IAM : sur site ou SaaS ? Comparaison des modèles d’exploitation

Un comparatif destiné aux responsables informatiques

La semaine dernière, j’ai rencontré le responsable informatique d’une administration municipale de taille moyenne. 4 500 employés, 120 applications métier, une équipe informatique de cinq personnes. Il a prononcé une phrase que l’on entend sans cesse dans le cadre de projets : « Nous savons que nous avons besoin d’un système IAM. Mais nous ne savons pas si nous en avons les moyens. » Il ne faisait pas référence à l’argent. Il parlait des personnes chargées d’assurer le bon fonctionnement d’un tel système.

Cet article marque le début d’une série en plusieurs parties destinée à tous ceux qui sont confrontés précisément à ce choix.

1. Deux univers : comparaison directe entre les solutions sur site et le SaaS

Imaginez que vous construisiez une maison. Avec une solution sur site, vous achetez le terrain, planifiez la construction, engagez des artisans et vous occupez ensuite vous-même de toutes les réparations. Du robinet qui fuit au nouveau toit. Avec le SaaS, vous emménagez dans un immeuble géré par des professionnels : vous profitez immédiatement de toutes les installations, la gérance s’occupe de l’entretien et de la modernisation, et vous pouvez vous concentrer sur votre cœur de métier. Certes, vous ne devenez pas propriétaire, mais vous n’immobilisez pas non plus de capital ni ne mobilisez toute une équipe pour la gestion technique du bâtiment.

Sur site : un contrôle total, une charge de travail importante

Les entreprises qui exploitent un système IAM sur leur propre infrastructure conservent un contrôle maximal sur les données, la configuration et l’architecture. Dans certains cas de figure, c’est la solution la plus appropriée : par exemple dans des secteurs soumis à une réglementation stricte, comme le secteur financier, qui doivent fonctionner de manière totalement isolée d’Internet.

Le revers de la médaille est souvent passé sous silence dans les documents de décision. Le matériel, les licences, le réseau et les capacités du centre de données doivent être acquis et financés avant même que la première identité ne soit créée. Chaque mise à jour de version, chaque correctif de sécurité relève de votre propre responsabilité. Sans oublier les connecteurs : les interfaces avec les systèmes RH, les services d’annuaire, les plateformes cloud et les applications métier doivent être développées, testées et maintenues en interne. La complexité augmente à chaque intégration, tout comme le risque qu’un élément passe inaperçu.

SaaS : un démarrage plus rapide, un allègement durable

Une solution IAM de type « Software as a Service » transfère la charge opérationnelle au prestataire. L’organisation utilise une plateforme gérée de manière professionnelle et se concentre sur les aspects métier : de quels rôles avons-nous besoin ? Quels sont les processus d’autorisation en vigueur ? Quels systèmes doivent être connectés ?

Le calcul est simple à première vue : aucun investissement initial dans l’infrastructure, des coûts mensuels prévisibles, des mises à jour automatiques assurées par le fournisseur, une évolutivité sans achat de matériel. La surveillance, la sauvegarde et la reprise après sinistre font partie intégrante du service. Une gestion professionnelle de la sécurité conforme à la norme ISO/IEC 27001 fait partie des prestations proposées.

Cela semble évident, mais ce n’est pas tout à fait le cas. La dépendance vis-à-vis d’un fournisseur nécessite de la confiance et des garanties contractuelles. Les coûts d’abonnement récurrents s’accumulent au fil des années. Tous les fournisseurs SaaS ne permettent pas des personnalisations approfondies et adaptées à chaque client. Une connexion Internet stable est indispensable et la question de la localisation des données doit être clarifiée, en particulier pour les secteurs réglementés.

En ce qui concerne l’IAM en particulier, un bon fournisseur SaaS se charge non seulement de l’exploitation de la plateforme, mais aussi de la maintenance des connecteurs, de la mise en œuvre des changements de version et de l’adaptation aux nouvelles versions des interfaces des systèmes cibles. Nous constatons régulièrement, dans le cadre de nos projets, que ce sont précisément ces tâches qui mobilisent le plus de ressources humaines lorsqu’elles sont gérées en interne. Ce ne sont pas les grandes décisions architecturales, mais la maintenance permanente au quotidien.

