Votre entreprise utilise Microsoft 365 depuis plusieurs années. Au début, c'était simple : quelques boîtes mail, un OneDrive, peut-être un site SharePoint pour stocker des documents. Puis l'équipe a grandi. Des canaux Teams ont été créés pour chaque projet, chaque réunion, parfois chaque conversation. Des sites SharePoint ont été ouverts sans convention de nommage. Des partages externes ont été configurés au cas par cas, sans politique claire. Et personne ne sait vraiment qui a accès à quoi.
Ce scénario, nous le rencontrons dans la majorité des PME et ETI que nous accompagnons dans le Grand Est. Ce n'est pas un problème de compétence. C'est un problème de gouvernance : l'environnement Microsoft 365 a grandi plus vite que les règles qui le cadrent.
La gouvernance Microsoft 365, concrètement, c'est quoi ?
Le mot "gouvernance" fait peur. Il évoque des comités, des documents de 80 pages, des processus rigides. En réalité, pour une PME, la gouvernance Microsoft 365 se résume à une question simple : qui peut faire quoi, où, et dans quelles conditions ?
C'est l'ensemble des règles, des configurations et des pratiques qui permettent de garder le contrôle de votre environnement sans bloquer les utilisateurs. Quelques exemples concrets :
- Qui peut créer une équipe Teams ? Tout le monde, ou seulement certains rôles ?
- Que se passe-t-il quand un collaborateur quitte l'entreprise ? Ses fichiers, ses accès, ses groupes sont-ils nettoyés ?
- Les documents partagés avec des partenaires externes sont-ils toujours accessibles six mois après la fin du projet ?
- Combien de licences Microsoft 365 payez-vous pour des comptes inactifs ?
Si vous n'avez pas de réponse claire à ces questions, vous avez un sujet de gouvernance à traiter.
Les cinq domaines à auditer en priorité
Un audit de gouvernance Microsoft 365 ne nécessite pas des mois de travail. Il s'agit d'examiner cinq domaines clés et d'identifier les écarts entre la situation actuelle et ce qui est souhaitable.
1. La sécurité du tenant
Le tenant Microsoft 365 est le socle de votre environnement. C'est le périmètre qui contient tous vos utilisateurs, vos données et vos configurations. Les points à vérifier en priorité :
- L'authentification multifacteur (MFA) : est-elle activée pour tous les utilisateurs, y compris les comptes administrateurs ? C'est la mesure de sécurité la plus efficace et la plus simple à mettre en place. Si vous ne faites qu'une seule chose, faites celle-là.
- Les comptes administrateurs : combien en avez-vous ? Qui sont-ils ? Un tenant de PME ne devrait pas avoir plus de 2 à 4 administrateurs globaux. Le reste des droits se délègue via des rôles limités.
- Les paramètres par défaut : Microsoft livre le tenant avec des configurations permissives. Par exemple, par défaut, tous les utilisateurs peuvent enregistrer des applications tierces dans Azure AD. C'est rarement souhaitable.
2. SharePoint et la gestion du cycle de vie des sites
SharePoint est souvent le parent pauvre de la gouvernance. Les sites se créent facilement, mais personne ne les archive ni ne les supprime. Au bout de quelques années, vous vous retrouvez avec des dizaines de sites dont certains n'ont pas été consultés depuis des mois, contiennent des données obsolètes, ou ont des permissions incohérentes.
Les questions à se poser :
- Combien de sites SharePoint existent dans votre tenant ? Combien sont réellement actifs ?
- Existe-t-il une convention de nommage (par exemple : "PROJET - Nom du projet", "SERVICE - Nom du service") ?
- Qui est propriétaire de chaque site ? Le propriétaire est-il toujours dans l'entreprise ?
- Les permissions sont-elles héritées du site parent ou ont-elles été modifiées manuellement (ce qui est souvent source d'erreurs) ?
3. Teams : nommage, templates et archivage
Microsoft Teams est l'outil qui génère le plus de prolifération dans un tenant non gouverné. Chaque équipe Teams crée automatiquement un groupe Microsoft 365, un site SharePoint, un plan Planner et un espace de stockage. Multipliez cela par le nombre d'équipes créées sans cadre, et vous obtenez un environnement difficile à maintenir.
