Workday va racheter C1 : quel impact pour les clients ConductorOne ?

Au 18 octobre 2026, Workday a signé un accord pour racheter C1.ai (anciennement ConductorOne), mais l'opération n'est pas finalisée : Workday prévoit de la conclure d'ici le 31 janvier 2027, date de clôture de son exercice fiscal 2027. L'annonce ne dit rien des contrats C1 en cours, ni de ce dont un client hors Workday a besoin pour s'organiser : l'avenir de la marque C1, les tarifs, l'hébergement et les connecteurs non Workday. Si vous utilisez déjà Workday HCM, rester est un choix par défaut raisonnable. Sinon, profitez des prochaines semaines pour relire votre contrat, archiver vos preuves de revues d'accès et décider s'il faut renégocier ou changer d'outil avant votre prochaine fenêtre d'audit.

À retenir

• Workday a signé le 12 octobre 2026 un accord définitif pour racheter C1.ai, anciennement ConductorOne, et prévoit de finaliser l'opération d'ici le 31 janvier 2027.
• Au 18 octobre 2026, ni Workday ni C1 n'ont annoncé ce que deviennent la marque C1, les tarifs, l'hébergement ou les connecteurs pour les clients qui n'utilisent pas Workday.
• Aneel Bhusri, cofondateur et CEO de Workday, affirme que Workday peut travailler avec d'autres fournisseurs d'identité comme Microsoft ou Okta, et présente le SIRH comme l'unique source de vérité pour les salariés.
• L'historique des revues d'accès C1 est une preuve d'audit : quitter C1 suppose d'archiver les campagnes passées et de faire chevaucher la première campagne du nouvel outil avec la dernière campagne C1.
• Les revues d'accès contribuent aux critères d'accès logique SOC 2 CC6.1 à CC6.3 et aux mesures 5.15, 5.18 et 8.2 de l'annexe A d'ISO/IEC 27001:2022.

Ce qui s'est passé : Workday a signé pour racheter C1

Le 12 octobre 2026, Workday a conclu un accord définitif pour racheter ConductorOne, Inc., la société qui opère aujourd'hui sous le nom C1.ai, selon le formulaire 8-K déposé par Workday auprès de la SEC (en anglais). Workday a annoncé l'opération le lendemain, le 13 octobre 2026, lors de son événement Workday Rising à Las Vegas.

Selon le communiqué de presse de Workday du 13 octobre 2026 (en anglais), la transaction devrait être finalisée au cours du quatrième trimestre de l'exercice fiscal 2027 de Workday, qui se termine le 31 janvier 2027, sous réserve des conditions de clôture habituelles. Workday n'a pas communiqué le montant de l'opération.

Workday présente le rachat sous l'angle des agents IA. Son communiqué décrit C1.ai comme « une plateforme d'identité agentique de premier plan pour les personnes et les agents » et affirme : « Avec C1.ai, Workday deviendra la couche de gouvernance des identités pour les personnes, l'argent et les agents. » Il précise que l'Agent System of Record de Workday « offre déjà aux entreprises un endroit unique pour voir et gérer leurs agents ». Gerrit Kazmaier, président produit et technologie de Workday, résume la thèse : « Les entreprises d'aujourd'hui fonctionnent avec une main-d'œuvre qui combine des personnes et des agents IA. » Sur les systèmes hors Workday, le communiqué reste général : il évoque une gouvernance des accès « à travers Workday et d'autres systèmes d'entreprise », sans feuille de route des connecteurs. Les citations de cet article sont traduites de l'anglais.

Pour un client C1, les zones d'ombre de l'annonce comptent davantage que le titre. Voici ce qui est confirmé et ce qui ne l'est pas, d'après le communiqué de Workday, le 8-K et le communiqué de C1.

La page tarifs de C1 affiche désormais un bandeau annonçant que C1.ai va rejoindre Workday, et ne publie toujours aucun prix catalogue. Cet article traite du rachat et de la façon d'y réagir. Pour le modèle tarifaire actuel de C1, sa couverture fonctionnelle et ses principales alternatives, lisez notre analyse : C1 (ex-ConductorOne) : tarifs, couverture et alternatives.

