Tout programme d'identité automatise tôt le parcours d'arrivée, parce qu'il est visible : une nouvelle recrue se présente le premier jour sans aucun accès, et c'est un problème évident, facile à faire financer. Ce qui reste réduit à une feuille de calcul et un message Slack, c'est la mutation — quelqu'un qui change d'équipe — et le départ.
Les mutations sont le cas le plus difficile, parce que le résultat correct n'est pas « ajouter l'accès » ou « retirer l'accès », c'est les deux, et le retrait est la partie qu'on continue d'oublier. Une personne passe des finances à l'ingénierie et obtient immédiatement de nouveaux droits, parce que la nouvelle équipe a besoin qu'elle soit productive. Personne ne revient retirer l'accès au système des finances, parce que personne n'est bloqué par le fait qu'elle l'ait encore. Dix-huit mois plus tard, cette personne devient un constat de revue d'accès intitulé « droit inexpliqué », et personne ne se souvient non plus pourquoi elle l'a.
Le parcours de départ échoue différemment : il est généralement automatisé pour l'annuaire principal, puis oublié partout ailleurs — l'outil SaaS acheté directement par une équipe, l'identifiant partagé dans un coffre-fort, la clé SSH permanente. Un programme arrivée–mutation–départ n'est jamais plus solide que son système le moins intégré.
S'il fallait choisir un seul levier : instrumenter d'abord le parcours de mutation. C'est celui qui produit silencieusement l'étalement d'accès qu'un véritable audit finit toujours par trouver.