L’acquisition de C1.ai par Workday fait des données RH un point de contrôle des identités

Workday a signé un accord définitif pour acquérir C1.ai après que l’entreprise de sécurité des identités a levé 111 millions de dollars. L’acquisition de C1.ai par Workday cible un écart grandissant entre l’adoption de l’IA en entreprise et les contrôles qui régissent les ressources auxquelles les agents peuvent accéder.

Anciennement appelée ConductorOne, C1.ai gère les accès des employés, des identités logicielles et des agents autonomes. Workday prévoit de relier ces contrôles aux données de personnel et d’organisation déjà stockées sur sa plateforme.

Cette stratégie place Workday face à des spécialistes de la gouvernance des identités tels que SailPoint, Saviynt, Microsoft et Okta. Elle soulève également une question difficile pour les acheteurs en entreprise. Le système qui enregistre les changements d’emploi devrait-il aussi contrôler l’accès aux applications, aux données et aux infrastructures ?

Cette question fait de l’opération bien plus qu’une acquisition supplémentaire dans le logiciel d’entreprise. Workday souhaite transformer les événements RH en événements de sécurité, étendant son rôle de l’enregistrement des changements organisationnels à l’application de leurs conséquences.

L’acquisition de C1.ai par Workday relie les événements RH aux accès

Workday acquiert une couche d’application capable de traduire les changements dans les effectifs en autorisations applicatives.

Workday a annoncé l’accord définitif le 13 octobre 2026. Les conditions financières n’ont pas été divulguées.

La transaction devrait être finalisée au cours du quatrième trimestre fiscal de Workday, qui se termine le 31 janvier 2027. Sa conclusion reste soumise aux conditions habituelles de clôture, y compris aux éventuelles autorisations réglementaires requises.

C1.ai a été fondée en 2020 par Alex Bovee et Paul Querna, tous deux anciens employés d’Okta. L’entreprise exerçait initialement sous le nom de ConductorOne et se concentrait sur la gouvernance des identités des collaborateurs.

Elle a adopté le nom C1.ai en avril 2026, à mesure que son périmètre produit évoluait vers les identités humaines et non humaines. Cette catégorie inclut les comptes de service, les charges de travail logicielles et les agents IA opérant au sein des systèmes d’entreprise.

C1.ai avait levé 111 millions de dollars avant l’accord d’acquisition, selon les reportages initiaux résumés par Techmeme. Son plus important tour annoncé était un financement de 79 millions de dollars en octobre 2025.

L’entreprise affirme que sa plateforme se connecte à la messagerie, aux logiciels de gestion de la relation client, aux dépôts de code, aux applications financières et aux infrastructures cloud. Elle peut accorder des accès, appliquer des politiques, exiger une approbation humaine et conserver des traces des actions.

La gouvernance des identités consiste à déterminer qui peut accéder à un système, pourquoi cet accès est justifié et à quel moment il doit prendre fin. Les programmes traditionnels reposent souvent sur des tickets, des campagnes d’approbation et des revues d’accès planifiées.

Workday voit une occasion de remplacer une partie de ce flux de travail par des contrôles pilotés par les événements. Une embauche, un changement de poste, une mutation ou un départ créent déjà un événement dans Workday.

Dans le cadre de l’intégration proposée, ces événements pourraient déclencher des modifications d’autorisations dans les systèmes connectés. Un employé quittant l’entreprise pourrait perdre immédiatement ses accès, tandis qu’un employé muté pourrait recevoir les autorisations associées à son nouveau poste.

Le même modèle s’appliquerait aux agents IA. Un agent pourrait recevoir un accès limité lorsqu’une tâche lui est attribuée, puis perdre cet accès une fois la mission terminée.

Le PDG de C1.ai, Alex Bovee, a présenté l’acquisition sous l’angle de ce changement dans son récit de fondateur. Il a fait valoir que les agents opèrent en continu dans les systèmes d’entreprise et ne peuvent pas dépendre de revues d’accès trimestrielles.