2. Ce qu’implique réellement une exploitation sur site

En théorie, toute organisation peut exploiter elle-même un système IAM. Dans la pratique, cela échoue étonnamment souvent – non pas par manque de volonté, mais en raison des conditions préalables. L’exploitation en interne nécessite un certain nombre de facteurs de réussite qui, dans de nombreuses organisations, font tout simplement défaut.

Le problème de personnel : des spécialistes qui se font rares

La gestion des identités et des accès (IAM) n’est pas une activité secondaire. Sa mise en œuvre nécessite des spécialistes maîtrisant la modélisation des identités, le développement de connecteurs, la gestion des rôles, la conception de workflows, la gestion des accès privilégiés et les exigences de conformité. Il ne s’agit pas d’administrateurs informatiques génériques. Il s’agit de spécialistes dotés d’un profil de compétences rare, à la croisée de la sécurité informatique, des services d’annuaire, des processus RH et de l’intégration d’applications.

Le marché du travail ne permet pas de répondre à cette demande. Selon l’étude Bitkom 2025, le marché allemand de l’informatique comptera environ 109 000 postes vacants dans ce secteur. Il s’agit certes d’une baisse conjoncturelle par rapport aux 149 000 postes non pourvus de 2023, mais 79 % des entreprises s’attendent à ce que la pénurie continue de s’aggraver. Dans le domaine de la cybersécurité, selon une étude de PwC Strategy& (2025), neuf organisations sur dix font état de problèmes de recrutement considérables ; quant à la fonction publique, selon le dbb-Monitor 2026, il manquerait environ 600 000 employés pour assurer efficacement l’exécution des missions.

Même si des candidats qualifiés étaient disponibles, les organismes du secteur public, du secteur de la santé et des établissements d’enseignement supérieur, soumis à des grilles salariales rigides (TVöD, TV-L, AVR), sont en concurrence avec le secteur privé. Un spécialiste IAM expérimenté y gagne nettement plus que le plafond de la grille E12. Vous en connaissez les conséquences : les postes restent vacants pendant des mois, voire des années, le personnel en place est surchargé et le projet IAM n’avance pas.

En quoi le SaaS change la donne dans ce domaine

Le prestataire met à disposition son expertise en matière d’IAM. Le service informatique interne définit les processus métier, mais n’exploite pas la plateforme technique. Au lieu de trois à cinq spécialistes IAM dédiés, un à deux interlocuteurs métier suffisent, et la question de la rémunération est transférée au prestataire de services, qui peut recruter sur le marché libre et affecter des spécialistes à plusieurs clients.

Quand cinq personnes doivent tout assumer

Dans de nombreux hôpitaux de taille moyenne, administrations municipales ou établissements d’enseignement supérieur, le service informatique se compose d’une poignée de collaborateurs. Ces équipes ont déjà du mal à assurer le fonctionnement quotidien du réseau, des postes de travail, des serveurs et des applications métier. Si le service informatique n’a déjà pas les moyens de prendre en charge l’assistance pour les imprimantes, qui sera alors chargé d’exploiter un système IAM comportant des dizaines de connecteurs ?

Dans le cadre du SaaS, la gestion opérationnelle de l’IAM incombe au fournisseur : surveillance, application des correctifs, sauvegarde, maintenance des connecteurs, mises à jour de version. L’équipe interne est ainsi déchargée et peut se concentrer sur le pilotage métier, qui ne peut être assuré qu’en interne.

Le cycle de vie des identités : où se produisent la plupart des erreurs

Un aspect souvent sous-estimé : lorsqu’une personne quitte l’organisation ou change de poste, ses droits d’accès doivent être modifiés ou supprimés rapidement et correctement dans des dizaines de systèmes. Cela va de la boîte e-mail aux accès VPN, en passant par les procédures métier spécifiques à chaque secteur. En interne, cela nécessite une coordination manuelle entre les RH, le service informatique et les services métier. Les erreurs entraînent ce que l’on appelle des « comptes orphelins » : des comptes abandonnés qui continuent d’accorder un accès et constituent un risque de sécurité permanent.

