Logiciel de revue des accès : automatiser vos revues et comparer C1, Zluri, Lumos et Corma

Pour les responsables IT et sécurité d'ETI et de PME (50 à 1 000 salariés) qui préparent un audit ISO 27001, SOC 2 ou NIS2, pas pour les grands groupes.

Un logiciel de revue des accès est un outil qui collecte qui a accès à quoi dans votre fournisseur d'identité et vos applications SaaS, envoie chaque droit au bon valideur et enregistre chaque décision de maintien ou de retrait comme preuve d'audit. Parmi les quatre outils les plus souvent présélectionnés en 2026, C1 (ex-ConductorOne) et Lumos sont des plateformes de sécurité des identités qui s'étendent aux agents IA et aux très grands programmes, Zluri ajoute un module de SaaS management à sa plateforme de sécurité des identités, et Corma combine découverte des applications et revues d'accès et héberge les données dans l'UE. Pour une ETI ou une PME, trois critères départagent : la couverture des applications hors SSO, le lieu d'hébergement des données de revue, et la suppression effective de l'accès quand un valideur le retire.

Mis à jour le 30 septembre 2026. Les informations sur les éditeurs ont été vérifiées sur leurs sites à cette date.

Qu'est-ce qu'un logiciel de revue des accès ?

Un logiciel de revue des accès est un outil de gouvernance qui automatise le contrôle périodique de qui peut accéder à quelle application, pour que chaque droit corresponde toujours au poste actuel de la personne. Il remplace l'export Excel que les managers reçoivent chaque trimestre, parcourent en diagonale et valident en bloc.

La pratique porte plusieurs noms. On parle aussi de revue des habilitations (le terme de la CNIL), de certification des accès, de recertification ou de revue des droits. Le fonctionnement reste le même :

• Collecter les données d'accès dans le fournisseur d'identité (Google Workspace, Microsoft Entra ID, Okta, JumpCloud), le SIRH et les applications SaaS elles-mêmes.
• Affecter les valideurs par règle : le manager pour les accès standards, le propriétaire de l'application pour les systèmes sensibles.
• Enregistrer les décisions (maintenir, retirer, modifier) avec l'horodatage et le nom du valideur.
• Exécuter les retraits dans l'application cible au lieu d'ouvrir un ticket.
• Produire la preuve qu'un auditeur accepte : qui a revu quoi, quand, et ce qui a changé.

L'objectif est le moindre privilège dans la durée. Sans revue régulière, les collaborateurs accumulent des droits à chaque changement d'équipe (la dérive des privilèges), et les partants gardent des comptes dans les applications que personne n'a reliées au SSO. Ce sont ces droits excessifs qui transforment un compte hameçonné ou une menace interne en fuite de données.

Quel logiciel de revue des accès pour une ETI ou une PME : C1, Zluri, Lumos ou Corma ?

Pour une entreprise de 50 à 1 000 salariés, Corma et Zluri sont les plus proches de votre taille, car ils gèrent aussi les licences et les dépenses SaaS, tandis que C1 et Lumos sont des plateformes de sécurité des identités dont le périmètre s'étend aux très grands programmes, aux agents IA et aux identités non humaines. Le tableau compare les quatre outils sur ce que chaque éditeur publie.

Transparence : nous éditons Corma. Chaque information sur C1, Zluri et Lumos renvoie au site de l'éditeur concerné, vérifié le 30 septembre 2026, pour que vous puissiez la contrôler avant une démo.

C1 (ex-ConductorOne) : pour les grands programmes qui gouvernent aussi des agents IA

C1 a changé de nom le 6 avril 2026. Son annonce commence par « Aujourd'hui, ConductorOne devient C1.ai » (notre traduction), et beaucoup de comparatifs le citent encore sous l'ancien nom. Les revues d'accès se trouvent dans le module C1 Comply, à côté de la détection des conflits de séparation des tâches (SoD) et de la remédiation. La plateforme vend aussi une passerelle LLM, une passerelle MCP et un coffre-fort de secrets : elle s'adresse aux équipes sécurité qui gouvernent des humains et des agents IA à grande échelle.

Points de vigilance : C1 s'adresse aussi aux PME et ETI, mais sa plateforme embarque bien plus que les revues : demandez un devis limité au module Comply. Les déploiements commerciaux actuels de C1 tournent dans l'environnement américain : si vous exigez un hébergement dans l'UE, demandez l'environnement européen par écrit.