L’opération réunit donc deux plans de contrôle distincts. Workday enregistre le contexte organisationnel, tandis que C1.ai fournit les mécanismes permettant de traduire ce contexte en autorisations.

Cette connexion crée la tension centrale de l’acquisition. Workday peut réduire le délai entre un changement organisationnel et une mise à jour des accès, mais elle concentre aussi davantage d’autorité dans une seule plateforme.

Les agents IA ont dépassé le modèle d’accès des employés

Les agents IA créent des identités plus vite que les équipes de gouvernance conventionnelles ne peuvent les examiner et les gérer.

L’accès des employés présente des limites reconnaissables. Une personne rejoint l’organisation, reçoit un rôle, change de responsabilités puis finit par partir.

Un agent IA ne suit pas ce cycle de vie stable. Une équipe de développement peut créer un agent pour un projet temporaire, le copier pour un autre flux de travail ou le connecter à plusieurs systèmes.

Certains agents agissent pour le compte d’un employé nommé. D’autres opèrent au moyen d’identifiants partagés ou de comptes de service, ce qui rend la responsabilité plus difficile à retracer.

Un utilisateur humain marque généralement des pauses entre ses actions. Un agent peut exécuter des opérations répétées dans la messagerie, le code source, les dossiers financiers et les données clients sans attendre une nouvelle instruction.

Cette vitesse modifie l’impact d’une autorisation trop large. Un accès excessif accordé à un employé est dangereux, mais un agent peut exercer la même autorisation plus fréquemment et sur davantage d’enregistrements.

Les organisations peinent également à établir une propriété claire. Les équipes de sécurité doivent savoir qui a approuvé un agent, quel service l’exploite et ce qu’il advient lorsque son projet initial prend fin.

Workday a cité une étude de C1.ai affirmant que 95 % des grandes entreprises américaines utilisent déjà des agents autonomes. Ce chiffre provient de l’entreprise en cours d’acquisition ; les lecteurs devraient donc le considérer comme une conclusion financée par un fournisseur.

Des recherches indépendantes étayent néanmoins la préoccupation plus large liée à la gouvernance. Une enquête mondiale auprès de 3 235 dirigeants technologiques et métiers a révélé que seuls 21 % déclaraient disposer d’une gouvernance mature de l’IA agentique.

La même étude sur la gouvernance a identifié l’absence de limites, de systèmes de surveillance et de pistes d’audit parmi les faiblesses courantes. Ces contrôles sont importants lorsque les agents peuvent prendre des décisions sans demander d’approbation pour chaque action.

La réponse de Workday commence par l’enregistrement. Son Agent System of Record est conçu pour cataloguer les agents, identifier leurs propriétaires et documenter leurs rôles.

Un registre seul ne peut pas empêcher les accès non autorisés. Il peut montrer qu’un agent existe sans contrôler les ressources auxquelles il peut accéder.

C1.ai doit ajouter cette couche d’application. Une fois un agent enregistré, des politiques pourraient définir les applications auxquelles il peut accéder et les actions qui requièrent une approbation humaine.

Prenons l’exemple d’un agent de comptabilité fournisseurs qui lit des factures et prépare des transactions. Il peut avoir besoin d’accéder à une boîte de réception, à une base de données fournisseurs et à certains dossiers financiers.

Il ne devrait pas recevoir automatiquement toutes les autorisations détenues par l’employé des finances qui le supervise. L’agent a besoin de sa propre identité, d’un accès plus restreint et d’un enregistrement de chaque action.

Cette distinction est importante, car l’autorité déléguée n’est pas identique à l’autorité d’un employé. Un agent peut agir pour une personne sans hériter de tous les privilèges attribués à cette personne.

Les accès doivent également expirer. Un agent temporaire de rapprochement ne devrait pas conserver ses identifiants une fois le projet de rapprochement terminé.

