---
title: Comprendre les rôles et les permissions
description: "Comment un rôle réunit des permissions, une population cible et des membres, comment Illizeo combine les rôles d'une personne et ce que voit quelqu'un qui n'a pas le droit."
url: "https://illizeo.com/centre-aide/roles-comprendre-les-droits/"
updated: "2026-11-05"
category: "Plateforme / Permissions & rôles"
---

# Comprendre les rôles et les permissions

Dans Illizeo, ce qu'une personne voit et peut faire dépend de ses rôles. Cet article explique comment un rôle est construit, comment Illizeo combine les rôles d'une même personne et ce que voit quelqu'un qui n'a pas le droit. Il s'adresse aux administrateurs qui configurent les droits de l'espace.

## Avant de commencer

- Les rôles se règlent dans **Paramètres › Gérer les employés › Rôles des employés**. La page s'intitule **Rôles et permissions**.
- Pour ouvrir cette page, il faut deux droits de la matrice des rôles, au palier **Accès** au moins : « Accès aux Paramètres » (rubrique Administration de la plateforme) et « Voir les cartes de rôles » (rubrique Rôles et permissions). Par défaut, seul le rôle Administrateur les détient tous les deux.
- Un bandeau rappelle en haut de la page : « Contrôlez et testez vos rôles avant d’ouvrir Illizeo à vos employés ». Vérifiez les permissions, la population cible et les membres de chaque rôle, puis testez l'accès de quelques profils types.

## Un rôle, trois réglages

Un rôle répond à trois questions, chacune réglée à un endroit précis de la page.

| Réglage | Question | Où le régler |
| --- | --- | --- |
| Les permissions | Que peut-on faire ? | La **Matrice des permissions**, une colonne par rôle (voir [Régler les permissions dans la matrice](https://illizeo.com/centre-aide/roles-matrice-des-permissions/)) |
| La population cible | Sur quels salariés ? | L'onglet **Population cible** du rôle (voir [Définir la population cible d'un rôle](https://illizeo.com/centre-aide/roles-population-cible/)) |
| La population autorisée | Qui détient le rôle ? | L'onglet **Population autorisée** du rôle (voir [Attribuer un rôle aux employés](https://illizeo.com/centre-aide/roles-attribuer-un-role/)) |

Un rôle est donc un ensemble de permissions, exercé sur une population, par les personnes qui le détiennent. Le rôle Manager livré en est l'exemple type : ses permissions lui permettent par exemple de fixer des objectifs ; sa population cible est « Mes N-1 (Manager) » ; il est détenu automatiquement par toute personne désignée comme manager dans le profil d'un salarié.

![La page Rôles et permissions de Paramètres, Gérer les employés, Rôles des employés : bandeau d'avertissement bleu, cartes des rôles avec leur badge ILLIZEO et leur nombre de membres, carte Nouveau rôle, puis la fiche du rôle sélectionné avec les onglets Population cible, Population autorisée, Rappels et Historique](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/roles-comprendre-les-droits-01.fr_.png?resize=800%2C500&quality=80&ssl=1)
Paramètres › Gérer les employés › Rôles des employés : les cartes de rôles et la fiche du rôle sélectionné.

## Comment Illizeo décide

- **Les rôles se cumulent, rôle par rôle.** Une personne peut détenir plusieurs rôles. Une action sur un salarié est permise quand un même rôle accorde le palier nécessaire et compte ce salarié dans sa population cible. La permission d'un rôle ne s'exerce jamais sur la population d'un autre rôle : un rôle à population globale n'élargit pas les droits de vos autres rôles.
- **Sur soi-même.** Agir sur ses propres données ne passe pas par la population cible : il suffit qu'un de ses rôles accorde la permission. Un rôle peut toutefois exclure son titulaire avec le réglage « Exclure l'employé lui-même ». Il suffit alors d'un autre rôle qui accorde la même permission sans exclure son titulaire.
- **Sans salarié visé.** Pour un geste qui ne porte sur personne, comme ouvrir un module ou une page de réglage, le palier détenu suffit.
- **Salariés partis.** Un salarié inactif ne détient plus aucun droit, administrateur compris. Seul le rôle Ancien collaborateur garde, pendant l'accès après départ, la consultation de ses propres documents.
- **Rôles en pause.** Un rôle désactivé, ou un rôle temporaire en dehors de ses dates, ne donne plus rien à ses membres.

