SharePoint Advanced Management est inclus avec Copilot : ce qu'il couvre, et ce qu'il ne voit pas

Depuis que Microsoft inclut SharePoint Advanced Management avec toute licence Microsoft 365 Copilot, une phrase revient dans les réunions : "on a Copilot, donc la gouvernance est réglée".

Elle est à moitié vraie, et la moitié vraie est plus grande que ce que la plupart des éditeurs de ce marché veulent bien admettre. Autant le dire tout de suite : si votre exposition est entièrement dans SharePoint et que vous avez déjà des licences Copilot, SAM couvre l'essentiel de ce dont vous avez besoin. Cet article ne sert à rien pour vous, et personne ne devrait vous vendre autre chose.

Le reste du temps, il y a quatre angles morts qu'il vaut mieux connaître avant de considérer le sujet comme clos.

Ce que SAM couvre, et c'est beaucoup #

D'après la documentation Microsoft, une licence Copilot ouvre notamment :

Contre la prolifération de sites

• politique de propriété de site, politique de sites inactifs, politique

d'attestation de site, chacune disponible en mode simulation puis en mode actif

Contre le surpartage

• rapports sur les liens de partage
• insights EEEU ("Everyone Except External Users"), c'est-à-dire les contenus

ouverts à toute l'organisation

• Restricted Content Discovery, pour retirer un site de la découverte par

Copilot et par la recherche

• Restricted Access Control, politique de blocage du téléchargement
• rapports d'état des permissions, revue d'accès aux sites
• comparaison des politiques de sites, évaluation de la gestion de contenu
• enterprise app insights, insights sur les agents SharePoint
• étiquettes de confidentialité, sous réserve d'une licence E5 ou G5

Cycle de vie du contenu

• gestion du catalogue, historique des modifications de paramètres de site,

actions administrateur récentes

C'est un outillage sérieux. Il y a cinq ans, il aurait fallu acheter un produit tiers pour la moitié de cette liste.

Angle mort n°1 : SAM gouverne SharePoint, et seulement SharePoint #

C'est la limite structurante, et elle est dans le nom.

SAM ne couvre pas Teams et ses canaux, ne couvre pas Power Platform (Power Automate, Power Apps), et laisse OneDrive largement de côté dans les rapports de gouvernance des accès.

Or dans une entreprise de 100 à 300 postes, la découverte qui fait réagir un comité de direction n'est presque jamais dans SharePoint seul. C'est le OneDrive d'un salarié parti il y a dix-huit mois dont le compte est désactivé mais dont les données existent encore, avec des liens de partage créés par lui et qui fonctionnent toujours. C'est une équipe Teams sans propriétaire, partagée à l'extérieur, dont plus personne ne sait ce qu'elle contient.

Angle mort n°2 : les agents Copilot Studio #

SAM propose des insights sur les agents SharePoint. Il ne fournit pas d'inventaire des agents Copilot Studio, qui peuvent être créés depuis plusieurs surfaces différentes par n'importe quel utilisateur licencié.

C'est un décalage inconfortable : la licence qui vous donne SAM est aussi celle qui permet à vos utilisateurs de fabriquer des agents, et la gouvernance de ces agents-là relève d'un autre produit, facturé séparément.

Angle mort n°3 : le plafond de 100 sites #

Les rapports Data Access Governance de la console d'administration sont plafonnés à 100 sites. Au-delà, il faut passer par l'export CSV, qui monte beaucoup plus haut mais qui n'est plus une lecture, c'est un traitement de données.

Pour un tenant de 40 sites, aucune importance. Pour un tenant qui a dix ans d'historique, plusieurs centaines de sites et des sous-sites hérités de trois réorganisations, le plafond se rencontre le premier jour. Et c'est exactement le profil de tenant où le surpartage est un vrai sujet.

Angle mort n°4 : trouver n'est pas prouver #

C'est la limite la moins discutée et la plus coûteuse.

SAM vous montre un état. Il ne fait pas de remédiation automatisée, il ne raconte pas l'écart d'une semaine sur l'autre, et il ne produit pas une chaîne de preuve horodatée montrant qu'un problème a été trouvé, corrigé, par qui et quand.

Un auditeur ne demande pas la copie d'écran d'un rapport. Il demande la preuve que l'écart identifié au trimestre précédent a été traité. Comme le formule un des responsables informatiques avec qui nous travaillons :

Trouver le problème, c'est la moitié du travail. Prouver qu'il a été corrigé, avec la date et l'auteur, c'est ce que l'auditeur vous demandera.