Ce cycle de vie a été difficile à gérer au moyen des files de tickets conventionnelles. Les tickets dépendent de personnes capables de remarquer chaque événement de création, de réattribution et de retrait.

Workday parie que les informations de cycle de vie déjà présentes dans sa plateforme peuvent fournir de meilleurs déclencheurs. L’événement pertinent pourrait concerner une personne, un agent, un projet ou l’évolution d’un rôle métier.

Ce modèle ne fonctionnera que si les données sous-jacentes restent exactes. L’automatisation peut accélérer les bonnes décisions d’accès, mais elle peut aussi propager des rôles erronés et des informations de propriété obsolètes.

Les organisations ont toujours besoin de politiques claires et de réviseurs responsables. L’acquisition change la manière dont les politiques peuvent être appliquées ; elle ne détermine pas quelles devraient être ces politiques.

Workday veut faire des données RH un déclencheur de sécurité

L’opération transforme la position de Workday dans les RH en un avantage potentiel face aux fournisseurs spécialisés dans la gouvernance des identités.

Workday sait déjà quand de nombreux employés rejoignent l’entreprise, sont mutés, reçoivent une promotion, changent de responsable ou partent. Ces données fournissent un contexte que les systèmes de sécurité obtiennent souvent par le biais d’intégrations.

C1.ai pourrait permettre à Workday d’agir directement sur ce contexte. Cette combinaison réduit la distance entre le système qui enregistre un changement et celui qui applique les accès.

Une promotion illustre le mécanisme. Workday enregistre le nouveau rôle de l’employé, sa ligne hiérarchique et sa date d’effet.

C1.ai pourrait comparer ces informations aux politiques d’accès, accorder les autorisations requises par le nouveau poste et supprimer celles liées à l’ancien.

Le même flux de travail pourrait couvrir les prestataires. Les accès pourraient commencer à la date d’effet du contrat et expirer automatiquement à la fin de la mission.

Pour les agents IA, le contexte pertinent pourrait inclure un propriétaire, un service, un objectif approuvé et une période d’exploitation. Les politiques pourraient limiter l’agent aux applications nécessaires à cet objectif.

Cette approche diffère d’un traitement de l’identité comme simple entrée statique d’annuaire. Elle relie les autorisations aux événements métier et aux relations organisationnelles en évolution continue.

Workday qualifie sa plateforme de système de référence pour les personnes, l’argent et les agents. L’acquisition vise à étendre cette position à l’application des identités dans les applications tierces.

Cette extension compte parce qu’un agent IA reste rarement dans l’environnement d’un seul fournisseur. Il peut lire des données Workday, envoyer des messages sur une autre plateforme, inspecter du code et mettre à jour un système financier distinct.

Le contrôle de ce flux de travail exige des connecteurs et une application fiable des politiques en dehors de Workday. La valeur de C1.ai dépend donc en partie de l’étendue et de la profondeur de ses intégrations.

L’acquisition s’inscrit également dans une stratégie plus large de Workday. L’entreprise a acquis Flowise afin d’ajouter des outils de création et de gestion d’agents.

Workday a présenté l’acquisition de Flowise comme un moyen pour ses clients et partenaires de créer des agents sur sa plateforme. Elle a également développé des capacités d’IA pour le recrutement, l’apprentissage, la recherche de connaissances et les tâches au travail.

C1.ai fournit une couche de contrôle manquante dans ce portefeuille. La création d’agents accroît le besoin de les inventorier, de leur attribuer un propriétaire et de limiter leurs accès.

La pile qui en résulte suit une séquence logique. Un produit aide à créer un agent, un autre l’enregistre, et C1.ai gouverne ses autorisations.

Pour les acheteurs en entreprise, l’attrait réside dans la simplicité opérationnelle. Un seul événement organisationnel pourrait mettre à jour les dossiers d’emploi, la propriété des agents et les accès aux systèmes.