## Les paliers

La matrice compte deux sortes de lignes :

- **Les fonctions** se règlent sur une échelle à quatre niveaux : **Aucun**, **Accès** (voir), **Exécuter** (agir : créer, modifier, lancer) et **Admin** (les gestes les plus sensibles de la fonction, quand elle en a). Chaque palier comprend les précédents : Exécuter inclut Accès.
- **Les champs du profil des employés** se règlent par cinq cases indépendantes : Lire, Modifier, Ajouter, Supprimer et Historique. Cocher une case coche aussi Lire.

## Les rôles fournis

Chaque espace reçoit des rôles prêts à l'emploi, marqués du badge **ILLIZEO**. Ils ne se renomment pas et ne se suppriment pas, mais leurs permissions et leurs populations se modifient comme celles de vos propres rôles, et ils se dupliquent.

| Rôle | Usage | Population cible livrée |
| --- | --- | --- |
| Administrateur | Administration de l'espace | Global (tous les employés) |
| Responsable RH | Équipe RH ; membres ajoutés à la main | Global |
| Manager | Managers ; membres automatiques : toute personne définie comme manager dans un profil | Mes N-1 (Manager) |
| Gestionnaire Paie | Gestion de la paie | Global |
| Comptabilité | Comptabilité | Global |
| Auditeur | Contrôle et audit | Global |
| Tous les employés | Détenu par chaque salarié : son libre-service | Soi-même uniquement |
| Tous les employés — sur les autres | Ce que chaque salarié peut faire sur le profil d'un collègue (présent sur les espaces récents) | Tout le monde, sauf soi |
| Recruteur | Accès au module Recrutement | — |
| Ancien collaborateur | Accès d'un salarié parti à ses propres documents | Soi-même uniquement |
| Élu CSE, Contributeur BDESE, Expert CSE | Présents seulement quand le module BDESE est installé | — |

Les permissions livrées sont un point de départ. Les droits propres à chaque module, et leur répartition par défaut entre ces rôles, sont décrits dans l'article « Administrer le module » de chaque module, par exemple [Administrer le module Gestion des absences](https://illizeo.com/centre-aide/absences-administrer/) ou [Administrer le module Performance](https://illizeo.com/centre-aide/performance-administrer/).

## Ce que voit une personne sans le droit

- Sans la permission, l'entrée n'existe pas pour elle : le menu, l'onglet, la tuile, le bouton ou le raccourci ne s'affiche pas, plutôt que d'apparaître grisé.
- Avec le seul palier Accès, une fonction se consulte sans pouvoir agir : les boutons d'action ne s'affichent pas.
- Si elle saisit directement l'adresse d'une page qui ne lui est pas ouverte, elle arrive sur la page **Accès refusé**.
- Les permissions d'un module non installé n'apparaissent pas dans la matrice. Les réglages déjà faits sont conservés et reviennent si le module est réinstallé.

## Vérifier les droits d'une personne

Le bloc **Permissions effectives par employé** donne la vue combinée de tous les rôles d'une personne. Il s'affiche sous la fiche du rôle quand l'onglet **Population autorisée** ou **Historique** est ouvert.

1. Cliquez sur **Sélectionner un employé…** et choisissez la personne.
2. Illizeo affiche ses rôles, puis chaque permission avec son **Niveau effectif** (le plus élevé parmi ses rôles) et sa **Source** (le rôle qui l'apporte).

Ce niveau ne dit pas sur qui il s'exerce : reportez-vous à la population cible du rôle source. La même vue existe dans l'onglet **Rôles** du profil de chaque employé.

![Le bloc Permissions effectives par employé : un employé sélectionné, ses rôles en pastilles, le nombre de permissions par palier et le tableau Permission, Niveau effectif, Source](https://i0.wp.com/illizeo.com/wp-content/uploads/2026/11/roles-comprendre-les-droits-02.fr_.png?resize=800%2C303&quality=80&ssl=1)
Les permissions effectives d'un employé : le niveau le plus élevé de chaque permission et le rôle qui l'apporte.

