Dans un environnement où les systèmes ERP concentrent la quasi-totalité des données sensibles de l’entreprise, données financières, RH, achats, production, la question de la sécurité des accès SAP n’est plus une option. L’audit SAP s’est imposé comme un passage obligé pour toute organisation souhaitant maîtriser ses risques, répondre aux exigences réglementaires et préserver l’intégrité de ses processus métier.
Pourtant, beaucoup d’entreprises abordent encore l’audit SAP avec une vision floue : s’agit-il d’un contrôle technique ? D’une démarche de conformité ? D’un exercice imposé par les commissaires aux comptes ? La réalité est plus riche – et plus stratégique.
Ce guide a pour ambition de vous donner une vision claire et opérationnelle de ce qu’est réellement un audit SAP, pourquoi il est indispensable, comment il se conduit concrètement, et quels résultats vous pouvez, et devez, en attendre.
L’essentiel à retenir :
- Un audit SAP analyse les droits d’accès, les ségrégations des tâches (SoD) et la conformité réglementaire de votre environnement SAP.
- Il est indispensable pour prévenir la fraude interne, répondre aux exigences SOX, RGPD ou ISO 27001, et maîtriser la dette technique accumulée sur vos rôles.
- Un audit bien conduit se déroule en 5 étapes : cadrage, extraction et analyse des autorisations, évaluation des risques, plan de remédiation, restitution et suivi.
- Il ne nécessite aucune interruption de production et mobilise vos équipes de façon ponctuelle et structurée.
- L’audit ponctuel et le contrôle continu (GRC) sont complémentaires : l’un nettoie l’existant, l’autre maintient le niveau de sécurité dans la durée.
- Idéalement, un audit SAP est réalisé tous les 1 à 2 ans, et systématiquement avant une migration S/4HANA ou un audit externe.
Qu’est-ce qu’un audit SAP ?
Un audit SAP est une démarche d’analyse structurée visant à évaluer la sécurité, la conformité et l’efficacité de votre environnement SAP. Il porte principalement sur trois dimensions :
Les autorisations et les droits d’accès. Qui peut faire quoi dans le système ? Les profils et rôles SAP sont-ils correctement définis, attribués et documentés ? Y a-t-il des accès excessifs ou des cumuls de droits dangereux ?
Les ségrégations des tâches (SoD — Segregation of Duties). Certains utilisateurs cumulent-ils des droits incompatibles ? Par exemple, un même collaborateur peut-il à la fois créer un fournisseur et valider un paiement ? Ces conflits représentent un risque de fraude interne majeur.
La conformité réglementaire. Votre système SAP répond-il aux exigences de normes comme SOX (Sarbanes-Oxley), RGPD, ISO 27001, ou aux préconisations de l’ANSSI ? Les traces d’audit sont-elles activées et conservées ?
L’audit SAP peut être mené en préparation d’un audit externe (commissaires aux comptes, auditeurs SOX, certification ISO), mais il peut aussi être initié de manière proactive, comme un bilan de santé périodique du système.
Pourquoi l’audit SAP est-il devenu incontournable ?
La surface d’exposition s’est considérablement élargie
Avec la multiplication des modules SAP déployés (FI, CO, MM, SD, HCM, PP…), le nombre d’utilisateurs, la connexion à des systèmes tiers et l’ouverture à des environnements cloud (SAP S/4HANA, SAP BTP), les points de vulnérabilité se sont démultipliés. Un droit mal configuré dans un seul rôle peut ouvrir une brèche dans l’ensemble de la chaîne de valeur.
La pression réglementaire s’intensifie
Les entreprises cotées en bourse soumises à SOX doivent prouver que leurs contrôles internes sur l’information financière sont fiables — ce qui implique directement la gestion des accès SAP. De même, le RGPD impose de justifier qui a accès aux données personnelles et pourquoi. Un audit SAP régulier est une réponse directe à ces obligations.
La dette technique s’accumule silencieusement
Dans de nombreuses organisations, les rôles SAP ont évolué au fil des années sans gouvernance claire : des droits ont été accordés pour des besoins ponctuels, des profils ont été copiés sans être nettoyés, des utilisateurs ayant quitté l’entreprise conservent des accès actifs. Cette accumulation de dette technique crée un terreau fertile pour les incidents de sécurité et les non-conformités.
La fraude interne reste une réalité sous-estimée
Selon les études sectorielles, une part significative des fraudes en entreprise est facilitée par des cumuls de droits non contrôlés dans les systèmes ERP. L’audit SAP est précisément l’outil qui permet de détecter ces vulnérabilités avant qu’elles soient exploitées.