Zluri : pour réunir revues d'accès et dépenses SaaS

Zluri se présente comme une plateforme de sécurité des identités, avec gouvernance des identités, gestion de la posture de sécurité des identités et un module de SaaS management (découverte, dépenses, renouvellements). Son offre de revues met en avant les modèles récurrents, les indicateurs de risque contextuels et la remédiation en boucle fermée, et son trust center affiche SOC 2, ISO 27001 et ISO 27701.

Points de vigilance : le trust center de Zluri liste AWS aux États-Unis parmi ses sous-traitants, et sa politique de confidentialité indique que les données personnelles collectées sont « stockées et traitées en Inde, ou là où nous ou nos partenaires, affiliés et prestataires disposons d'installations » (notre traduction). Si la résidence des données dans l'UE est une exigence, obtenez les conditions de traitement par écrit. Notre comparatif détaillé Corma vs Zluri va plus loin sur le volet SaaS management.

Lumos : pour les grands groupes qui veulent des revues pilotées par agents IA

Lumos s'adresse aux entreprises « des scale-ups aux groupes de plus de 100 000 salariés » (notre traduction) et mène les revues sur les droits fins de l'IdP, du SIRH, de l'ITSM, du SaaS, du cloud et de l'on-premise. Son agent IA, Albus, valide les étapes de la revue et produit des rapports au format SOC 2, SOX et ISO 27001. Son trust center affiche SOC 2 Type II et ISO 27001.

Points de vigilance : Lumos ne publie pas de prix, et son trust center liste AWS aux États-Unis comme sous-traitant d'infrastructure cloud : prix et localisation des données sont à régler pendant le cycle de vente. Consultez le comparatif Corma vs Lumos pour le détail du périmètre.

Corma : pour les ETI et PME qui veulent découverte, revues et hébergement UE réunis

Corma est une plateforme européenne de gouvernance des licences et des accès qui collecte les données d'accès de toutes vos applications SaaS et associe les revues à la découverte des applications, avec une extension navigateur qui repère les outils jamais reliés au SSO. Les données sont hébergées dans des centres de données AWS situés dans l'UE. C'est le seul des quatre éditeurs à publier un prix d'entrée sur sa grille tarifaire : l'offre Essentiel démarre à 3 € par utilisateur pour la visibilité et le contrôle des dépenses, et les revues d'accès automatisées font partie de l'offre Pro, chiffrée après une démo.

Moins adapté : les programmes de plusieurs dizaines de milliers d'identités qui exigent des règles de séparation des tâches dans un ERP comme SAP relèvent plutôt d'une suite IGA de grand compte.

L'hébergement des données dans l'UE distingue-t-il encore les éditeurs ?

En partie seulement. C1 propose désormais un environnement européen, donc « hébergé dans l'UE » ne sépare plus à lui seul les éditeurs européens et américains. Ce qui les distingue encore : l'hébergement UE est-il le choix par défaut, couvre-t-il l'accès du support et les sous-traitants, et l'éditeur l'affiche-t-il publiquement ?

Voici ce que chaque éditeur publie. C1 décrit trois environnements d'hébergement, dont une offre « Commercial EU » où les données du client sont conservées dans l'UE, sur AWS Francfort avec l'Irlande pour la reprise d'activité. Le trust center de Zluri liste AWS comme sous-traitant situé aux États-Unis, et Zluri adhère au EU-U.S. Data Privacy Framework pour les transferts. Le trust center de Lumos liste Amazon Web Services aux États-Unis comme sous-traitant d'infrastructure cloud, et sa politique de confidentialité traite des transferts hors de l'EEE. La page sécurité et hébergement de Corma indique que les serveurs web et les bases de données fonctionnent dans des centres de données sécurisés situés dans l'Union européenne.

Les données de revue sont sensibles en elles-mêmes : elles listent chaque salarié, chaque application et chaque droit, soit une carte de votre surface d'attaque. La question de l'hébergement a donc sa place dans la présélection, pas seulement dans la relecture du contrat. Aucun des cinq guides les mieux classés sur « user access review software » ne parle de résidence des données : les acheteurs la découvrent souvent au moment des achats.