## Qui peut gérer les rôles

La gestion des rôles a sa propre rubrique dans la matrice, **Rôles et permissions**. Par défaut, le rôle Administrateur détient tous ses droits au palier Admin ; Responsable RH, Gestionnaire Paie et Auditeur ont le palier Accès sur les droits de consultation (voir les rôles, le périmètre, les exclusions, les membres et la matrice).

| Section de la rubrique | Droits (libellés de la matrice) |
| --- | --- |
| Gestion des rôles | Voir les cartes de rôles ; Créer un nouveau rôle ; Dupliquer un rôle ; Activer / Désactiver un rôle ; Supprimer un rôle (non-preset) ; Configurer rôle temporaire (dates) |
| Périmètre de visibilité | Voir le périmètre de visibilité ; Définir périmètre Global ; Ajouter/Supprimer critères (Société, Département, Bureau, Équipe, Poste) ; Ajouter/Supprimer groupes OU ; Restreindre un périmètre global ; Aperçu d'impact (employés affectés) |
| Exclusions | Voir les exclusions ; Toggle Exclure soi-même ; Ajouter/Supprimer pools d'exclusion ; Configurer critères d'exclusion (par type + employé) |
| Membres | Voir les membres du rôle ; Ajouter un membre individuel ; Retirer un membre ; Configurer membres dynamiques (pools de critères) |
| Historique | Voir le journal des modifications |
| Permissions effectives | Consulter les permissions effectives par employé ; Sélectionner un employé pour la vue combinée |
| Matrice des permissions | Consulter la matrice des permissions ; Modifier les permissions (checkboxes V/H/E/I/D) ; Rechercher / Filtrer dans la matrice ; Exporter la matrice en CSV |
| Groupes | Groupes (employés/rôles) — Créer/Modifier/Supprimer/Membres |

Les gestes de modification demandent le palier **Exécuter**. Toute modification d'un critère de population, sur l'un ou l'autre onglet, demande en plus « Configurer membres dynamiques (pools de critères) » au palier Exécuter.

## À savoir

- **Un administrateur reste toujours.** Illizeo refuse tout changement qui retirerait le palier Admin de « Modifier les permissions » ou de « Ajouter un membre individuel » au dernier rôle actif qui le détient, ou au dernier membre actif nommé d'un tel rôle.
- **Pas d'auto-promotion.** Modifier la matrice d'un rôle que l'on détient soi-même, ou d'un rôle d'administration, demande le palier Admin de « Modifier les permissions ». S'ajouter soi-même à un rôle, ou ajouter quelqu'un à un rôle d'administration, demande le palier Admin de « Ajouter un membre individuel ».
- La séparation des tâches et la revue des habilitations sont décrites dans [Gouvernance & Sécurité](https://illizeo.com/docs-category/plateforme-fr/plateforme-gouvernance-securite/). L'obligation de double authentification par rôle se règle dans **Paramètres › Gérer les employés › Sécurité** (voir [Sécurité & conformité](https://illizeo.com/docs-category/plateforme-fr/plateforme-securite-sso/)).
- Un rôle peut aussi désigner les approbateurs d'un workflow : voir [Flux & approbations](https://illizeo.com/docs-category/plateforme-fr/plateforme-flux-approbations/).

## Questions fréquentes

### Un salarié a deux rôles : lequel l'emporte ?

Aucun ne l'emporte sur l'autre. Chaque rôle s'applique sur sa propre population cible, et le salarié peut faire tout ce qu'un de ses rôles lui permet, sur les personnes que ce rôle couvre.

### Un responsable RH ne voit pas la page Rôles des employés.

Par défaut, le rôle Responsable RH n'a pas « Accès aux Paramètres ». Il consulte les rôles d'une personne dans l'onglet **Rôles** de son profil. Accordez-lui « Accès aux Paramètres » si vos RH doivent ouvrir la page.

### *Similaire*