Cette promesse augmente aussi la dépendance à la qualité des données Workday. Un code de poste erroné ou un enregistrement de départ tardif pourrait produire une décision d’accès incorrecte dans plusieurs systèmes.

La revue humaine demeure essentielle pour les autorisations sensibles. Les accès à haut risque aux systèmes financiers, aux infrastructures de production ou aux dossiers confidentiels ne devraient pas dépendre uniquement des données de rôle.

La conception la plus robuste combinerait des mises à jour automatiques avec des exceptions de politique et des points de contrôle d’approbation. Les accès courants pourraient être accordés rapidement, tandis que les demandes inhabituelles ou privilégiées feraient l’objet d’un examen plus attentif.

Les travailleurs du savoir rencontrent un problème similaire dans les systèmes documentaires. Une base de connaissances consultable n’est utile que si ses autorisations préservent les limites autour des contenus sensibles.

Les agents d’IA rendent ces frontières plus importantes, car ils peuvent récupérer et combiner des informations provenant de nombreuses sources. Les contrôles d’identité doivent suivre les données, même lorsqu’un agent présente une réponse unifiée.

La stratégie de Workday ne consiste donc pas simplement à ajouter un produit de sécurité supplémentaire. L’entreprise veut que le contexte métier devienne le point de départ des décisions d’accès en entreprise.

SailPoint et les autres fournisseurs d’identité font désormais face à un rival natif des RH

Workday entre sur un marché où des fournisseurs établis gèrent déjà des identités complexes dans des environnements d’entreprise hétérogènes.

SailPoint, Saviynt, Microsoft Entra et Okta proposent tous des solutions de gouvernance des identités ou des contrôles d’accès connexes. CyberArk et d’autres fournisseurs d’accès privilégié régissent également les identités de machines sensibles.

Ces entreprises partent de l’infrastructure d’identité. Workday part des données sur les effectifs et l’organisation.

Cette différence définit l’essentiel de la concurrence. Les fournisseurs spécialisés mettent l’accent sur leur indépendance vis-à-vis des applications, annuaires, systèmes RH et fournisseurs cloud.

Workday peut soutenir que ses données offrent un contexte plus riche sur les rôles et les événements liés à l’emploi. L’entreprise peut également intégrer la gouvernance des identités aux produits déjà utilisés par les départements RH et finance.

Aucune de ces approches ne s’impose automatiquement. Les environnements d’identité des entreprises comprennent des annuaires historiques, des unités acquises, des sous-traitants, des partenaires et plusieurs systèmes RH.

Une multinationale peut utiliser Workday pour une grande partie de ses employés tout en conservant des plateformes distinctes dans ses filiales régionales. Elle peut aussi exploiter des applications dont les modèles d’autorisation ne correspondent pas clairement aux rôles professionnels.

Les fournisseurs d’identité spécialisés ont passé des années à développer des connecteurs et à prendre en charge ces environnements complexes. Workday et C1.ai doivent démontrer une couverture et une fiabilité comparables.

La conception de C1.ai axée sur l’automatisation donne à Workday un point d’entrée crédible. La startup a été conçue pour simplifier les demandes d’accès, les campagnes de certification, le provisionnement et la suppression des autorisations.

Ses produits centrés sur les agents répondent également à un problème plus récent que les acteurs historiques s’efforcent de résoudre. L’avantage dépendra de l’application effective des contrôles, et non du langage employé pour décrire la gouvernance de l’IA.

L’identité des agents devient une vaste catégorie concurrentielle. Les fournisseurs promettent de plus en plus la découverte, l’inventaire, l’autorisation déléguée, la gestion des identifiants et la surveillance comportementale.

Ces fonctions sont liées, mais ne sont pas interchangeables. Un catalogue montre quels agents existent, tandis que l’autorisation contrôle ce que chaque agent peut faire.

La gestion des identifiants protège les secrets utilisés pour accéder aux systèmes. La surveillance comportementale recherche les actions suspectes après l’octroi de l’accès.