Les 5 étapes d’un audit SAP bien conduit
Un audit SAP rigoureux ne s’improvise pas. Voici la méthode que nous appliquons chez Secureway, forgée sur plus de 17 ans d’expérience terrain auprès de clients de toutes tailles et de tous secteurs.
Étape 1 — Le cadrage et la définition du périmètre
Avant d’analyser quoi que ce soit, il faut définir précisément ce que l’on va auditer. Quels systèmes SAP sont concernés (ECC, S/4HANA, BW, GRC…) ? Quels modules ? Quels types d’utilisateurs ? Quels référentiels de conformité s’appliquent ?
Cette phase de cadrage est aussi l’occasion d’identifier les points de douleur déjà connus des équipes : des accès qui posent problème, des alertes remontées par les auditeurs lors du dernier exercice, des départs récents non correctement traités.
Un audit SAP sans cadrage clair risque de se perdre dans les détails et de passer à côté des risques réels. C’est la fondation de toute la démarche.
Étape 2 — L’extraction et l’analyse des données d’autorisation
Cette étape est le cœur technique de l’audit. À l’aide d’outils spécialisés — qu’il s’agisse de transactions SAP natives (SUIM, SU10, SE16…), d’outils d’analyse tiers, ou de solutions dédiées comme SWAWE Compliance Companion — les auditeurs extraient l’ensemble des données relatives aux rôles, profils et autorisations.
L’analyse porte sur plusieurs axes :
- La cartographie des rôles : quels rôles existent, comment sont-ils structurés (rôles simples, rôles composites), sont-ils documentés ?
- L’analyse des affectations : qui a quoi ? Y a-t-il des utilisateurs avec des droits SAP_ALL ou des profils génériques excessifs ?
- La détection des conflits SoD : à partir d’une matrice de risques, on identifie les combinaisons de droits incompatibles détenues par un même utilisateur.
- Les comptes à risque : utilisateurs génériques, comptes de service, comptes d’urgence (Firefighter) non tracés.
- Les accès aux données sensibles : qui peut accéder aux données de paie, aux données bancaires fournisseurs, aux paramètres système critiques ?
Étape 3 — L’évaluation des risques et la priorisation
Toutes les anomalies détectées ne sont pas égales. Un bon audit SAP ne se contente pas de produire une liste exhaustive de non-conformités : il les classe par niveau de criticité selon leur probabilité d’exploitation et leur impact potentiel.
On distingue généralement trois niveaux :
- Critique : risque de fraude directe ou de compromission du système (ex. : un utilisateur peut modifier des données comptables sans contrôle)
- Élevé : risque de non-conformité réglementaire ou d’accès à des données sensibles sans justification
- Modéré à faible : déviations par rapport aux bonnes pratiques, à corriger dans le cadre d’une démarche d’amélioration continue
Cette priorisation est essentielle pour orienter les actions de remédiation vers ce qui compte vraiment.
Étape 4 — Les recommandations et le plan de remédiation
L’audit n’a de valeur que s’il débouche sur des actions concrètes. Pour chaque risque identifié, l’auditeur doit proposer une recommandation précise, réaliste et priorisée.
On distingue deux types d’actions :
- Les quickwins : actions rapides à fort impact, comme la suppression d’accès obsolètes, la révocation de droits SAP_ALL, la désactivation de comptes inactifs.
- Les chantiers structurants : refonte d’un modèle de rôles, mise en place d’une solution GRC, définition d’une politique de gestion des accès d’urgence.
Le plan de remédiation doit être accompagné d’un calendrier réaliste et d’une répartition claire des responsabilités entre les équipes SAP, la DSI, la direction financière et les correspondants métier.
Étape 5 — La restitution et le suivi
Un audit SAP se conclut par une restitution formelle à destination des parties prenantes : DSI, direction financière, RSSI, direction générale. Cette restitution doit être accessible — pas seulement technique — pour que les décideurs comprennent les enjeux et s’engagent dans la démarche de correction.
Le suivi post-audit est tout aussi important. Les risques identifiés ont-ils été corrigés ? Les mesures mises en place tiennent-elles dans le temps ? C’est pourquoi nous recommandons systématiquement de coupler l’audit ponctuel à une démarche de contrôle continu, via une solution GRC qui surveille en permanence la conformité des accès.
Ce que révèle concrètement un audit SAP
Après des centaines d’audits SAP menés depuis 2007, voici les constats que nous faisons le plus fréquemment :
Des utilisateurs fantômes. Des comptes appartenant à des collaborateurs partis depuis des mois — parfois des années — avec des droits encore actifs. Ces comptes représentent une porte d’entrée ouverte pour des acteurs malveillants ou d’anciens employés mal intentionnés.