Posez ces cinq questions par écrit à chaque éditeur :

1. Où sont stockées les données par défaut, et peuvent-elles être fixées dans l'UE sans surcoût ?
2. Quels sous-traitants traitent les données de revue, et dans quels pays ?
3. Depuis quels pays les équipes de support accèdent-elles aux données clients ?
4. Quel mécanisme de transfert s'applique à tout traitement hors UE (clauses contractuelles types, EU-U.S. Data Privacy Framework) ?
5. Pouvez-vous exporter la piste d'audit complète, décisions et horodatages compris, si vous partez ?

Que doit automatiser un bon logiciel de revue des accès ?

Un bon logiciel de revue des accès automatise tout sauf la décision : collecte des données, affectation des valideurs, relances, retrait des droits et preuves. Beaucoup d'outils étiquetés « revue d'accès » sont des tableaux de bord qui listent les droits et vous laissent le travail difficile. Évaluez les éditeurs avec cette grille.

La remédiation en boucle fermée mérite une attention particulière. Signaler un accès ne le supprime pas, et un retrait qui finit en ticket oublié explique pourquoi des comptes orphelins survivent au déprovisionnement. Demandez à chaque éditeur de montrer, pendant la démo, un clic de retrait qui supprime un vrai compte.

Pourquoi les revues d'accès oublient-elles les applications hors de votre fournisseur d'identité ?

Une revue ne peut certifier que les comptes qu'elle voit, et un fournisseur d'identité ne voit que les applications reliées au SSO. Tout le reste échappe à la campagne, et les accès non autorisés y passent inaperçus : outils payés avec une carte d'entreprise, offres gratuites, assistants IA ouverts dans le navigateur. Inutile d'attendre qu'un écart apparaisse : si votre revue ne couvre que les applications SSO, l'écart existe déjà.

Son ampleur surprend presque toujours. Satelia, healthtech bordelaise spécialisée dans la télésurveillance des patients atteints de maladies cardiaques, devait disposer d'une vue claire et auditable de ses outils SaaS pour obtenir les certifications ISO 27001 et SOC 2. Ses rapports manuels recensaient 30 applications. Corma en a fait apparaître plus de 160, soit plus de cinq fois plus. Cette visibilité a répondu aux exigences de certification et a aussi révélé des abonnements redondants, comme Notion, Google Drive et Confluence utilisés pour le même usage.

Chez Apgar, le déclencheur était le shadow IT et le shadow AI utilisés via le navigateur. Corma détecte désormais ces applications, automatise l'optimisation des licences et mène les revues d'accès dont l'entreprise a besoin pour ISO 27001.

Aucun des cinq guides les mieux classés sur cette requête n'explique qu'une campagne ne couvre que les applications reliées au SSO : le shadow IT n'y apparaît que comme fonctionnalité d'éditeur. C'est pourtant là qu'une plateforme de découverte et de gestion SaaS change le résultat d'une revue : la campagne part de la liste réelle des applications, pas de celle que l'IT a connectée.

Comment automatiser les revues d'accès et les campagnes de certification sans validation à l'aveugle ?

Il faut automatiser les six étapes qu'un valideur ferait sinon à la main : inventaire, attribution des responsables, cadrage, revue avec contexte, remédiation et preuve. La validation à l'aveugle cesse quand le valideur voit la dernière connexion, le poste et les changements récents à côté de chaque droit, et quand un clic de retrait supprime l'accès au lieu d'ouvrir un ticket.

La pression augmente parce que les droits se multiplient plus vite que les équipes ne peuvent les vérifier. Héloïse Rozès, cofondatrice et CEO de Corma, le résumait en décembre 2025 : « les risques de fuite de données et d'abus d'accès augmentent chaque jour avec l'essor du Shadow AI et la prolifération générale des droits » (traduit de l'anglais). Un tableur de 400 lignes sans contexte ne suit pas ce rythme, une campagne structurée si.

