Sur un programme de gestion des identités, le chef de projet IAM traduit les processus d'arrivée, de mobilité et de départ en règles que l'IGA appliquera. Il planifie le raccordement des applications par vagues, pilote l'intégrateur et prépare les campagnes de recertification. Le poste s'appelle aussi business analyst IAM, AMOA IAM ou product owner IAM. Les questions d'entretien dépendent d'abord d'un point : porte-t-il le budget et le contrat, ou seulement le recueil et la recette.
Le profil vient d'un intégrateur, d'une équipe sécurité ou d'une maîtrise d'ouvrage. Deux erreurs de casting reviennent : un chef de projet généraliste qui ne sait pas ce qu'est un droit de naissance ou une application déconnectée, et un ancien ingénieur qui parle connecteurs sans savoir mener un atelier avec les RH. Des cas précis les font apparaître vite : des départs saisis en retard, une campagne de revue validée sans lecture, un raccordement qui dépasse son forfait.
L'entretien regarde si la personne mesure avant de proposer, si elle sait qui doit décider, et si elle protège la production contre une règle mal écrite qui désactiverait des centaines de comptes. Le PDF rassemble 30 questions sur six axes, un cas de 20 minutes et une grille de 1 à 4.
Outils et référentiels d'un programme IAM
Outil IGA
Le logiciel de gouvernance des identités : SailPoint, Saviynt, One Identity, Microsoft Entra ID Governance ou Oracle Identity Governance. Le chef de projet ne le configure pas lui-même, mais il doit savoir ce qu'il calcule à partir des données RH et ce qu'il demande aux applications.
SIRH et sources d'autorité
Le SIRH alimente l'IGA en arrivées, mobilités et départs. Sa qualité de saisie décide de la qualité de tout le reste. Les prestataires, intérimaires et stagiaires ont souvent une autre source, à organiser avec les achats.
Annuaires et SSO
Active Directory, Entra ID ou Okta portent les comptes et la connexion unique aux applications. Le chef de projet doit expliquer au métier la différence entre entrer dans une application par le SSO et y posséder des droits.
Connecteurs et mode déconnecté
Une application se raccorde par groupes AD, LDAP, SCIM 2.0, API ou base de données. Sans interface, elle passe en mode déconnecté : l'IGA ouvre un ticket et un administrateur exécute. Ce choix pèse sur le planning et sur la preuve d'audit.
Outil ITSM
ServiceNow ou un autre outil de tickets reçoit les demandes de l'IGA pour les applications non connectées et sert de trace pour l'audit. Son intégration avec l'IGA fait partie du périmètre du projet.
Campagnes de recertification
Les managers et les propriétaires d'applications confirment ou retirent les droits à intervalles réguliers. Une campagne mal conçue produit des validations en masse sans lecture. La réussite se mesure au taux de révocation et à la qualité des réponses.
ISO/IEC 27001:2022 et guide du CLUSIF
L'annexe A de l'ISO/IEC 27001:2022 contient les mesures de contrôle d'accès (5.15 à 5.18) et de droits d'accès privilégiés (8.2), souvent vérifiées par les auditeurs. Le CLUSIF a publié un guide sur la gestion et la gouvernance des identités et des accès, utile pour cadrer un programme.
RGPD, NIS2, DORA
L'IGA traite des données personnelles de salariés, sous le regard du DPO. NIS2 demande des politiques de contrôle d'accès et l'authentification à plusieurs facteurs, avec une loi française de transposition pas encore votée au 7 novembre 2026. Le règlement DORA s'applique depuis le 17 janvier 2025 aux entités qu'il vise.
Le chef de projet IAM travaille sous la responsabilité d'un RSSI, d'un responsable IAM ou d'un directeur de programme. Côté client final, il conduit souvent le premier IGA ou le remplacement d'un outil existant, avec un intégrateur au forfait ou en régie. Côté ESN ou cabinet, il intervient comme AMOA ou business analyst auprès du client, sur le recueil, la modélisation des rôles et la recette. Le poste demande assez de technique pour discuter avec l'intégrateur et assez de méthode pour faire avancer les RH, les managers et l'audit. Les certifications de gestion de projet disent peu de ce savoir-faire ; les cas concrets de l'entretien en disent plus.
Six points attendus d'un chef de projet IAM
- Recueil des processus d'habilitation avec les RH
- Modélisation des rôles métier
- Planification du raccordement des applications
- Pilotage de l'intégrateur et du budget
- Campagnes de recertification et accompagnement
- Indicateurs et preuves d'audit
Départs, rôles, intégrateur : cinq questions d'entretien de chef de projet IAM
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Les départs sont saisis dans le SIRH avec deux à trois semaines de retard, et des comptes restent actifs après la sortie. Comment traitez-vous le sujet avec les RH ?
Une bonne réponseD'abord mesurer : sur trois mois, l'écart entre la date de sortie réelle et la date de saisie, par type de départ (démission, fin de CDD, rupture conventionnelle, stage). Ensuite comprendre qui saisit et à quel moment. La proposition suit : saisie de la date prévue dès qu'elle est connue, désactivation par l'IGA à la date effective, et un circuit d'urgence pour les départs immédiats. Le motif du départ n'a pas à remonter dans l'IGA, ce que la personne vérifie avec le DPO.