Des droits SAP_ALL ou équivalents accordés trop largement. Ce profil, qui donne accès à la quasi-totalité des fonctions SAP, est parfois accordé « provisoirement » et jamais retiré. Il constitue un risque maximal.
Des matrices SoD non maintenues. Beaucoup d’organisations ont défini une matrice de ségrégation des tâches à un moment donné, puis ne l’ont plus actualisée au fil des évolutions du système et des processus métier.
Une documentation insuffisante. Les rôles ont été créés par des consultants, parfois sans documentation, rendant difficile la compréhension de ce que chaque rôle autorise réellement.
Des accès d’urgence (Firefighter) non tracés. Ces accès exceptionnels, nécessaires pour certaines opérations critiques, doivent faire l’objet d’un contrôle strict. Sans traçabilité, ils deviennent une zone d’ombre incontrôlable.
Les résultats attendus d’un audit SAP
Un audit SAP bien conduit produit des bénéfices tangibles et mesurables :
Une réduction significative de la surface de risque. En supprimant les accès excessifs et en corrigeant les conflits SoD, vous réduisez mécaniquement les opportunités de fraude et les vecteurs d’attaque.
Une meilleure préparation aux audits externes. Les organisations ayant réalisé un audit interne préalable abordent les audits SOX, commissaires aux comptes ou certifications ISO avec beaucoup plus de sérénité — et obtiennent de meilleurs résultats.
Une conformité réglementaire démontrée. Vous disposez d’une documentation formalisée, d’une traçabilité des accès et d’un historique des actions correctives, autant d’éléments attendus par les régulateurs.
Une meilleure gouvernance des accès dans la durée. L’audit est souvent le point de départ d’une transformation plus profonde : définition d’une politique de gestion des rôles, mise en place d’un processus de revue périodique des accès, intégration d’une solution GRC pour le contrôle continu.
Un gain de performance opérationnel. Des rôles SAP mieux définis, c’est aussi moins de tickets « j’ai besoin d’un accès pour faire ça », moins de contournements improvisés, et des équipes qui travaillent dans un environnement plus clair et plus cohérent.
Quand faut-il déclencher un audit SAP ?
Certains déclencheurs sont évidents :
- Avant ou après une migration SAP (passage à S/4HANA, changement de version)
- Suite à un incident de sécurité ou à une suspicion de fraude
- En préparation d’un audit externe (SOX, certification ISO, revue commissaires aux comptes)
- Après une fusion-acquisition, pour harmoniser les environnements et les droits
D’autres sont moins visibles mais tout aussi pertinents :
- Après un fort turnover dans les équipes utilisatrices ou IT
- Après plusieurs années sans revue des rôles et autorisations
- Lors d’une réorganisation entraînant des changements de périmètres fonctionnels
En pratique, nous recommandons de ne pas attendre un déclencheur critique. Un audit SAP réalisé de manière proactive, tous les un à deux ans, permet d’éviter l’accumulation de dette technique et de maintenir un niveau de sécurité satisfaisant en permanence.
Audit ponctuel ou contrôle continu : quelle approche choisir ?
L’audit ponctuel est une photographie à un instant T : il identifie les risques existants et propose des corrections. C’est une démarche indispensable, mais insuffisante seule.
Le contrôle continu, mis en œuvre via une solution GRC comme SAP GRC Access Control ou SWAWE Compliance Companion, surveille en permanence la conformité des accès et déclenche des alertes dès qu’un risque apparaît. Il prévient la dérive plutôt que de la constater après coup.
La combinaison des deux approches est la stratégie la plus robuste :
- L’audit ponctuel pour nettoyer l’existant et établir une baseline saine
- Le contrôle continu pour maintenir ce niveau de sécurité dans le temps
Conclusion : l’audit SAP, un investissement stratégique
L’audit SAP n’est pas une contrainte subie — c’est un levier stratégique pour reprendre le contrôle de votre système d’information, réduire vos risques et renforcer la confiance de vos parties prenantes internes et externes.
Bien conduit, il révèle des vulnérabilités souvent insoupçonnées, structure une gouvernance durable des accès et prépare votre organisation aux défis réglementaires à venir.
Chez Secureway, nous accompagnons les entreprises dans cette démarche depuis 2007, avec une méthodologie éprouvée et une connaissance approfondie des environnements SAP dans toute leur diversité : ECC, S/4HANA, GRC, Fiori. Notre objectif n’est pas de produire un rapport de plus, mais de vous aider à construire une sécurité SAP durable, alignée sur vos enjeux métier réels.