C1.ai n’élimine pas le besoin de toutes ces couches. Les clients de Workday peuvent continuer à utiliser des produits distincts d’identité, d’accès privilégié, de sécurité cloud et de détection.

Cette réalité fait de l’interopérabilité un enjeu majeur. Les acheteurs voudront que les politiques et les registres d’audit fonctionnent entre les produits sans créer de sources de vérité contradictoires.

La concurrence portera également sur la neutralité. Une plateforme d’identité spécialisée peut affirmer qu’elle régit les accès sans favoriser un fournisseur particulier de RH ou d’applications.

Workday propose une autre approche. L’entreprise peut placer la gouvernance à proximité des données qui décrivent les employés, les responsables, les services et les changements organisationnels.

La portée de l’entreprise constitue un important canal de distribution. Workday indique que plus de 11 500 organisations utilisent ses produits, dont plus de 65 % des entreprises du Fortune 500.

Ces chiffres proviennent de Workday, mais ils montrent pourquoi les fournisseurs d’identité établis doivent prendre cette expansion au sérieux. Workday peut présenter les capacités de C1.ai lors de discussions déjà engagées avec ses clients.

La réponse des concurrents mettra probablement l’accent sur l’indépendance, l’étendue des connecteurs et la prise en charge des environnements hors Workday. Ils peuvent également approfondir leurs intégrations avec plusieurs plateformes RH.

Les acheteurs en entreprise devraient éviter de réduire leur décision à une liste de fonctionnalités. Les projets de gouvernance des identités réussissent ou échouent en fonction de la qualité des politiques, de l’exactitude des données, de la rigueur de mise en œuvre et d’une responsabilité durable.

Une interface de gouvernance des agents peut sembler complète tout en laissant des applications importantes hors de sa portée. Les acheteurs ont besoin de preuves que la révocation s’applique réellement dans les systèmes connectés.

Ils doivent également tester la manière dont le produit gère les exceptions. Les organisations réelles comportent des affectations temporaires, des accès d’urgence, des responsabilités partagées et des employés occupant plusieurs rôles simultanément.

L’acquisition de C1.ai par Workday offre aux acheteurs un récit contextuel convaincant. Son issue concurrentielle dépendra de l’exécution dans ces environnements complexes.

La centralisation du contrôle des identités crée un nouveau risque de concentration

Un plan de contrôle unifié peut supprimer les accès plus rapidement, mais les erreurs qui s’y produisent peuvent se propager plus loin.

Workday présente l’intégration comme une voie vers une gouvernance plus simple et plus cohérente. Cet avantage est plausible, en particulier lorsque les tickets manuels retardent les changements d’accès.

Toutefois, la centralisation modifie le profil de risque. Si un système influence le statut RH, l’enregistrement des agents et l’accès aux applications, une donnée erronée peut avoir des conséquences plus étendues.

Un événement de fin de contrat incorrect pourrait révoquer l’accès d’un employé toujours en poste. Un administrateur compromis pourrait potentiellement modifier les rôles qui déterminent les autorisations ailleurs.

Une politique défaillante pourrait accorder à un agent l’accès à davantage de systèmes que prévu. L’automatisation diffuserait alors l’erreur efficacement.

Les responsables de la sécurité devraient distinguer la source du contexte organisationnel de l’autorité finale sur les accès sensibles. Workday peut fournir des signaux précieux sans devenir l’unique décideur non contrôlé.

Une première évaluation indépendante est parvenue à une conclusion similaire. Elle soutenait que les organisations devraient conserver des contrôles d’identité spécialisés tout en intégrant C1.ai à Workday.

Cette recommandation reflète un principe de sécurité bien connu. Les décisions critiques sont plus sûres lorsque les organisations maintiennent des vérifications indépendantes et limitent la concentration des pouvoirs administratifs.

Workday cite lui-même les difficultés d’intégration parmi les risques liés à la transaction. L’entreprise indique également que les services et fonctions non publiés peuvent évoluer ou arriver plus tard que prévu.

