Droits d'accès dans un ERP : qui voit quoi, et pourquoi

Un ERP met toutes les données de l’entreprise dans une même base. C’est sa force, et c’est aussi ce qui oblige à dire clairement qui voit quoi. Un commercial n’a pas à voir les salaires ; un stagiaire n’a pas à valider un paiement fournisseur.

Des rôles, pas des personnes

Définir les droits personne par personne devient vite illisible. Définissez plutôt des rôles (commercial, administration des ventes, acheteur, magasinier, comptable, direction) et attribuez un ou plusieurs rôles à chaque personne. Odoo organise ses droits en groupes par application, et Dolibarr en permissions par module, regroupables par groupe d’utilisateurs. La documentation d’Odoo sur les droits d’accès décrit le principe.

Le minimum nécessaire

Chaque rôle reçoit ce qu’il faut pour ses gestes quotidiens, et rien de plus. Le réflexe « donne-lui tous les droits, ce sera plus simple » crée des risques : une suppression par erreur, une donnée sensible vue par la mauvaise personne, et l’impossibilité de savoir qui a fait quoi.

Séparer les tâches

Une règle de contrôle interne classique : la personne qui crée une dépense n’est pas celle qui la paie. Dans l’ERP, cela se traduit par des droits distincts pour saisir une facture fournisseur, la valider et la mettre en paiement. Au-delà d’un montant, une validation supplémentaire de la direction. Cette séparation protège l’entreprise contre la fraude et contre l’erreur.

Les données sensibles

Les données personnelles relèvent aussi du RGPD : chaque accès doit avoir une raison liée au travail. Notre article sur le RGPD dans un CRM détaille les règles de conservation, qui s’appliquent aussi aux fiches d’un ERP.

Plusieurs sociétés

Dans un ERP multi-sociétés, les droits disent aussi quelle société chaque utilisateur voit. Le contrôleur de gestion du groupe voit tout ; l’équipe d’une filiale ne voit que la sienne. Voir ERP multi-sociétés.

Les accès eux-mêmes

1. 01Double authentification

   Pour tous les comptes, sans exception.

2. 02Comptes nominatifs

   Jamais de compte partagé « compta » ou « entrepôt ».

3. 03Retrait le jour du départ

   D’une personne, prévu dans la procédure de sortie.

4. 04Revue trimestrielle

   Des comptes actifs et de leurs rôles.

Les comptes nominatifs ont un second avantage : le journal de l’ERP dit qui a modifié quoi, ce qui règle beaucoup de litiges internes.

Les accès extérieurs

Expert-comptable, prestataire, intérimaire : chacun reçoit un compte nominatif, limité dans le temps et dans le périmètre. Les clients et fournisseurs passent par le portail, qui ne donne accès qu’à leurs propres pièces.

Poser les droits dès le paramétrage

Les droits se définissent avec les flux, pendant le cadrage, pas après la mise en service. Un tableau simple suffit : les rôles en lignes, les applications en colonnes, et pour chaque case lecture, écriture, validation ou rien. Ce tableau sert ensuite de référence pour la revue trimestrielle et pour l’arrivée de chaque nouvel employé. Le guide complet de l’ERP montre les autres étapes du projet, et notre offre CRM et ERP livre ce tableau des rôles avec le paramétrage de l’ERP.

Les journaux d’activité

Odoo et Dolibarr gardent une trace des créations et des modifications. Consultez-la lors de la revue trimestrielle, en particulier pour les suppressions, les changements de coordonnées bancaires des fournisseurs et les validations de paiement. Une modification de RIB fournisseur suivie d’un paiement est l’un des schémas de fraude les plus courants ; une double validation sur ce champ la bloque. Le même contrôle vaut pour les remises exceptionnelles et les avoirs, qui sortent de l’argent de l’entreprise aussi sûrement qu’un paiement direct au fournisseur.

Questions fréquentes

Sources

1. Droits d’accès, documentation d’Odoo (nouvel onglet)odoo.com