Votre DSI vient de découvrir qu'un responsable logistique a créé une application Power Apps utilisée par 15 personnes. Sans validation IT. Sans contrôle des données. Sans que personne ne soit au courant.
Première réaction : panique. Et si les données fuitent ? Et si l'application plante ? Et si elle utilise des connecteurs non autorisés ?
Deuxième réaction, plus intéressante : quelqu'un dans l'organisation a identifié un besoin, trouvé un outil, et construit une solution fonctionnelle. En quelques jours, sans budget, sans cahier des charges. C'est exactement le type d'initiative que la plupart des entreprises rêvent de voir émerger.
Le shadow IT sur la Power Platform est à la fois un risque réel et un signal positif. Tout l'enjeu est de passer de l'un à l'autre sans tuer l'initiative.
Pourquoi le shadow IT explose avec la Power Platform
La Power Platform est conçue pour être accessible aux utilisateurs métier. C'est sa force, et c'est aussi ce qui crée le phénomène. Avec un abonnement Microsoft 365 standard, n'importe quel collaborateur peut :
- Créer une application Power Apps
- Automatiser un processus avec Power Automate
- Construire un tableau de bord Power BI
- Déployer un chatbot avec Copilot Studio
Aucune intervention IT nécessaire. Aucune demande de budget. L'outil est déjà là, dans le menu des applications Microsoft 365.
Résultat : dans les organisations qui n'ont pas mis en place de gouvernance, on découvre régulièrement des dizaines d'applications et de flux créés par des utilisateurs métier, sans inventaire, sans documentation, sans contrôle des données manipulées.
Les vrais risques (et ceux qui sont surestimés)
Tous les risques liés au shadow IT ne se valent pas. Voici ceux qui méritent réellement votre attention :
Les risques sérieux
Les données qui sortent du périmètre autorisé. Un flux Power Automate peut envoyer des données vers Gmail, Dropbox, ou n'importe quel service cloud externe. Si un collaborateur crée un flux qui copie des données clients vers son Google Drive personnel, c'est un problème de conformité RGPD réel.
Les connexions avec des comptes personnels. Quand un maker utilise son propre compte pour connecter un flux à un service externe, la connexion est liée à son identité. Le jour où il quitte l'entreprise, le flux s'arrête. Et personne ne sait pourquoi.
L'absence de gestion des erreurs. Un flux créé sans formation plante silencieusement. Les données ne sont plus synchronisées, les notifications ne partent plus, mais personne ne le remarque pendant des semaines.
Les risques surestimés
"Ils vont casser le tenant Microsoft 365." Non. La Power Platform est sandboxée. Un utilisateur avec des droits standard ne peut pas impacter l'infrastructure. Le périmètre de ce qu'il peut faire est limité à ce que ses licences et ses droits d'accès autorisent.
"Les applications vont consommer toutes nos ressources." Les limites de capacité sont gérées au niveau du tenant. Une application Power Apps d'un maker ne va pas faire tomber votre environnement de production Dynamics 365.
"C'est un problème de sécurité majeur." Dans la majorité des cas, les applications shadow IT manipulent des données qui étaient déjà dans des fichiers Excel partagés sur un OneDrive personnel. La Power Platform est en réalité plus sécurisée que ce qu'elle remplace.
Trois leviers pour reprendre le contrôle
1. Les politiques DLP (Data Loss Prevention)
C'est le premier levier à activer, et le plus immédiat. Les politiques DLP de la Power Platform vous permettent de classer les connecteurs en trois catégories :
- Business : les connecteurs autorisés pour les données d'entreprise (SharePoint, Outlook, Teams, Dataverse)
- Non-business : les connecteurs pour les données personnelles (Gmail, Dropbox, Twitter)
- Bloqués : les connecteurs interdits
Une fois la politique en place, un flux ne peut plus mélanger des connecteurs des catégories Business et Non-business. Concrètement, il devient impossible de créer un flux qui envoie des données SharePoint vers Gmail. Le flux est bloqué à la création.
La mise en place prend moins d'une heure. L'impact est immédiat.
2. La stratégie d'environnements
Par défaut, tout le monde travaille dans le même environnement Power Platform. C'est comme si tous vos développeurs travaillaient directement en production.
La bonne pratique est de créer des environnements séparés :
- Un environnement par défaut limité pour l'expérimentation (avec des DLP strictes)
- Un environnement de développement pour les makers identifiés
- Un environnement de production pour les applications validées par l'IT
Cette séparation permet aux makers de continuer à expérimenter librement, tout en protégeant les applications critiques dans un environnement contrôlé.
3. Le Centre d'Excellence (CoE)
Microsoft fournit un kit gratuit appelé CoE Starter Kit qui s'installe dans votre tenant et vous donne une visibilité complète sur l'usage de la Power Platform :
- Combien d'applications existent dans votre organisation
- Qui les a créées et quand
- Combien de personnes les utilisent
- Quels connecteurs sont utilisés
- Quels flux sont en erreur
C'est votre tableau de bord de gouvernance. Sans ce kit, vous pilotez à l'aveugle. Avec lui, vous pouvez identifier les applications les plus utilisées (celles qui méritent d'être officialisées) et celles qui posent problème (celles qui utilisent des connecteurs non autorisés ou qui n'ont pas de propriétaire identifié).
De l'interdiction à l'accompagnement
La tentation est grande d'interdire purement et simplement la création d'applications par les utilisateurs métier. C'est la pire approche. Vous allez tuer l'innovation et les utilisateurs trouveront d'autres moyens moins contrôlables (macros Excel, outils SaaS externes, scripts personnels).
L'approche qui fonctionne est de poser un cadre clair :
- Identifier les makers dans chaque service et les former (les bonnes pratiques, les conventions de nommage, la documentation)
- Définir un processus de promotion : quand une application dépasse un certain nombre d'utilisateurs ou manipule des données sensibles, elle passe par une revue IT avant d'aller en production
- Mettre en place un support : un canal Teams dédié où les makers peuvent poser leurs questions et où l'IT peut suivre ce qui se crée
Cette approche ne nécessite pas de recruter. Un administrateur Power Platform formé peut gérer la gouvernance d'une organisation de 500 personnes en y consacrant quelques heures par semaine.
Par où commencer ?
Si vous n'avez encore rien mis en place, voici l'ordre de priorité :
- Activez une politique DLP sur votre environnement par défaut. C'est la mesure la plus rapide et la plus impactante.
- Installez le CoE Starter Kit pour avoir une photographie de l'existant. Vous serez probablement surpris par le nombre d'applications et de flux déjà créés.
- Identifiez vos makers les plus actifs et proposez-leur une formation pour structurer leurs pratiques.
- Sensibilisez la direction aux enjeux de gouvernance avec une session dédiée.
Chez EFFI Consulting, nous accompagnons les organisations dans la mise en place de cette gouvernance, de l'audit initial à la formation des équipes IT et des décideurs. Notre approche : sécuriser sans brider, contrôler sans interdire.