Cette formulation est importante, car l’accord d’acquisition ne constitue pas une intégration produit achevée. Les clients devraient distinguer l’architecture annoncée des capacités actuellement disponibles.

Plusieurs questions pratiques restent sans réponse. Workday n’a pas communiqué le prix d’acquisition ni présenté un calendrier d’intégration complet.

L’entreprise n’a pas expliqué publiquement si C1.ai restera largement disponible en tant que plateforme autonome. L’avenir de la marque C1.ai reste également incertain.

Les clients extérieurs à l’écosystème Workday ont besoin de clarté sur le support produit et les priorités de la feuille de route. Ils voudront être assurés que les intégrations avec d’autres plateformes RH resteront correctement maintenues.

Les clients actuels de C1.ai devraient aussi demander comment les frontières des données évolueront. Les plateformes de gouvernance des identités traitent des informations sensibles sur les employés, les privilèges, les applications et les relations d’approbation.

La combinaison de ces données avec le contexte RH et financier de Workday crée une vision opérationnelle plus riche. Elle rend également les contrôles d’accès, la journalisation d’audit et la séparation administrative plus déterminants.

Une autre question non résolue concerne la façon dont Workday régira les agents qui n’ont pas de relation d’emploi simple. Certains agents servent un service, un flux de travail client ou un processus automatisé plutôt qu’un seul employé.

D’autres peuvent créer des sous-agents pour des tâches temporaires. La propriété et les autorisations héritées deviennent plus difficiles à suivre à mesure que ces relations se multiplient.

Un système fiable doit préserver une chaîne de responsabilité. Chaque agent devrait avoir un propriétaire responsable, un objectif défini, des ressources approuvées et une condition de fin.

La plateforme doit également gérer les identifiants avec soin. Donner à un agent l’accès par le biais de la session d’un utilisateur humain peut masquer quel acteur a réalisé une action.

Des identités distinctes améliorent l’attribution, mais elles créent davantage d’identifiants et de politiques à maintenir. Les identifiants à courte durée de vie réduisent l’exposition, tout en exigeant des systèmes fiables d’émission et de révocation.

C1.ai indique prendre en charge des accès délimités, des approbations humaines, des politiques appliquées et des journaux d’actions. Ces capacités sont pertinentes, mais les acheteurs devraient les vérifier dans leurs propres environnements.

Une preuve de concept devrait tester les actions refusées, et pas seulement les actions réussies. Elle devrait montrer si un agent reste bloqué lorsqu’il change d’outils ou suit un flux de travail inattendu.

Les acheteurs devraient également simuler des données obsolètes. Ils doivent savoir ce qui se passe lorsqu’un enregistrement de propriété, un groupe d’annuaire ou un connecteur d’application cesse de se mettre à jour.

Les registres d’audit doivent être compréhensibles par les enquêteurs humains. Un vaste flux de journaux techniquement complets offre peu de valeur si les examinateurs ne peuvent pas reconstituer qui a autorisé une action.

L’acquisition ne supprime pas ces problèmes de mise en œuvre. Elle augmente les enjeux en reliant une plus grande partie d’entre eux à la plateforme de Workday.

Ce que les acheteurs en entreprise devraient surveiller ensuite

La valeur de l’opération deviendra visible à travers l’intégration produit, la fidélisation des clients et les réponses concurrentielles, plutôt qu’à travers le langage de l’acquisition.

Le premier signal sera la feuille de route d’intégration de Workday avant la fin de la période de clôture prévue. Les acheteurs devraient rechercher des dates de disponibilité précises et des flux de travail pris en charge.

Une feuille de route significative expliquera comment les événements Workday déclenchent les politiques C1.ai dans les systèmes tiers. Elle devrait identifier les fonctions existantes aujourd’hui et celles qui dépendent de développements futurs.

