savoir que le découpage existe.

Cette asymétrie est le complément indispensable de la délégation : le découpage sert la gouvernance, il ne doit jamais être payé par les gens qui rendent les décisions.

11L'accueil : RITA #sec_f1d7938c

L'accueil du Workspace Center n'est pas un tableau de bord mais une assistante conversationnelle , RITA, à qui l'on pose ses questions de pilotage en langage naturel : où en sont mes campagnes, qui est en retard, qu'est-ce qui demande mon attention aujourd'hui. Ses réponses sont bornées par le périmètre du workspace, comme le reste.

RITA ne décide jamais et ne recommande jamais de décision — c'est une contrainte d'architecture, pas un réglage. Voir le [dossier RITA](REVIEWIT_Dossier_RITA_v1.0.md).

12À retenir #sec_e40bbe05

Le Workspace Center répond à une question d'organisation avant d'être une question d'outil : comment donner à une entité l'autonomie de gouverner ses accès, sans lui donner le pouvoir de s'exonérer du contrôle ?

La réponse tient en trois bornes. Le périmètre de données est fixé au centre et infranchissable. Les capacités sont accordées une par une. Et la décision de revue reste hors de portée de l'administration, quelle qu'elle soit.

À l'intérieur de ces bornes, l'entité gouverne pour de bon — ce qui est la seule manière connue d'obtenir qu'elle gouverne vraiment.