À cela s’ajoute le défi de la corrélation des identités. Lorsqu’une même personne est présente dans plusieurs systèmes (système RH, Active Directory, annuaire cloud, SAP), la plateforme doit être capable de reconnaître de manière fiable qu’il s’agit bien d’une seule et même personne. Sinon, cela entraîne la création de doublons ou des autorisations contradictoires.

Savez-vous combien de comptes orphelins existent dans votre système ?

Une plateforme SaaS professionnelle automatise l’ensemble du cycle de vie des identités de bout en bout. Des règles de corrélation éprouvées empêchent les doublons, tandis que des processus de désactivation automatisés comblent le fossé entre la notification des RH et le retrait effectif des droits. En interne, ces opérations sont souvent effectuées à l’aide de tableurs et d’e-mails, ce qui est source d’erreurs, chronophage et ne répond guère aux exigences d’audit.

Que se passe-t-il si l’expert en gestion des identités et des accès (IAM) démissionne ?

Nous connaissons une organisation dans laquelle un seul collaborateur a mis en place et géré l’ensemble du système IAM pendant sept ans. Lorsqu’il a démissionné, il a fallu quatre mois à l’équipe pour simplement comprendre la documentation. Il a fallu neuf mois pour trouver un successeur. Entre-temps, aucun nouveau connecteur n’a été intégré, aucune interface n’a été mise à jour et aucun correctif de sécurité n’a été appliqué.

Ce n’est pas un cas isolé. Un système IAM n’est pas un projet ponctuel. Il évolue, se développe et se transforme au fil des années. Si vous l’exploitez vous-même, vous devez prévoir une planification de la relève, une documentation et un transfert de connaissances. Chez un fournisseur SaaS, la continuité d’exploitation est ancrée au niveau institutionnel : avec des équipes plutôt que des individus, des processus définis et des niveaux de service garantis par contrat.

Conformité : le cadre réglementaire ne devient pas plus simple

NIS2, la norme « IT-Grundschutz » du BSI, le RGPD, les exigences spécifiques à certains secteurs telles que la loi sur la protection des données des patients ou les exigences de la norme OZG 2.0 relatives aux services administratifs numériques, y compris les normes ouvertes. Un système IAM géré en interne doit lui-même prendre en compte toutes ces exigences, les documenter et en apporter la preuve lors des audits.

Les certifications régulières des droits d’accès sont particulièrement fastidieuses : au moins une fois par an, les responsables doivent vérifier et valider l’ensemble des droits d’accès de leurs collaborateurs. De même, la séparation des fonctions (segregation of duties) doit faire l’objet d’une surveillance automatisée afin que personne ne se voie attribuer simultanément des rôles présentant des conflits d’intérêts : par exemple, la vérification des factures et la validation des paiements confiées à une seule et même personne.

En quoi le SaaS change la donne dans ce domaine

Un fournisseur SaaS professionnel détient les certifications nécessaires (ISO 27001, ISO 27017, ISO 27018) et intègre les exigences de conformité dans ses processus standard. Les campagnes de certification sont orchestrées de manière automatisée, les conflits de séparation des tâches (SoD) sont détectés en temps réel, et des pistes d’audit complètes fournissent les justificatifs sous la forme attendue par les auditeurs.

3. Obtenir des résultats plus rapidement : l’approche MVP

De nombreux projets IAM échouent non pas en raison de la technologie, mais à cause de leur durée. Un grand projet IAM classique commence par une analyse des besoins qui s’étend sur plusieurs mois, suivie de la sélection des logiciels, de la mise en place de l’infrastructure, de la mise en œuvre, des tests et de la mise en service. Entre l’idée initiale et la mise en production, il s’écoule entre 18 et 24 mois, voire parfois bien plus. Pendant cette période, les budgets augmentent, la patience des parties prenantes s’amenuise et les exigences évoluent.

La clé réside au contraire dans cette approche : un produit minimum viable (MVP) qui permet de mettre rapidement en service les principales fonctionnalités IAM, puis d’élargir progressivement ces fonctionnalités.