Qu'est-ce qui change pour les clients C1 ?

Avant la finalisation, rien n'a été annoncé qui modifie votre service. Après, les changements à anticiper relèvent de quatre domaines : le rôle de Workday comme source d'identité, le packaging et les tarifs, les priorités sur les connecteurs, et le support. Les scénarios ci-dessous sont des hypothèses plausibles à préparer, pas des prédictions.

Avant la finalisation de l'opération

En pratique, jusqu'à la finalisation, C1 continue de fonctionner de manière autonome et votre contrat actuel continue de régir les prix, le support et les niveaux de service. L'opération n'est d'ailleurs pas acquise : les déclarations prospectives de Workday citent les autorisations réglementaires parmi les risques qui pèsent sur sa réalisation. Le travail utile à ce stade est administratif. Retrouvez votre date de renouvellement, relisez les clauses listées plus bas et obtenez des réponses écrites de votre account manager avant la date limite de préavis.

Après la finalisation de l'opération

• Workday comme source d'identité. Dans une interview accordée à diginomica le 14 octobre 2026, Aneel Bhusri, cofondateur et CEO de Workday, a déclaré : « Il n'y aura qu'une seule source de vérité, et ce sera toujours le système RH pour les salariés. » Il a ajouté que l'Agent System of Record joue ce rôle pour les agents. Pour une entreprise sous Workday HCM, c'est tout l'intérêt de l'opération. Pour une entreprise équipée d'un autre SIRH, la question ouverte est la façon dont C1 traitera un système RH non Workday comme source des arrivées, mobilités et départs.
• Autres fournisseurs d'identité. Dans la même interview à diginomica (en anglais), Aneel Bhusri a déclaré : « Nous pouvons travailler avec d'autres IdP, qu'il s'agisse de Microsoft ou d'Okta. » Notre lecture : cette assurance porte sur les fournisseurs d'identité, pas sur les SIRH autres que Workday.
• Packaging et tarifs. Un scénario plausible est que C1 soit vendu au sein d'offres groupées ou de contrats Workday. Rien n'a été annoncé, et c'est précisément pour cela qu'une protection tarifaire a sa place dans votre prochain renouvellement.
• Feuille de route des connecteurs. Les priorités d'ingénierie pourraient glisser vers des cas d'usage centrés sur Workday. Si vos revues d'accès dépendent de connecteurs précis, demandez un engagement écrit pour chacun d'eux.
• Support et account management. Interlocuteurs, circuits d'escalade et outils de support peuvent changer quand des équipes fusionnent. Vérifiez ce que votre SLA garantit jusqu'à la fin de votre contrat en cours.

La gouvernance des agents compte, quels que soient vos outils. Notre cadre de gouvernance des agents IA détaille les contrôles d'accès applicables aux agents, indépendamment de tout éditeur.

Faut-il rester, renégocier ou changer d'outil ?

« Quelles sont mes options maintenant ? » : c'est la question que les clients C1 posent déjà sur les forums consacrés à la gestion des identités. La réponse dépend de quatre éléments propres à votre entreprise : utilisez-vous Workday HCM, quand a lieu votre prochain audit, quand tombe votre renouvellement C1, et avez-vous besoin de plus que la gouvernance des identités ? Le tableau vous donne votre point de départ.

Aucune de ces options n'est mauvaise par principe. Une entreprise standardisée sur Workday HCM peut tirer davantage de C1 après la finalisation, pas moins. Le risque concerne les entreprises dont les données RH vivent ailleurs et dont le prochain audit tombe pendant la période d'intégration.

Ce qu'il faut vérifier dans votre contrat C1

Relisez huit clauses avant de décider, et obtenez chaque réponse par écrit. Cette checklist est pratique, pas juridique : faites relire le texte exact de votre contrat par votre service juridique.