Une campagne de certification des accès est une revue planifiée et cadrée au cours de laquelle les valideurs attestent un ensemble défini de droits. Voici le déroulé que les meilleurs logiciels automatisent :

1. Inventorier les accès. Construire une liste complète et à jour des utilisateurs et de leurs droits sur tous les systèmes, y compris les applications SaaS hors du fournisseur d'identité.
2. Désigner les responsables. Nommer qui atteste chaque ressource : le manager pour les accès standards, le propriétaire de l'application ou des données pour les systèmes sensibles.
3. Cadrer la campagne. Choisir la population et la fréquence, isoler les accès à privilèges, et fixer les événements (changement de poste, mutation, départ) qui déclenchent une revue ciblée.
4. Revoir avec le contexte. Les valideurs voient la dernière connexion, le poste et les changements depuis le dernier cycle, puis maintiennent, modifient ou retirent. Les relances ciblent ceux qui n'ont pas répondu.
5. Remédier et vérifier. Les retraits sont exécutés dans l'application cible et confirmés, pas seulement consignés. C'est l'étape que les processus manuels sautent le plus souvent.
6. Documenter et signer. L'outil conserve la piste d'audit (valideur, décision, horodatage, remédiation) et la certification formelle. C'est le dossier que vous remettez à l'auditeur.

Un logiciel justifie son budget en exécutant seul les étapes 1, 3, 4, 5 et 6, et en transformant l'étape 2 en règle plutôt qu'en tableur tenu à la main. Trois types de campagnes couvrent la plupart des besoins : une campagne périodique sur tous les accès, une campagne plus serrée sur les comptes à privilèges, et des revues déclenchées quand quelqu'un change de poste ou part.

Que faut-il mettre en place avant d'automatiser les revues d'accès ?

L'automatisation amplifie vos processus, bons ou mauvais. Un utilisateur d'une entreprise industrielle l'a souligné sur Gartner Peer Insights en juillet 2026 : l'outil donne le meilleur de lui-même quand la responsabilité des systèmes, la définition des rôles, l'approbation des accès et les départs sont déjà maîtrisés, et la correspondance des rôles demande du soin avant de faire confiance aux décisions automatisées. C'est aussi ce que nous observons lors des déploiements. Vérifiez cinq points d'abord :

• Un propriétaire par application, nommé dans l'outil, qui répond des accès sensibles.
• Une source de vérité pour les rôles, en général le SIRH, pour que service, manager et règles de contrôle d'accès basé sur les rôles (RBAC) restent à jour.
• Une règle d'approbation écrite sur qui peut accorder quoi, pour que les valideurs connaissent la référence.
• Une procédure de départ pour les applications hors SSO, car le retrait y passe souvent par une API ou une tâche.
• Le format de preuve accepté par votre auditeur, convenu avant la première campagne plutôt qu'après.

À quelle fréquence réaliser les revues d'accès ?

Revoyez les accès à privilèges et sensibles chaque trimestre, les accès SaaS standards tous les six à douze mois, et déclenchez une revue supplémentaire à chaque changement de poste ou départ. Hors secteur financier, aucun règlement européen ne fixe la fréquence : inscrivez-la dans votre politique de contrôle d'accès et respectez-la.

Les guides les mieux classés se contredisent sur ce point. SecurEnds affirme que les organisations doivent mener leurs revues « au moins une fois par trimestre » (notre traduction), quand Ping Identity présente les rythmes trimestriel, semestriel ou annuel comme courants. Les textes de référence tranchent, et aucun de ces deux guides ne cite le seul texte qui fixe des chiffres.

• La CNIL recommande un minimum. Dans sa fiche « Gérer les habilitations », la CNIL préconise de « réaliser une revue régulière, a minima annuelle, des habilitations », et d'y impliquer les métiers. C'est une recommandation, pas une obligation légale.
• DORA fixe des fréquences pour le secteur financier. L'article 21 du règlement délégué (UE) 2024/1774, qui complète DORA, impose « la mise à jour des droits d'accès lorsque des modifications sont nécessaires et au moins une fois par an pour tous les systèmes de TIC autres que les systèmes de TIC qui soutiennent des fonctions critiques ou importantes et au moins tous les six mois pour les systèmes de TIC qui soutiennent des fonctions critiques ou importantes ». Les entités soumises au cadre simplifié (article 33) doivent réexaminer les droits d'accès « périodiquement ».
• NIS2 n'en fixe aucune. L'article 21, paragraphe 2, point i) de la directive NIS2 exige « des politiques de contrôle d'accès » sans préciser d'intervalle.

Le rythme trimestriel est donc une bonne pratique pour les accès à risque, pas une obligation générale, et « une fois par an suffit » est faux pour tout système soumis à DORA qui soutient une fonction critique.

Quelles réglementations et quels référentiels imposent des revues d'accès ?