Concrètement, comment cela se présente-t-il ? Une plateforme SaaS préconfigurée offre une structure de base éprouvée dans le secteur : des types de profils pour les rôles courants (salariés, intervenants externes, apprentis, étudiants), des processus prédéfinis de gestion des arrivées, des mutations et des départs, un modèle de rôles éprouvé basé sur une analyse systématique des rôles (Role Mining), des connecteurs standard pour Active Directory, LDAP, Microsoft Entra ID, SAP HCM ou les systèmes RH, des fonctionnalités en libre-service pour la réinitialisation des mots de passe et les demandes d’autorisation, ainsi que des fonctions de conformité de base telles que la journalisation des audits, la certification des accès et la séparation des tâches.

L’expérience montre que cette préconfiguration couvre la majeure partie des besoins. Plutôt que de partir de zéro, la mise en œuvre s’appuie sur des bases qui ont fait leurs preuves dans des projets concrets. La personnalisation se limite à ce qui est véritablement propre à chaque client : la structure organisationnelle concrète, les procédures métier spécifiques et les règles d’approbation internes.

Une démonstration de faisabilité (PoC) plutôt qu’un projet de grande envergure

La meilleure façon de se lancer, avec le moins de risques possible, consiste à mettre en place une preuve de concept structurée. En quelques semaines, un environnement réel, identique à celui de production, est mis en place, au lieu d’une simple démonstration commerciale. Un système RH est connecté en tant que source, un service d’annuaire est configuré en tant que destination, et le provisionnement automatisé est lancé. L’organisation peut ainsi vérifier par elle-même si la solution tient ses promesses avant de conclure un contrat à long terme.

Cette approche permet de réduire simultanément trois risques majeurs : le risque financier grâce à des coûts de mise en œuvre maîtrisables, le risque technique grâce à une validation au sein de votre propre environnement informatique, et le risque organisationnel grâce à des résultats rapides et tangibles qui convainquent les parties prenantes.

4. Pourquoi précisément maintenant et précisément pour ces secteurs ?

Trois secteurs sont particulièrement incités à professionnaliser leur gestion des identités.

En vertu des exigences NIS2 et KRITIS, les organismes de santé sont tenus, sur le plan réglementaire, de porter de manière vérifiable leur sécurité informatique à un niveau professionnel. Dans ce contexte, une gestion centralisée des identités et des accès (IAM) n’est pas une option, mais une obligation.

Les établissements d’enseignement supérieur doivent gérer une complexité sans pareille : des milliers d’étudiants, des enseignants vacataires qui changent régulièrement, un environnement informatique hétérogène comprenant la gestion du campus, les services d’annuaire et l’authentification fédérée (Shibboleth, DFN-AAI). À cela s’ajoute l’exigence selon laquelle les enseignants et les chercheurs doivent pouvoir accéder aux ressources d’autres établissements avec leurs identités d’origine.

Dans le cadre de la loi OZG 2.0, les collectivités locales doivent mettre en place des services numériques destinés aux citoyens et, à cette fin, développer un système de gestion des identités sécurisé et conforme à la législation pour des milliers d’employés, de prestataires externes et d’élus.

Ces trois secteurs ont un point commun : les équipes informatiques sont réduites, les fourchettes salariales sont plafonnées par les conventions collectives et la charge de travail est élevée. Si vous pensez que cela ne vous concerne pas, vérifiez combien de vos collaborateurs informatiques partiront à la retraite au cours des cinq prochaines années. C’est précisément dans ce contexte qu’une solution IAM proposée sous forme de service géré déploie tout son potentiel.

La question n’est plus de savoir si une organisation a besoin d’une solution IAM professionnelle, car les exigences réglementaires et les menaces existantes ne laissent planer aucun doute à ce sujet. La question est de savoir comment y parvenir et s’il faut s’y atteler seul.

Cet article est le premier d’une série de quatre. Les prochains approfondiront la question, notamment à travers l’exemple d’un bateau de croisière et d’une mission lunaire. En effet, le fonctionnement de la collaboration dans le cadre de l’exploitation courante et les raisons pour lesquelles les projets IAM nécessitent une planification différente de celle des projets informatiques classiques méritent chacun d’être examinés séparément.

Vous souhaitez savoir à quoi pourrait concrètement ressembler la mise en place d’une solution IAM au sein de votre organisation ? Prenez rendez-vous pour un entretien de conseil gratuit via le formulaire de contact: 30 minutes, sans présentation PowerPoint interminable, mais avec une analyse concrète de votre situation.