MTC Skopos analyse la séparation des tâches dans SAP Business One à partir de son modèle d'autorisations : l'arborescence des autorisations générales, les groupes d'autorisations, les autorisations sur les états, les requêtes et les add-ons, et le statut de superutilisateur. Il extrait cinq tables par la DI API, sur SQL Server ou HANA, et l'analyse s'exécute sur votre propre poste. Conçu par des spécialistes des autorisations SAP, il couvre les filiales sous Business One dans le même outil qu'ECC et S/4HANA, pour une licence de base forfaitaire de 5 736 EUR/an sans frais par société.
| MTC Skopos pour SAP Business One | |
|---|---|
| Modèle d'accès analysé | Autorisations générales (complète, lecture seule), groupes d'autorisations avec validité, autorisations sur les états, requêtes et add-ons, superutilisateurs |
| Bases de données | SAP HANA, Microsoft SQL Server 2016, 2017, 2019, 2022 |
| Extraction | DI API depuis MTC Skopos, ou script PowerShell MTC |
| Tables lues | OUSR, OUGR, USR7, USR3, UGR1 (colonnes listées uniquement, jamais les mots de passe) |
| Traçabilité | Chaque résultat indique le groupe d'autorisations ou le paramètre propre à l'utilisateur qui l'accorde |
| Paysages mixtes | Analysé à côté d'ECC, S/4HANA, S/4HANA Public Cloud, Business Central et d'autres systèmes |
| Déploiement | Application de bureau, analyse en local, aucune donnée envoyée à MTC |
| Prix | Licence de base 5 736 EUR/an, bases de sociétés et utilisateurs illimités |
Pourquoi SAP Business One demande-t-il une approche SoD propre ?
Parce qu'il partage le nom SAP, pas le modèle d'autorisations de SAP ERP. Il n'y a ni PFCG, ni code transaction, ni objet d'autorisation. Business One donne à chaque utilisateur une arborescence d'autorisations, chacune réglée à Autorisation complète, Lecture seule ou Pas d'autorisation, et permet de définir des groupes d'autorisations dont les paramètres s'ajoutent à ceux de l'utilisateur. Les états, les requêtes et les add-ons ont leurs propres autorisations. Et tout utilisateur marqué superutilisateur peut tout faire.
Ce dernier point est le constat le plus fréquent sur Business One. Les petites équipes finance grandissent, un statut de superutilisateur accordé pour un démarrage reste en place des années, et personne ne sait dire qui peut à la fois créer un fournisseur et le payer. Des règles d'accès SAP on-premise ne se déclenchent pas sur ce modèle : une analyse Business One a besoin de règles d'accès écrites pour les autorisations Business One.
Comment MTC Skopos analyse-t-il une société Business One ?
- Se connecter par la DI API. Dans MTC Skopos, ajoutez une source de données SAP Business One avec le serveur, le serveur SLD et la base de la société, puis testez la connexion. L'extraction lit cinq tables et les écrit dans un dossier que vous contrôlez. Les équipes qui préfèrent ne pas se connecter peuvent lancer le script PowerShell MTC et fournir les fichiers.
- Charger les règles d'accès. Le format Excel est le même que pour SAP ERP. Une fonction indique l'autorisation Business One et le niveau requis, par exemple Autorisation complète sur les données de base des partenaires pour la gestion des fournisseurs.
- Lancer une analyse par utilisateur ou par groupe d'autorisations. Chaque groupe d'autorisations apparaît comme un rôle, les paramètres propres de chaque utilisateur comme un rôle personnel, et les superutilisateurs comme un rôle dédié : le rapport montre exactement d'où vient une autorisation en conflit.
| Table | Contenu |
|---|---|
| OUSR | Utilisateurs, blocage, statut de superutilisateur et autorisations générales propres |
| OUGR | Groupes d'autorisations et leurs autorisations générales |
| USR7 | Appartenance des utilisateurs aux groupes, avec dates de début et de fin |
| USR3 | Autorisations propres de l'utilisateur sur les états, requêtes et add-ons |
| UGR1 | Autorisations du groupe sur les états, requêtes et add-ons |
Les champs de connexion et le format des fichiers sont décrits dans le guide d'import Business One (en anglais).
Que trouve l'analyse dans Business One ?