Vous souhaitez évaluer la maturité sécurité de votre environnement SAP ? Contactez nos experts pour un premier échange sans engagement.
FAQ : Foire aux questions sur l’audit SAP
Quelle est la durée moyenne d'un audit SAP ?
La durée varie selon le périmètre et la complexité de l’environnement. Pour une organisation de taille intermédiaire (200 à 500 utilisateurs SAP, 3 à 5 modules), comptez généralement entre 3 et 6 semaines de bout en bout : de la phase de cadrage à la restitution finale, en passant par l’extraction des données et l’analyse. Pour de grands environnements multisite ou multi-systèmes (plusieurs milliers d’utilisateurs, nombreux mandants), la durée peut s’étendre à 2 ou 3 mois. À l’inverse, un audit ciblé sur un périmètre restreint — un seul module, un risque SoD spécifique — peut se conclure en quelques jours. L’essentiel est de ne pas sacrifier la profondeur d’analyse au profit de la rapidité : un audit superficiel donne une fausse impression de sécurité, ce qui est pire qu’un audit inexistant.
Quelle est la différence entre un audit SAP et un audit réalisé par les commissaires aux comptes ?
Ce sont deux démarches complémentaires, mais de nature très différente. L’audit des commissaires aux comptes est un audit financier : il vise à certifier la fiabilité des états financiers. Les commissaires aux comptes s’intéressent à SAP dans la mesure où le système produit des données financières — ils vérifieront notamment que les contrôles internes informatiques (IT General Controls) sont en place. Mais ils n’ont ni la vocation ni les outils pour analyser en profondeur la granularité des rôles SAP, les conflits SoD au niveau des transactions, ou la cohérence du modèle d’autorisation.
L’audit SAP spécialisé, lui, descend précisément à ce niveau de détail. Il est mené par des experts du système SAP qui connaissent la logique des autorisations, les objets de droits, les transactions sensibles et les patterns de risque. Les deux audits se nourrissent mutuellement : un audit SAP rigoureux prépare et sécurise le passage de l’audit des commissaires aux comptes.
Faut-il interrompre la production SAP pendant l'audit ?
Non. Un audit SAP bien conduit est une démarche non intrusive qui ne nécessite aucune interruption de service. L’essentiel du travail repose sur l’extraction de données en lecture seule — rapports d’autorisation, listes de rôles, logs d’activité — sans aucune modification du système en production. Les seuls moments qui requièrent une légère disponibilité de vos équipes sont les entretiens de cadrage et la restitution finale. C’est d’ailleurs l’un des avantages de l’audit SAP sur d’autres types d’audits techniques : il peut se dérouler en parallèle des activités opérationnelles courantes, sans perturber le quotidien des utilisateurs.
Quelles équipes doivent être impliquées dans un audit SAP ?
Un audit SAP mobilise plusieurs parties prenantes, à des degrés différents selon les phases :
L’équipe SAP Basis et sécurité est la plus sollicitée : elle fournit les accès nécessaires à l’extraction des données et répond aux questions techniques sur la configuration du système.
Les correspondants métier (responsables finance, achats, RH…) sont consultés pour valider la pertinence des rôles par rapport aux fonctions réelles exercées. Ce sont eux qui peuvent confirmer ou infirmer si un droit est justifié ou excessif.
La DSI et le RSSI sont impliqués dans le cadrage et la restitution, car l’audit impacte directement la politique de sécurité du SI.
La direction financière ou le contrôle interne, surtout dans un contexte SOX ou de certification, suivent de près les résultats et le plan de remédiation.
En pratique, un audit SAP ne monopolise pas ces équipes à temps plein : il s’agit de points de contact structurés, espacés dans le temps, avec un investissement raisonnable pour chaque partie.
Un audit SAP est-il pertinent si nous n'avons pas encore de solution GRC ?
Absolument, et c’est même souvent le meilleur point de départ. L’absence de solution GRC signifie généralement qu’aucun contrôle automatisé n’a été mis en place sur les accès — ce qui rend l’audit encore plus nécessaire pour avoir une vision réelle de l’existant.
L’audit SAP peut d’ailleurs être le déclencheur naturel d’un projet GRC : une fois les risques identifiés et quantifiés, il devient beaucoup plus facile de justifier l’investissement dans une solution de contrôle continu comme SAP GRC Access Control ou SWAWE Compliance Companion. L’audit fournit la baseline — l’état des lieux — à partir duquel la solution GRC prendra le relais pour surveiller et prévenir les dérives dans la durée. Les deux démarches sont donc complémentaires, et l’une prépare logiquement l’autre.