Signal d'alerte« L'équipe IT désactivera à la main quand elle sera prévenue », ou un reproche aux RH sans chiffre ni proposition.
Question 2 · confirmé à senior
La direction commerciale compte 600 personnes réparties sur 40 intitulés de poste. Comment construisez-vous ses rôles métier avec elle ?
Une bonne réponseÀ partir des droits réels, extraits de l'IGA ou des applications, regroupés par fonction réelle plutôt que par intitulé. Un socle commun, des rôles par fonction, et les droits rares laissés en demande individuelle. Des ateliers de validation avec les managers et les propriétaires d'applications, un pilote sur une équipe, un propriétaire nommé pour chaque rôle et une date de révision. Le candidat suit la part des droits portés par les rôles.
Signal d'alerteUn rôle par intitulé de poste, ou des rôles écrits par l'équipe IAM sans aucun manager dans la salle.
Question 3 · confirmé à senior
Vous avez 250 applications à raccorder à l'IGA en deux ans. Comment fixez-vous l'ordre de passage ?
Une bonne réponseUn inventaire par application : propriétaire, nombre d'utilisateurs, sensibilité des données, exigence d'audit, mode de raccordement possible (groupes AD, LDAP, SCIM, API, base, aucun). Une note qui croise risque et facilité, puis des vagues trimestrielles adaptées à la capacité de l'intégrateur. Les applications gérées par groupes AD passent tôt. Celles sans interface sont traitées en mode déconnecté, avec ticket et réconciliation, au lieu d'attendre.
Signal d'alerteUn ordre fixé par le premier qui insiste, ou les applications les plus complexes en premier « pour lever le risque ».
Question 4 · senior
L'intégrateur facture chaque raccordement d'application au forfait, et les trois premiers ont pris le double du temps prévu. Que faites-vous ?
Une bonne réponseUne analyse des causes avant toute discussion de prix : fiches de raccordement incomplètes, recette indisponible côté client, complexité sous-estimée, compétences de l'équipe intégrateur. Ce qui relève du client est corrigé par des prérequis d'entrée de vague. Les unités d'œuvre sont requalifiées par niveau de complexité. Le planning est revu et la décision passe en comité de pilotage, avec un avenant si le périmètre change.
Signal d'alerteAppliquer des pénalités sans analyse, ou absorber les dépassements sans rien changer au contrat.
Question 5 · confirmé à senior
À la dernière campagne de revue, presque tous les droits ont été confirmés en moins de deux minutes par manager. Comment rendez-vous la prochaine campagne utile ?
Une bonne réponseRéduire ce qui est revu : droits sensibles, exceptions, comptes à risque, plutôt que tout. Afficher des libellés métier et du contexte (date d'attribution, dernier usage connu). Confier les droits sensibles au propriétaire de l'application. Étaler les campagnes, relancer, escalader, prévoir la révocation par défaut à l'échéance pour certains droits, puis contrôler un échantillon des réponses.
Signal d'alerteRelancer la même campagne avec une formation obligatoire en plus.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Chef de projet IAM : questions fréquentes
Chef de projet IAM et business analyst IAM : est-ce le même poste ?
Les deux intitulés se recouvrent souvent. Le business analyst IAM recueille les processus, modélise les rôles, rédige les spécifications et prépare la recette. Le chef de projet ajoute le planning, le budget, le pilotage de l'intégrateur et les comités. Sur un petit programme, une seule personne fait les deux. Sur un programme de plusieurs centaines d'applications, les deux rôles sont souvent séparés, avec un business analyst par lot.
Un chef de projet IAM doit-il savoir configurer l'IGA ?
Non, mais il doit comprendre ce que l'outil fait : corrélation des comptes, droits de naissance, règles de provisioning, mode déconnecté, campagnes. Sans ces notions, il ne peut ni challenger l'intégrateur sur une estimation ni expliquer au métier pourquoi une application prend trois mois. Un passage préalable par l'intégration ou l'exploitation d'un IGA est un atout, sans être obligatoire.
Comment se passe l'évaluation d'un chef de projet IAM sans test technique ?
Par une mise en situation. Le cas pose un contexte : 120 applications, un SIRH en retard sur les départs, un audit dans neuf mois. Le candidat donne le plan des trois premiers mois, les ateliers à lancer et les risques suivis. En 20 minutes, on voit si la personne mesure avant d'agir, sait à qui revient chaque décision et pense à protéger la production contre une désactivation massive.
Quelle expérience faut-il pour conduire un premier programme IGA ?
Au moins une mise en service d'IGA vécue de bout en bout, côté client ou côté intégrateur, avec des applications raccordées et une campagne de revue menée. La personne doit connaître ses chiffres : nombre d'applications, durée d'une vague, taux de révocation obtenu. Un profil venu d'un autre domaine de projet peut convenir s'il est épaulé par un architecte ou un expert IGA.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
