Le compte d'un salarié licencie est reste actif 14 mois : 230 000 EUR de fraude, qui paie ?
Un compte non desactive apres un depart, exploite 14 mois plus tard : reconstitution chiffree d'un sinistre IAM et de la part de responsabilite du consultant.
- Un compte orphelin (joiner-mover-leaver mal gere) est l'une des failles les plus exploitees, et souvent imputable au prestataire IAM en charge du provisioning.
- Dans le sinistre reconstitue, l'absence de procedure de revocation automatique a laisse un acces actif 14 mois, pour un prejudice de 230 000 EUR.
- La question cle : le consultant avait-il une obligation de moyens (recommander) ou de resultat (garantir la coupure) ?
- Sans RC Pro adaptee, les frais de defense seuls (expertise judiciaire, avocat) depassent souvent 30 000 EUR.
Le sinistre, etape par etape
Une PME de e-commerce (45 salaries) confie a un consultant IAM independant la refonte de sa gestion des comptes : annuaire central, regles de provisioning, et surtout automatisation du cycle joiner / mover / leaver (arrivee, mobilite, depart).
Le consultant livre un projet techniquement propre. Mais un point reste en suspens : le connecteur RH qui devait declencher la desactivation automatique des comptes a la sortie d'un salarie n'est jamais passe en production. Faute de budget, le client a demande de "finaliser plus tard". Aucune trace ecrite ne formalise ce report.
Quatorze mois apres le depart d'un responsable logistique, son compte VPN, toujours actif, est utilise depuis l'etranger. L'attaquant detourne des remboursements fournisseurs vers de faux IBAN.
Prejudice constate : 230 000 EUR de virements frauduleux, dont 180 000 EUR non recuperables.
L'enquete revele que l'identifiant exploite est precisement celui qui aurait du etre revoque par le mecanisme jamais active.
Obligation de moyens ou de resultat ?
Tout se joue sur la nature de l'engagement. Le client soutient que la coupure des acces faisait partie du livrable : obligation de resultat. Le consultant repond qu'il a recommande l'activation du connecteur, refusee pour raison budgetaire : obligation de moyens.
- Si obligation de moyens : le consultant doit prouver qu'il a alerte. Un e-mail d'avertissement, un compte rendu mentionnant le risque, suffisent souvent a degager sa responsabilite principale.
- Si obligation de resultat : la simple persistance du compte actif suffit a engager sa faute, charge a lui de prouver une cause exterieure.
Dans ce dossier, l'absence d'ecrit formalisant le report a ete dramatique : le juge a retenu une responsabilite partagee, 40 % a la charge du consultant, soit environ 72 000 EUR auxquels s'ajoutent les frais de defense.
La lecon est limpide : un IAM ne se protege pas seulement par sa technique, mais par sa tracabilite contractuelle des recommandations et des refus du client.
La facture reelle d'un compte orphelin
Le cout d'un acces non revoque ne se limite pas au montant fraude. Voici la decomposition typique cote consultant.
| Poste | Montant estime |
|---|---|
| Part de prejudice mise a sa charge (40 %) | 72 000 EUR |
| Expertise judiciaire informatique | 12 000 EUR |
| Honoraires d'avocat (procedure) | 18 000 EUR |
| Temps non facturable mobilise | ~8 000 EUR |
Soit plus de 110 000 EUR, hors atteinte a la reputation. Pour un independant, c'est un montant qui peut effacer plusieurs annees de marge. C'est exactement ce type de reclamation que couvre une assurance RC Pro adaptee aux metiers du numerique, qui prend en charge a la fois l'indemnisation due au tiers et les frais de defense.
Trois reflexes pour ne pas etre le maillon faible
La prevention de ce sinistre tient a quelques regles simples, autant juridiques que techniques.
- Formaliser chaque arbitrage du client. Un connecteur reporte, une regle de revocation desactivee : tout refus ou report doit faire l'objet d'un ecrit horodate. C'est votre premiere ligne de defense.
- Documenter le perimetre exact du livrable. Le contrat doit dire si la desactivation des comptes est un resultat garanti ou une recommandation. L'ambiguite profite toujours au demandeur.
- Prevoir une recette de revocation. Un test de sortie (creer puis supprimer un compte fictif et verifier la coupure de tous les acces) materialise la bonne execution.
Pour aller plus loin sur les risques propres a ce metier, consultez la fiche dediee au consultant en gestion des identites et des acces (IAM).
Questions fréquentes
Pas automatiquement, mais seulement s'il peut prouver par ecrit qu'il avait recommande la mesure et que le client l'a refusee. Sans trace, le juge tend a retenir une responsabilite partagee, comme dans le sinistre reconstitue (40 % a la charge du consultant).
Oui. Une RC Pro adaptee aux metiers du numerique prend en charge l'expertise judiciaire, les honoraires d'avocat et les frais de procedure, souvent plus de 30 000 EUR meme quand le consultant est finalement exonere.
Par tout ecrit horodate : e-mail, compte rendu de reunion signe, ticket projet. L'oral n'a aucune valeur probante. Conservez ces preuves au moins toute la duree de la prescription, soit cinq ans apres la fin de la mission.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant en gestion des identités et des accès (IAM) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant en gestion des identités et des accès (IAM) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.