Droits et permissions sur le module Third Party – Citalid

Cas d'usage : Comprendre les droits d'accès et les actions autorisées selon le rôle de l'utilisateur (Admin, Manager, Opérateur, Viewer) sur le module Third-Party Risk Management (TPRM).

Définition : Les droits sur le module Third Party s'articulent autour du rôle global de l'utilisateur et de ses droits par périmètre (Manager, Opérateur, Lecteur). Si le tableau des tiers critiques et les compteurs de quota restent visibles par tous les collaborateurs pour garantir une vision consolidée, les actions de création, configuration, liaison et suppression sont strictement encadrées selon les profils.

Matrice des droits et permissions

Action	Admin	Manager d'au moins 1 périmètre	Opérateur d'au moins 1 périmètre	Viewer
Accéder à tous mes tiers / Créer une analyse (Portfolio)	✅	✅	❌	❌
Consulter la liste des tiers et indicateurs (Core)	✅	✅	✅	✅
Voir le détail des périmètres, biens supports et scénarios	✅ (tous)	✅ (uniquement ses périmètres managés)	✅ (uniquement ses périmètres opérés)	✅ (uniquement ses périmètres consultés)
Lier à des biens supports (`Link to assets`)	✅	✅ (sur ses périmètres managés)	❌	❌
Éditer les types de relations et métadonnées	✅	✅ (alerte si partagé avec d'autres périmètres)	❌	❌
Lier à un scénario (`Link to scenario`)	✅	✅ (sur ses périmètres managés)	✅ (scénarios brouillons sur ses périmètres opérés)	❌
Retirer de la sélection critique (désynchroniser de Core)	✅	✅ (uniquement si manager de TOUS les périmètres associés ou sans périmètre)	❌	❌

Règles clés de gestion

Visibilité globale partagée : Tous les utilisateurs voient l'ensemble des tiers critiques synchronisés dans TPRM ainsi que les compteurs globaux (quota d'instance partagé). Les périmètres auxquels l'utilisateur n'a pas accès sont masqués et regroupés sous le tag « X perimeters from other managers ».

Liaison aux biens supports (Link to assets) : Seuls les Administrateurs et les Managers peuvent associer un tiers aux périmètres qu'ils managent et mapper au moins un bien support du périmètre.

Intégration dans les scénarios (Link to scenarios) : Les Opérateurs peuvent relier un tiers à un scénario en mode brouillon uniquement sur les périmètres qu'ils opèrent.

Suppression / Retrait de la sélection critique : Un Manager ne peut retirer un tiers de la sélection critique que s'il manage l'ensemble des périmètres auxquels ce tiers est rattaché. Si le tiers est relié à des périmètres managés par d'autres collaborateurs, l'action est bloquée et requiert un Administrateur.

📌

Nota Bene : Retirer un tiers de la sélection critique dans Core libère une place dans le quota contractuel de tiers critiques, mais ne supprime pas l'analyse sous-jacente dans Portfolio.

🪴

Résultat attendu : une gouvernance claire des accès garantissant que chaque utilisateur peut exploiter les tiers dans ses scénarios sans risquer d'altérer la configuration des périmètres gérés par d'autres équipes.