Les bonnes pratiques à mettre en place :
- Convention de nommage : imposer un préfixe ou un format (par exemple : "DEPT-NomÉquipe" ou "PROJ-NomProjet") pour identifier rapidement la nature de chaque équipe
- Templates d'équipe : créer des modèles avec des canaux, onglets et paramètres pré-configurés pour les cas d'usage récurrents (équipe projet, comité de direction, service support)
- Politique d'archivage : une équipe inactive depuis 6 mois devrait être archivée automatiquement ou après validation du propriétaire. Les données restent accessibles en lecture, mais l'équipe ne pollue plus la liste des utilisateurs
- Restriction de création : limiter la création d'équipes à un groupe d'utilisateurs identifiés, ou mettre en place un processus de demande via un formulaire
4. Le partage externe
Le partage externe est l'un des risques les plus sous-estimés. Par défaut, SharePoint et OneDrive permettent de partager des fichiers avec n'importe qui, y compris des personnes extérieures à l'organisation, via un simple lien.
Les points à vérifier :
- Les liens anonymes : sont-ils autorisés ? Si oui, ils devraient au minimum avoir une date d'expiration (7 ou 30 jours, selon votre contexte)
- Les domaines autorisés : pouvez-vous restreindre le partage externe aux domaines de vos partenaires identifiés plutôt que de l'ouvrir à tous ?
- Les politiques DLP (Data Loss Prevention) : des règles de prévention de perte de données sont-elles en place pour empêcher le partage accidentel d'informations sensibles (numéros de carte bancaire, données personnelles, documents confidentiels) ?
Le partage externe n'est pas un problème en soi. C'est un outil nécessaire pour travailler avec des partenaires, des clients ou des prestataires. Mais sans cadre, il devient une source de fuite de données.
5. L'optimisation des licences
C'est le domaine le plus concret en termes de retour financier. Dans la plupart des tenants que nous auditons, nous constatons :
- Des licences attribuées à des comptes inactifs (anciens collaborateurs, comptes de test oubliés)
- Des utilisateurs avec des licences E3 ou E5 alors qu'une licence E1 ou Business Basic suffirait pour leur usage réel
- Des fonctionnalités payantes activées mais jamais utilisées (Power BI Pro, Visio, Project)
Un audit des licences prend quelques heures et peut révéler des économies de plusieurs milliers d'euros par an, selon la taille de votre organisation.
Comment s'y prendre : une approche progressive
La gouvernance Microsoft 365 ne se déploie pas en un jour. L'approche qui fonctionne est progressive, en trois phases.
Phase 1 : l'audit (1 à 2 semaines)
Avant de changer quoi que ce soit, il faut photographier l'existant. Un audit de tenant Microsoft 365 couvre :
- L'inventaire des utilisateurs, groupes, sites SharePoint et équipes Teams
- L'état de la sécurité (MFA, comptes admin, accès conditionnels)
- Les configurations de partage externe
- L'utilisation réelle des licences
- Les flux Power Automate et applications Power Apps existants (souvent oubliés dans les audits)
Le résultat est un document de synthèse qui liste les écarts et les priorise selon leur impact (sécurité, conformité, coût).
Phase 2 : les quick wins (2 à 4 semaines)
Certaines mesures sont rapides à mettre en place et apportent un bénéfice immédiat :
- Activer le MFA pour tous les comptes
- Réduire le nombre d'administrateurs globaux
- Configurer l'expiration des liens de partage externe
- Supprimer les licences des comptes inactifs
- Mettre en place une politique DLP de base (bloquer le partage de données sensibles vers l'extérieur)
Ces actions ne nécessitent pas de formation des utilisateurs et ne changent pas leurs habitudes. Elles sécurisent l'environnement sans friction.
Phase 3 : la gouvernance structurée (1 à 3 mois)
C'est la phase qui demande le plus d'accompagnement, car elle touche aux pratiques des utilisateurs :
- Définir et déployer les conventions de nommage pour Teams et SharePoint
- Mettre en place les templates d'équipes Teams
- Configurer les politiques d'archivage automatique
- Former les référents internes (IT ou utilisateurs clés) à la gestion quotidienne du tenant
- Documenter les règles de gouvernance dans un guide accessible à tous
L'objectif n'est pas de créer un cadre rigide. C'est de donner à chacun les repères nécessaires pour utiliser Microsoft 365 de façon productive et sécurisée.
Par où commencer ?
Si vous lisez cet article, c'est probablement que votre tenant Microsoft 365 a grandi sans cadre. La bonne nouvelle : il n'est jamais trop tard pour structurer les choses. La mauvaise : plus vous attendez, plus le nettoyage sera long.
La première étape est toujours un audit. Pas un audit théorique de 200 pages, mais un diagnostic concret qui identifie vos risques réels et vos gains rapides.
Chez EFFI Consulting, nous réalisons des audits de gouvernance Microsoft 365 adaptés aux PME et ETI. En quelques jours, nous vous livrons un état des lieux complet de votre tenant avec un plan d'action priorisé. Si vous souhaitez en savoir plus, consultez nos offres d'accompagnement.