• Changement de contrôle. Le contrat vous donne-t-il un droit de résiliation ou de renégociation si C1 change de propriétaire ? Question à poser à votre account manager : « Le rachat par Workday déclenche-t-il un droit lié au changement de contrôle de notre côté, et à partir de quelle date ? »
• Renouvellement et préavis. Vérifiez la date de reconduction tacite et la date limite de préavis. Question à poser : « Quelles sont exactement notre date de renouvellement et notre date limite de préavis, et pouvons-nous prolonger la période en cours aux mêmes conditions ? »
• Protection tarifaire. Cherchez un plafond d'augmentation au renouvellement. Question à poser : « Pouvez-vous plafonner par écrit les hausses de prix de notre prochain renouvellement, quel que soit le packaging après la finalisation ? »
• Export des données et de l'historique des campagnes. L'historique de vos revues d'accès est une preuve, pas seulement une donnée produit. Question à poser : « Pouvons-nous exporter l'historique complet de nos campagnes de revue d'accès, avec décisions, reviewers, horodatages et justifications, dans un format accepté par notre auditeur, et à quel coût ? »
• DPA et sous-traitants ultérieurs. Un rachat peut ajouter de nouveaux sous-traitants. Question à poser : « Des entités Workday deviendront-elles sous-traitants ultérieurs après la finalisation, et comment en serons-nous informés ? »
• Localisation des données. Confirmez où votre tenant est hébergé aujourd'hui. Question à poser : « Dans quelle région notre tenant est-il hébergé, et cette région est-elle garantie après la finalisation ? »
• SLA. Vérifiez les engagements de disponibilité et de support. Question à poser : « Notre SLA et nos canaux de support restent-ils inchangés jusqu'à la fin de notre contrat en cours ? »
• Connecteurs non Workday. Listez les connecteurs dont dépendent vos revues et votre provisionnement. Question à poser : « Vous engagez-vous par écrit à maintenir les connecteurs que nous utilisons, y compris notre SIRH s'il ne s'agit pas de Workday ? »

Comment migrer les revues d'accès et les campagnes de certification sans trou d'audit (SOC 2, ISO 27001)

Traitez l'historique de vos campagnes C1 comme une preuve d'audit, pas comme une donnée produit. Archivez-le pour toute la période d'audit, n'interrompez jamais une campagne en cours, faites chevaucher la première campagne du nouvel outil avec la dernière campagne C1, et informez votre auditeur du changement avant qu'il n'ait lieu.

Une campagne de certification des accès est une revue planifiée au cours de laquelle les responsables d'applications ou les managers confirment ou révoquent les accès de chaque utilisateur. La trace de qui a approuvé quoi, quand et pourquoi constitue la preuve qu'examine l'auditeur. Un changement d'outil est un moment où cette trace peut se rompre.

1. Exporter et archiver les campagnes passées sur toute la période d'audit

Exportez chaque campagne comprise dans votre période d'audit en cours, ainsi que la précédente pour le contexte. Pour chaque campagne, conservez :

• le périmètre et les dates de la campagne, ainsi que les applications couvertes ;
• chaque décision (maintenir, révoquer, modifier) et le compte concerné ;
• l'identité de chaque reviewer et l'horodatage de chaque décision ;
• la justification ou le commentaire associé à chaque décision ;
• la preuve de remédiation de chaque révocation, par exemple un ticket ou un journal de désapprovisionnement.

Stockez l'export en lecture seule dans votre référentiel de preuves, et vérifiez qu'il s'ouvre et se lit correctement sans accès à C1.

2. Ne jamais interrompre une campagne en cours

Une campagne arrêtée à mi-parcours laisse des décisions sans remédiation et des comptes sans reviewer. Terminez ou clôturez formellement toute campagne en cours dans C1, exportez-la, puis changez d'outil.

3. Faire chevaucher la première nouvelle campagne et la dernière campagne C1

Lancez la première campagne dans le nouvel outil avant la fin de la dernière campagne C1. Le chevauchement montre que les revues ne se sont jamais arrêtées, et il vous permet de comparer les périmètres application par application avant de cesser de payer C1. Découvrez comment fonctionnent les revues d'accès automatisées dans Corma.

