La gestion multi-utilisateurs dans un outil de planification BI ne se résume pas à créer des comptes. Le vrai sujet, c’est la granularité des permissions : qui voit quoi, qui modifie quoi, et comment éviter qu’un contributeur accède à un périmètre qui ne le concerne pas. Planbi connection permet de structurer ces droits d’accès, mais encore faut-il comprendre la logique sous-jacente pour ne pas se retrouver avec une matrice de permissions ingérable au bout de six mois.
Rôles de tâches et rôles de ressources : la distinction que Planbi connection impose
La plupart des plateformes BI se contentent de trois profils : administrateur, éditeur, lecteur. Planbi connection pousse la logique plus loin en séparant les rôles de tâches (ce que l’utilisateur fait dans un workflow) des rôles de ressources gérées (ce à quoi il a accès en termes de données et de dimensions).
Cette séparation change la façon de penser l’organisation des accès. Un contrôleur de gestion peut avoir un rôle de tâche « approbateur » sur un processus budgétaire, tout en étant limité à sa seule entité juridique côté ressources. Un directeur commercial peut être « contributeur » sur les prévisions de ventes, mais « lecteur » sur les données RH consolidées.
Nous recommandons de cartographier les rôles de tâches avant de toucher aux permissions de ressources. L’erreur classique consiste à attribuer des droits ressource par ressource, utilisateur par utilisateur, sans avoir défini au préalable les workflows métier. Le résultat : des doublons, des incohérences, et des utilisateurs qui contournent le système en demandant des exports manuels.
Périmètre visible par utilisateur : synchronisation des membres dans Planbi connection
Un changement de comportement récent dans les environnements IBM Planning Analytics as a Service affecte directement la gestion multi-utilisateurs. La sélection d’un membre dans une tâche de Data Accountability synchronise désormais un ensemble de membres unique vers les ressources de la tâche. En pratique, l’arborescence visible se réduit au seul membre choisi.
Pour les équipes qui utilisent Planbi connection dans un contexte multi-entités, cette mécanique simplifie considérablement l’administration. Au lieu de maintenir des vues filtrées manuellement, le périmètre se cale automatiquement sur le rôle attribué. Un responsable régional ne voit que sa région. Un DAF groupe conserve la vue consolidée.
Configurer la réduction d’arborescence
La configuration passe par le module de gestion des utilisateurs, section rôles de ressources gérées personnalisés. Chaque rôle personnalisé associe un sous-ensemble de dimensions à un profil utilisateur. Le point technique à ne pas négliger : si un utilisateur cumule plusieurs rôles de tâches sur des workflows différents, ses périmètres de ressources se combinent par union, pas par intersection.
Autrement dit, un utilisateur qui approuve le budget France et contribue aux prévisions Europe verra les données France et Europe, pas uniquement leur zone commune. Nous observons que cette logique d’union surprend souvent les administrateurs qui s’attendent à un filtrage restrictif par défaut.
Droits portés par l’espace de travail : piège courant en environnement multi-utilisateurs
Dans les architectures BI modernes, les droits ne sont pas toujours globaux. L’accès à chaque espace de travail nécessite un ajout individuel de l’utilisateur, workspace par workspace. Ce fonctionnement, documenté pour Power BI et transposable aux environnements Planbi connection, signifie qu’un droit accordé sur un espace ne se propage pas aux autres.
Ce modèle présente un avantage réel pour la sécurité : chaque espace reste étanche. En revanche, il complexifie l’onboarding. Quand un nouveau collaborateur rejoint l’équipe finance, il faut l’ajouter manuellement à chaque workspace pertinent (budget, trésorerie, reporting statutaire, consolidation).
Automatiser l’attribution par groupes fonctionnels
La bonne pratique consiste à créer des groupes fonctionnels plutôt que de gérer les permissions utilisateur par utilisateur. Voici les groupes que nous préconisons dans un déploiement Planbi connection standard :
- Groupe « Contrôle de gestion » : accès contributeur aux espaces budget et forecast, lecteur sur le reporting consolidé, aucun accès aux données RH
- Groupe « Direction générale » : lecteur sur tous les espaces, approbateur sur le processus budgétaire annuel, pas de droit de modification directe sur les cubes
- Groupe « Opérations » : contributeur sur les espaces prévisionnels opérationnels, aucun accès aux données financières consolidées ni aux espaces de paramétrage
- Groupe « Administration BI » : accès complet aux espaces de paramétrage, gestion des rôles et des connexions, sans nécessairement avoir accès aux données métier sensibles
Cette approche par groupes réduit le nombre de manipulations lors des mouvements de personnel. Un changement de poste se traduit par un changement de groupe, pas par une revue de chaque permission individuelle.
Matrice de permissions Planbi connection : modèle de gouvernance opérationnel
Documenter les droits d’accès dans un tableur partagé ne suffit pas. La matrice de permissions doit vivre dans l’outil lui-même, avec un audit trail qui trace chaque modification. Sans cette traçabilité, impossible de répondre aux exigences de conformité lors d’un audit interne ou d’un contrôle réglementaire.
La matrice croise trois axes : les utilisateurs (ou groupes), les espaces de travail, et les niveaux de permission (lecture, contribution, approbation, administration). Nous recommandons une revue trimestrielle de cette matrice, avec validation par chaque responsable de périmètre fonctionnel.
Revue des accès et désactivation
Un point souvent négligé : la désactivation des comptes inactifs. Un utilisateur qui quitte l’entreprise ou change de service conserve ses accès tant que personne ne les révoque explicitement. Dans un environnement Planbi connection multi-utilisateurs, nous observons régulièrement des comptes actifs pour des collaborateurs partis depuis plusieurs mois.
- Mettre en place une alerte automatique après une période d’inactivité définie par la politique interne
- Croiser la liste des comptes actifs avec l’annuaire RH au moins une fois par trimestre
- Documenter chaque révocation dans le journal d’audit de la plateforme
La gestion des droits d’accès dans Planbi connection n’a rien de complexe quand elle repose sur une architecture de groupes fonctionnels, une séparation nette entre rôles de tâches et rôles de ressources, et une revue périodique des permissions. Le plus coûteux n’est pas la configuration initiale, c’est la dette de gouvernance qui s’accumule quand personne ne maintient la matrice après le déploiement.