Les mêmes catégories que sur SAP ERP, adaptées au modèle : conflits de séparation des tâches entre deux autorisations (gestion des fournisseurs contre paiements sortants, fiches articles contre mouvements de stock), et accès critiques en eux-mêmes (superutilisateur, administration des autorisations, paramètres de clôture de période). Les dates de validité des groupes sont lues : une appartenance expirée ne compte pas comme un accès.
Comme pour tout système, les règles d'accès doivent refléter le fonctionnement de votre organisation. Tout point de départ est un modèle à revoir et à adapter, puis à maintenir vous-même ; la page maintenance des règles d'accès explique comment.
Peut-on analyser les filiales Business One avec le cœur SAP ?
Oui. Les paysages à deux niveaux, S/4HANA ou ECC au siège et Business One dans les filiales, sont ceux où la séparation des tâches Business One est généralement auditée, parce que l'auditeur du groupe demande les mêmes preuves partout. MTC Skopos charge les deux comme sources de données dans une seule application. Avec le module Cross-System, une règle peut associer une fonction dans Business One à une fonction dans le cœur SAP, pour l'utilisateur du centre de services partagés qui a des comptes dans les deux. Les filiales sous Microsoft Dynamics 365 Business Central et S/4HANA Public Cloud sont couvertes de la même façon.
Combien cela coûte-t-il ?
La licence de base coûte 5 736 EUR/an et couvre un nombre illimité de bases de sociétés et d'utilisateurs. La simulation (1 199 EUR/an), les recommandations de remédiation (2 398 EUR/an) et les règles cross-system (1 199 EUR/an) sont des modules optionnels, détaillés dans la grille tarifaire. MTC Skopos analyse et recommande ; il n'écrit jamais de modifications dans Business One.
Questions fréquentes
Comment contrôler la séparation des tâches dans SAP Business One ?
SAP Business One n'a pas de rôles au sens de SAP ERP. L'accès vient de l'arborescence des autorisations générales, définie par utilisateur et par groupe d'autorisations à Autorisation complète, Lecture seule ou Pas d'autorisation, ainsi que des autorisations sur les états, les requêtes et les add-ons, et du statut de superutilisateur. Un contrôle SoD doit combiner les paramètres propres de l'utilisateur avec chaque groupe dont il est membre, puis tester le résultat contre des règles d'accès. MTC Skopos lit ces tables par la DI API et rattache chaque conflit au groupe ou au paramètre utilisateur qui l'accorde.
Quelles données MTC Skopos extrait-il de SAP Business One ?
Cinq tables : OUSR (utilisateurs, statut de superutilisateur et autorisations propres), OUGR (groupes d'autorisations), USR7 (appartenance aux groupes avec dates de validité), USR3 et UGR1 (autorisations sur les états, les requêtes et les add-ons des utilisateurs et des groupes). Seules les colonnes nécessaires à l'analyse sont lues ; les colonnes de mot de passe ne sont jamais extraites.
MTC Skopos supporte-t-il SAP Business One sur HANA ?
Oui. L'extraction par la DI API supporte SAP Business One sur SAP HANA et sur Microsoft SQL Server 2016, 2017, 2019 et 2022. Un script PowerShell fourni par MTC produit les mêmes fichiers pour les équipes qui préfèrent réaliser l'extraction elles-mêmes.
Peut-on analyser SAP Business One et S/4HANA ensemble ?
Oui. Les groupes utilisent souvent S/4HANA ou ECC au siège et SAP Business One dans les filiales. Les deux se chargent comme sources de données dans la même application MTC Skopos, et avec le module Cross-System (1 199 EUR/an) une règle peut associer une fonction dans Business One à une fonction incompatible dans S/4HANA pour la même personne.
Combien coûte l'analyse SoD SAP Business One avec MTC Skopos ?
La licence de base coûte 5 736 EUR/an et couvre un nombre illimité de bases de sociétés et d'utilisateurs analysés. La simulation, les recommandations de remédiation et les règles cross-system sont des modules optionnels. Il n'y a pas de frais par société ni par utilisateur.
À lire aussi : Analyse SoD Business Central · Analyse SoD multi-ERP (en anglais) · S/4HANA Public Cloud (en anglais) · Alternatives à SAP GRC · Maintenance des règles d'accès