[VISUAL 1 : schéma de chevauchement des campagnes d'access review, dernière campagne C1 et première campagne dans le nouvel outil, fourni par Nikolai]

4. Documenter le changement comme une modification de contrôle

Rédigez une courte fiche de changement : ce qui change, à quelles dates, qui porte chaque étape, où se trouvent les preuves archivées et comment la continuité est assurée. Partagez-la avec votre auditeur avant le changement, pas pendant l'audit sur site. C'est votre auditeur qui juge si les preuves sont suffisantes : validez le plan avec lui d'abord.

5. Cartographier les contrôles auxquels contribuent vos revues d'accès

• SOC 2. Les Trust Services Criteria de l'AICPA (en anglais) regroupent l'accès logique sous les critères CC6.1 à CC6.3. Leurs points d'attention (points of focus) incluent la revue périodique de la pertinence des identifiants d'accès (CC6.2) ainsi que des rôles et règles d'accès (CC6.3).
• ISO 27001. La norme ISO/IEC 27001:2022 liste dans son annexe A les mesures 5.15 (contrôle d'accès), 5.18 (droits d'accès) et 8.2 (droits d'accès privilégiés).

Pour la fréquence des campagnes et les preuves attendues côté ISO, notre feuille de route des revues d'accès pour ISO 27001 entre dans le détail.

Vous prévoyez de changer d'outil avant votre prochain audit ? Réservez une démo Corma pour planifier une première campagne en chevauchement avant la date de renouvellement de C1.

Checklist de migration : quitter C1 sans trou d'audit

Menez la migration en six phases, et gardez C1 actif jusqu'à la dernière. Commencez l'inventaire au moins un cycle de campagne avant votre date de renouvellement C1.

1. Inventaire. Listez les applications connectées, les rôles et habilitations, les politiques d'accès, les workflows de demande d'accès, les automatisations arrivées, mobilités et départs (JML), ainsi que le responsable et les reviewers de chaque application.
2. Export. Exportez les preuves de campagnes décrites plus haut, ainsi que votre configuration : liste des applications, politiques, circuits d'approbation et calendrier des campagnes.
3. Connexion. Connectez la nouvelle plateforme à votre fournisseur d'identité et à votre SIRH, puis reconstruisez vos règles de provisionnement et d'onboarding pour les arrivées, mobilités et départs.
4. Fonctionnement en parallèle. Lancez la première campagne de revue d'accès dans le nouvel outil pendant que C1 porte encore la précédente, et comparez le périmètre application par application. Notre guide des logiciels de revue des accès liste ce qu'il faut tester à ce stade.
5. Bascule. Transférez les demandes d'accès et les processus JML vers la nouvelle plateforme à une date fixée, et annoncez-la aux reviewers et aux responsables d'applications.
6. Décommissionnement. Révoquez les jetons d'API et les comptes de service utilisés par C1 dans chaque application connectée, faites confirmer la suppression des données au titre de votre DPA, et conservez les preuves archivées pendant votre durée de conservation.

Pourquoi Corma pour les clients C1

Corma est une plateforme de SaaS Management et d'IAM fondée à Paris en 2023, conçue pour les PME et ETI plutôt que comme une suite IGA pour grands comptes. Elle gère les revues d'accès, le provisionnement, le désapprovisionnement et les processus JML dans la même plateforme que la gestion des dépenses et des licences SaaS, avec des connecteurs natifs vers Google Workspace, Microsoft Entra ID, Okta et JumpCloud.

• Conformité. Corma est certifiée ISO/IEC 27001:2022, et les données clients sont hébergées dans l'UE sur toutes les offres.
• Reconnaissance. Corma est reconnue dans le Gartner® Magic Quadrant™ des plateformes de SaaS Management en 2025 et en 2026.
• Rapidité. Un déploiement complet prend généralement moins d'un mois.
• Périmètre. La gouvernance et l'administration des identités et le SaaS Management partagent un même inventaire d'applications et d'utilisateurs.
• Tarifs. Une offre gratuite couvre jusqu'à 10 intégrations, et l'offre Essential démarre à 3 € par utilisateur et par mois avec engagement annuel (voir les tarifs de Corma).

