Matrice des responsabilités
La matrice présente, sur un seul tableau, quelles permissions détient chaque rôle. Elle se trouve dans Paramètres → Matrice.
Lecture
- Une ligne par permission, regroupées par module ; une colonne par rôle actif, dans la couleur du rôle.
- Une case cochée signifie que le rôle détient la permission.
- La colonne de
ROLE_ADMINest toujours pleine : l'administrateur a toutes les permissions, quoi qu'il soit coché. - Le bas de chaque colonne indique le nombre de permissions actives du rôle.
Les coches viennent des rôles enregistrés en base, comme l'écran Paramètres → Rôles. En revanche, la liste des lignes est figée dans le frontend : elle ne couvre qu'une partie des permissions (programmes, registre, transferts, plaintes, base de connaissances, données, monitoring, rapports, administration) et contient quelques anciens codes qui n'existent plus (programmes.bailleurs, registre.menages_doublons, registre.documents, registre.eligibilite). Pour une vue complète d'un rôle, ouvrir sa fiche dans Paramètres → Rôles. Les codes techniques des permissions sont listés dans Rôles et permissions.
Le mode Modifier de la matrice enregistre par une route (PUT /api/settings/role-permissions) qui n'existe pas dans le backend : l'enregistrement échoue. En attendant la correction, modifier les permissions rôle par rôle dans Paramètres → Rôles ; la matrice sert à vérifier le résultat.
Séparation des tâches
Les permissions ne suffisent pas à garantir qu'une même personne ne fait pas tout. Points à respecter dans l'attribution des rôles :
| Étape | Permission | Règle |
|---|---|---|
| Préparer un transfert (cycle) | transferts.cycles_create, transferts.cycles_edit | spécialiste transferts monétaires |
| Valider un transfert | transferts.cycles_validate | deux niveaux de validation par défaut ; confier chaque niveau à une personne différente de celle qui a préparé le transfert |
| Exécuter les paiements | transferts.paiements_execute | distinct du valideur |
| Réconcilier avec l'opérateur | transferts.reconciliation | de préférence le RAF ou un autre service que l'exécutant |
| Valider un ménage | registre.menages_validate | distinct de l'opérateur de saisie |
Le système enregistre qui a validé chaque niveau (historique de validation du cycle) mais n'empêche pas une même personne de valider deux niveaux si elle en a le droit : la séparation repose sur l'attribution des rôles.
Périmètre
La matrice dit ce que chaque rôle peut faire, jamais sur quelles données. Le périmètre se règle compte par compte (institution, projets suivis, accès au registre national) : voir Utilisateurs.
Contrôle
- Toute modification de rôle et toute action sensible sont tracées : Paramètres → Journal d'audit ou Administration → Audits.
- Revoir la matrice à chaque arrivée ou départ dans l'équipe, et au moins une fois par trimestre.