Des informations détaillées sur les connecteurs seront importantes. Les affirmations concernant la gouvernance des accès en entreprise sont difficiles à évaluer sans savoir quelles applications prennent en charge le provisionnement, la révocation et les autorisations granulaires.

La feuille de route devrait également préciser comment l’Agent System of Record interagit avec C1.ai. L’enregistrement et la gouvernance doivent partager une identité cohérente sans devenir des systèmes administratifs redondants.

Des jalons techniques clairs renforceraient l’argument de Workday. Des jalons sans cesse retardés ou vaguement définis suggéreraient que l’architecture annoncée reste ambitieuse.

Le deuxième signal sera l’expérience des clients existants de C1.ai. La fidélisation révélera si l’acquisition élargit la plateforme ou la recentre autour des comptes Workday.

Les clients ont besoin de continuité en matière de support, d’intégrations, de contrats et de développement produit. Les organisations utilisant une autre plateforme RH surveilleront tout recul des investissements dans leurs connecteurs privilégiés.

Workday devrait préciser si C1.ai continue d’être proposé de manière autonome. Une option de déploiement neutre réduirait les craintes de consolidation forcée.

Les preuves fournies par les clients devraient inclure les résultats en matière d’accès, et pas seulement des flux de travail plus rapides. Les mesures utiles comprennent le délai de révocation, les comptes orphelins, les exceptions aux politiques et les revues d’accès non résolues.

Les déploiements d’agents d’IA exigent des preuves supplémentaires. Les acheteurs devraient demander combien d’agents reçoivent des identités distinctes et à quelle vitesse les autorisations inutilisées disparaissent.

Un nombre croissant d’agents enregistrés signifie peu si ces agents continuent d’opérer au moyen d’identifiants partagés d’employés. La qualité de l’identité importe davantage que la taille de l’inventaire.

Le troisième signal est la réponse de SailPoint, Saviynt, Microsoft, Okta et des fournisseurs d’accès privilégié. Leurs lancements de produits montreront si Workday a identifié une ouverture défendable.

Les concurrents peuvent affaiblir l’avantage de Workday en exploitant plus efficacement les événements RH tout en restant indépendants. Ils peuvent également renforcer les contrôles pour les agents dans plusieurs environnements cloud et applicatifs.

Surveillez les produits qui associent découverte, autorisation, émission d’identifiants et supervision comportementale. Un ensemble fragmenté de contrôles peut laisser des lacunes entre l’enregistrement et l’application des règles.

Le prix et le packaging influenceront également l’adoption, même si les limites techniques des fournisseurs comptent davantage que les offres de lancement. Les acheteurs doivent déterminer si la gouvernance des agents constitue un produit complet ou un module complémentaire à la portée limitée.

Le mot-clé principal finira par compter moins que le résultat mesurable. L’acquisition de C1.ai par Workday ne sera réussie que si les organisations peuvent révoquer plus rapidement les accès à risque sans créer une nouvelle autorité non contrôlée.

Les équipes d’entreprise devraient commencer par cartographier leurs points de contrôle actuels. Elles doivent identifier l’origine des événements RH, les systèmes qui les traduisent en autorisations et les personnes qui approuvent les exceptions.

Elles doivent ensuite documenter chaque agent de production, son responsable, ses identifiants et les ressources auxquelles il est autorisé à accéder. Les identités inconnues ou partagées devraient être traitées en priorité, car elles affaiblissent la responsabilisation.

Évaluez les futurs produits issus de l’acquisition à l’aune de cette cartographie lorsque Workday publiera les détails de mise en œuvre. Demandez-vous si la plateforme combinée comble une véritable lacune de contrôle ou si elle ne fait que la déplacer.

Workday démontrera-t-il que le contexte organisationnel peut améliorer l’application des règles d’identité dans des systèmes d’entreprise hétérogènes ? Les responsables de la sécurité et de l’informatique devraient exiger des preuves au moyen de tests d’actions refusées, d’exercices de révocation et de pistes d’audit lisibles avant de centraliser le contrôle.