[VISUAL 2 : capture de l'écran access reviews dans Corma, fournie par Nikolai]

Méthode : faits C1 vérifiés le 18 octobre 2026 sur la page tarifs de C1 et dans les annonces de Workday et de C1 ; faits Corma issus de la page tarifs et des informations société de Corma.

Si vous utilisez Workday HCM et que C1 vous convient, ce tableau n'est pas une raison de partir. Il compte si vos données RH vivent hors de Workday, si vous avez besoin d'un hébergement dans l'UE, ou si vous voulez réunir SaaS Management et gouvernance des identités dans un seul outil.

Questions fréquentes

C1 va-t-il disparaître ?

Aucun arrêt n'a été annoncé. Workday affirme qu'avec C1.ai, il deviendra la couche de gouvernance des identités pour les personnes, l'argent et les agents. L'opération devrait être finalisée d'ici le 31 janvier 2027, et Workday n'a pas détaillé de changements produit pour les clients C1 existants.

Quand le rachat de C1 par Workday sera-t-il finalisé ?

Workday prévoit une finalisation au quatrième trimestre de son exercice fiscal 2027, qui se termine le 31 janvier 2027, sous réserve des conditions de clôture habituelles. L'accord a été signé le 12 octobre 2026 et annoncé le 13 octobre 2026.

Faut-il utiliser Workday pour continuer avec C1 ?

Rien n'a été annoncé dans un sens ou dans l'autre au 18 octobre 2026. Aneel Bhusri, CEO de Workday, a déclaré que Workday peut travailler avec d'autres fournisseurs d'identité comme Microsoft ou Okta, mais aucune des deux sociétés n'a précisé comment C1 prendra en charge les SIRH autres que Workday après la finalisation.

Changer d'outil va-t-il affecter mon audit SOC 2 ou ISO 27001 ?

Pas nécessairement. Archivez chaque campagne C1 de votre période d'audit, n'interrompez jamais une campagne en cours, faites chevaucher la première campagne du nouvel outil avec la dernière campagne C1, et validez le plan avec votre auditeur avant le changement.

Puis-je exporter l'historique de mes revues d'accès depuis C1 ?

Posez la question par écrit à votre account manager avant votre date limite de préavis. Demandez l'historique complet de chaque campagne : décisions, reviewers, horodatages, justifications et remédiations, dans un format accepté par votre auditeur. Vérifiez dans votre contrat les conditions et le coût de l'export.

Les prix de C1 vont-ils changer après le rachat ?

Workday et C1 n'ont annoncé aucun changement de prix. C1 ne publie aucun prix catalogue sur sa page tarifs : votre protection se trouve donc dans votre contrat. Demandez un plafond écrit sur les hausses lors de votre prochain renouvellement.

Quelles sont les meilleures alternatives à ConductorOne pour les entreprises de taille intermédiaire ?

Entre 100 et 2 000 salariés, retenez des outils qui couvrent les revues d'accès, le provisionnement et les processus JML, qui se connectent à votre fournisseur d'identité et à votre SIRH, et qui publient leurs tarifs. Corma associe ces fonctions au SaaS Management. Notre guide des meilleures solutions IGA pour le mid-market compare les principales options.

Conclusion

L'accord de Workday pour racheter C1 ne change pas votre service aujourd'hui, mais il ouvre une fenêtre de décision qui se referme à votre prochain renouvellement ou à votre prochain audit, selon ce qui arrive en premier. Si vous utilisez Workday HCM, restez et protégez votre prix. Sinon, obtenez des réponses écrites sur votre contrat, archivez vos preuves de campagnes et planifiez une première campagne en chevauchement dans votre prochain outil. Pour voir comment cette première campagne se déroulerait dans Corma, demandez une démo.