ISO 27001, SOC 2, NIS2, DORA et le RGPD attendent tous que les accès soient maîtrisés et contrôlés dans le temps, mais seul DORA fixe des fréquences, et uniquement pour les entités financières. Le tableau montre ce que chaque texte demande réellement.

Une nuance compte pour les entreprises françaises. Certains guides d'éditeurs, comme cet article de Lumos, affirment que le RGPD impose aux organisations de « valider et documenter régulièrement les accès des utilisateurs » (notre traduction). Le texte du règlement est plus étroit : il demande une procédure qui teste régulièrement l'efficacité des mesures de sécurité. La revue des accès est l'un des meilleurs moyens de prouver cette procédure, et la CNIL la recommande explicitement, mais le RGPD ne la nomme pas. Pour le volet audit en détail, lisez notre feuille de route des revues d'accès pour la conformité ISO 27001.

Pourquoi Corma pour automatiser vos revues d'accès

Corma est conçu pour l'entreprise qui a dépassé le tableur sans avoir le budget ni les effectifs d'un programme IGA de grand groupe. La plateforme relie découverte, revues et remédiation : la campagne part de toutes les applications utilisées et se termine par des accès réellement supprimés.

• La découverte d'abord. Les revues s'appuient sur les données d'accès de toutes vos applications SaaS, et la découverte fait apparaître celles hors SSO, y compris les outils de shadow AI utilisés dans le navigateur.
• Une seule plateforme. Revues d'accès, provisionnement des arrivées, mobilités et départs, demandes d'accès et optimisation des licences partagent les mêmes données, via la plateforme de gouvernance des identités de Corma.
• Hébergement UE et sécurité auditée. Les données restent dans des centres de données AWS situés dans l'UE, et Corma passe chaque année un audit ISO 27001 indépendant.
• Reconnu par les analystes. Corma figure dans le Gartner® Magic Quadrant™ des SaaS Management Platforms en 2025 et en 2026.
• Un point d'entrée transparent. Corma est le seul des quatre éditeurs à publier un prix de départ, à partir de 3 € par utilisateur.

Questions fréquentes

Quel est le meilleur logiciel de revue des accès ?

Le meilleur logiciel de revue des accès dépend de la taille de l'entreprise et de ses exigences d'hébergement. Une entreprise européenne de 50 à 1 000 salariés a intérêt à choisir un outil qui découvre les applications hors SSO, héberge les données dans l'UE et retire les accès automatiquement, le profil pour lequel Corma est conçu. Les grands programmes qui gouvernent des agents IA sur des systèmes on-premise regardent plutôt C1 ou Lumos.

Quelle différence entre revue des accès et certification des accès ?

La revue des accès est le contrôle qui vérifie que chaque droit correspond toujours au poste de la personne. La certification des accès est la validation formelle que les accès revus sont corrects, généralement menée sous forme de campagne planifiée. Les éditeurs emploient souvent les deux termes indifféremment, tout comme revue des habilitations et recertification.

Peut-on automatiser entièrement les revues d'accès ?

L'essentiel du processus s'automatise : collecte des données, affectation des valideurs, relances, retrait des droits et preuves. La décision de maintenir ou de retirer un accès doit rester au manager ou au propriétaire de l'application, car elle dépend d'un contexte métier que le logiciel prépare sans pouvoir le juger.

Qui est responsable des revues d'accès ?

Les managers revoient les accès standards, les propriétaires d'applications ou de données revoient les accès sensibles, et l'équipe IT ou sécurité pilote la campagne et conserve les preuves. La politique de contrôle d'accès doit nommer chacun de ces rôles pour que l'auditeur sache qui a certifié quoi. La CNIL recommande d'impliquer les métiers dans la revue.

Que se passe-t-il quand un valideur retire un accès ?

Dans un outil avec remédiation en boucle fermée, le retrait déclenche le déprovisionnement dans l'application cible et la suppression est consignée comme preuve d'audit. Dans un processus manuel, le retrait devient un ticket, et les tickets non traités sont l'endroit où survivent les comptes orphelins.

ConductorOne et C1, est-ce la même entreprise ?

Oui. ConductorOne a pris le nom de C1.ai le 6 avril 2026, avec la même équipe et la même plateforme. Les anciens comparatifs citent encore l'éditeur sous le nom de ConductorOne : cherchez les deux noms quand vous vérifiez des avis ou des références.