Ajoutons un point de calendrier qui appartient à la même famille : Restricted SharePoint Search est retiré le 31 janvier 2027, remplacé par Restricted Content Discovery, dont la logique est inversée (liste de blocage au lieu de liste d'autorisation). Les organisations qui avaient utilisé RSS comme frein d'urgence avant un déploiement Copilot ont un chantier de migration daté, et un risque précis à la clé : du contenu jusqu'ici invisible qui redevient découvrable.

Alors, faut-il autre chose ? #

Le tableau honnête :

Comment nous nous positionnons chez Olyteck #

Nous ne prétendons pas remplacer SAM sur SharePoint. Nous couvrons ce que SAM ne regarde pas, et nous ajoutons la partie preuve.

Concrètement, Olyteck Cyber est un scanner en lecture seule, sans agent, via Microsoft Graph, hébergé en France chez Scaleway, révocable en un clic. Ce qu'il apporte à côté de SAM :

• OneDrive des comptes désactivés qui détiennent encore des données
• applications OAuth et les autorisations qu'elles ont réellement obtenues
• posture MFA et Conditional Access
• hygiène Teams et groupes Microsoft 365, dont les équipes sans propriétaire
• les accès réels d'une personne à travers tous ces périmètres en une seule

vue, avec la ligne de couverture affichée : "858 comptes analysés sur 868"

• l'écart d'une semaine sur l'autre et un journal d'audit horodaté, exportable

Premier rapport en 2 minutes, mesuré sur un tenant de 200 personnes et 170 sites SharePoint. Sur un tenant de 400 personnes et 1 200 sites sans historique de gouvernance, l'analyse complète tourne plusieurs heures en tâche de fond. Nous préférons annoncer les deux chiffres plutôt qu'un seul.

Ce que nous ne faisons pas, et que nous ne prétendrons pas faire : nous ne lisons pas le contenu de vos fichiers, donc nous ne faisons pas de classification de données ; nous n'auditons pas les étiquettes de confidentialité Purview ; nous ne faisons pas de détection de menace ni de forensique Copilot ; et nous n'inventorions pas vos agents Copilot Studio. Nous montrons ce qu'un agent pourrait atteindre, parce que c'est la même question de permissions.

Nous n'avons pas besoin de lire vos fichiers pour vous dire qui peut les lire.

FAQ #

SharePoint Advanced Management est-il vraiment inclus avec Copilot ? #

Oui, une licence Microsoft 365 Copilot ouvre l'essentiel des fonctionnalités SAM. Une exception connue : la restriction de création de sites par les applications reste liée au module complémentaire SharePoint Advanced Management Plan 1.

Faut-il une licence E5 pour auditer les permissions Microsoft 365 ? #

Non pour l'essentiel. Les rapports de gouvernance des accès de SAM arrivent par la licence Copilot, et un scanner tiers en lecture seule fonctionne sur E3. En revanche les étiquettes de confidentialité, elles, demandent E5 ou G5.

SAM couvre-t-il OneDrive ? #

Partiellement, et pas dans les rapports de gouvernance des accès, où OneDrive est largement laissé de côté. C'est un point à vérifier tôt, parce que le résidu des départs vit précisément là.

Que se passe-t-il au retrait de Restricted SharePoint Search ? #

RSS est retiré le 31 janvier 2027 et remplacé par Restricted Content Discovery, qui fonctionne en liste de blocage plutôt qu'en liste d'autorisation. Si vous utilisiez RSS pour limiter ce que Copilot pouvait indexer, prévoyez la migration : sans elle, du contenu jusqu'ici invisible redevient découvrable.

Restricted Content Discovery empêche-t-il l'accès à un site ? #

Non. RCD agit sur la découvrabilité, pas sur les permissions. Un utilisateur qui connaît l'URL et qui a les droits entre toujours. C'est utile, mais ce n'est pas un contrôle d'accès.

Sources #

• Microsoft Learn, *SharePoint Advanced Management features included with

Microsoft 365 Copilot licenses, et SharePoint Advanced Management prerequisites*

• Microsoft Learn, Restricted Content Discovery

État de la documentation Microsoft au 19 août 2026. Le périmètre de SAM évolue vite : vérifiez la page Microsoft Learn avant de vous appuyer sur une de ces limites dans une décision d'achat.

À lire ensuite #

• Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement
• Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint
• Agents IA et sécurité Microsoft 365 : la nouvelle surface d'attaque à auditer