# SharePoint Advanced Management est inclus avec Copilot : ce qu'il couvre, et ce qu'il ne voit pas

> Une licence Microsoft 365 Copilot donne accès à SharePoint Advanced Management. Ce que SAM couvre vraiment, et les quatre angles morts qui restent.

Source: https://olyteck.com/blog/fr/sharepoint-advanced-management-inclus-copilot-limites
Published: 2026-08-19
Author: Oleg Garasym, Olyteck (France, EU-hosted)
Product: Olyteck Cyber
Topics: sharepoint, copilot, microsoft 365, gouvernance, permissions, sam, onedrive, audit
License: free to quote with attribution to Olyteck and a link to the source URL.

---

Depuis que Microsoft inclut **SharePoint Advanced Management** avec toute licence
Microsoft 365 Copilot, une phrase revient dans les réunions : *"on a Copilot, donc
la gouvernance est réglée"*.

Elle est à moitié vraie, et la moitié vraie est plus grande que ce que la plupart
des éditeurs de ce marché veulent bien admettre. Autant le dire tout de suite :
**si votre exposition est entièrement dans SharePoint et que vous avez déjà des
licences Copilot, SAM couvre l'essentiel de ce dont vous avez besoin.** Cet
article ne sert à rien pour vous, et personne ne devrait vous vendre autre chose.

Le reste du temps, il y a quatre angles morts qu'il vaut mieux connaître avant de
considérer le sujet comme clos.

## Ce que SAM couvre, et c'est beaucoup

D'après la documentation Microsoft, une licence Copilot ouvre notamment :

**Contre la prolifération de sites**

- politique de propriété de site, politique de sites inactifs, politique
  d'attestation de site, chacune disponible en mode simulation puis en mode actif

**Contre le surpartage**

- rapports sur les liens de partage
- **insights EEEU** ("Everyone Except External Users"), c'est-à-dire les contenus
  ouverts à toute l'organisation
- **Restricted Content Discovery**, pour retirer un site de la découverte par
  Copilot et par la recherche
- Restricted Access Control, politique de blocage du téléchargement
- rapports d'état des permissions, revue d'accès aux sites
- comparaison des politiques de sites, évaluation de la gestion de contenu
- enterprise app insights, insights sur les agents SharePoint
- étiquettes de confidentialité, sous réserve d'une licence E5 ou G5

**Cycle de vie du contenu**

- gestion du catalogue, historique des modifications de paramètres de site,
  actions administrateur récentes

C'est un outillage sérieux. Il y a cinq ans, il aurait fallu acheter un produit
tiers pour la moitié de cette liste.

## Angle mort n°1 : SAM gouverne SharePoint, et seulement SharePoint

C'est la limite structurante, et elle est dans le nom.

SAM ne couvre pas **Teams et ses canaux**, ne couvre pas **Power Platform** (Power
Automate, Power Apps), et laisse **OneDrive largement de côté** dans les rapports
de gouvernance des accès.

Or dans une entreprise de 100 à 300 postes, la découverte qui fait réagir un
comité de direction n'est presque jamais dans SharePoint seul. C'est le OneDrive
d'un salarié parti il y a dix-huit mois dont le compte est désactivé mais dont les
données existent encore, avec des liens de partage créés par lui et qui
fonctionnent toujours. C'est une équipe Teams sans propriétaire, partagée à
l'extérieur, dont plus personne ne sait ce qu'elle contient.

## Angle mort n°2 : les agents Copilot Studio

SAM propose des insights sur les **agents SharePoint**. Il ne fournit pas
d'inventaire des **agents Copilot Studio**, qui peuvent être créés depuis
plusieurs surfaces différentes par n'importe quel utilisateur licencié.

C'est un décalage inconfortable : la licence qui vous donne SAM est aussi celle
qui permet à vos utilisateurs de fabriquer des agents, et la gouvernance de ces
agents-là relève d'un autre produit, facturé séparément.

## Angle mort n°3 : le plafond de 100 sites

Les rapports **Data Access Governance** de la console d'administration sont
plafonnés à **100 sites**. Au-delà, il faut passer par l'export CSV, qui monte
beaucoup plus haut mais qui n'est plus une lecture, c'est un traitement de données.

Pour un tenant de 40 sites, aucune importance. Pour un tenant qui a dix ans
d'historique, plusieurs centaines de sites et des sous-sites hérités de trois
réorganisations, le plafond se rencontre le premier jour. Et c'est exactement le
profil de tenant où le surpartage est un vrai sujet.

## Angle mort n°4 : trouver n'est pas prouver

C'est la limite la moins discutée et la plus coûteuse.

SAM vous montre un état. Il ne fait pas de **remédiation automatisée**, il ne
raconte pas **l'écart d'une semaine sur l'autre**, et il ne produit pas une
**chaîne de preuve horodatée** montrant qu'un problème a été trouvé, corrigé, par
qui et quand.

Un auditeur ne demande pas la copie d'écran d'un rapport. Il demande la preuve que
l'écart identifié au trimestre précédent a été traité. Comme le formule un des
responsables informatiques avec qui nous travaillons :

> Trouver le problème, c'est la moitié du travail. Prouver qu'il a été corrigé,
> avec la date et l'auteur, c'est ce que l'auditeur vous demandera.

Ajoutons un point de calendrier qui appartient à la même famille :
**Restricted SharePoint Search est retiré le 31 janvier 2027**, remplacé par
Restricted Content Discovery, dont la logique est inversée (liste de blocage au
lieu de liste d'autorisation). Les organisations qui avaient utilisé RSS comme
frein d'urgence avant un déploiement Copilot ont un chantier de migration daté,
et un risque précis à la clé : du contenu jusqu'ici invisible qui redevient
découvrable.

## Alors, faut-il autre chose ?

Le tableau honnête :

| Votre situation | Notre réponse |
|---|---|
| Exposition entièrement SharePoint, licences Copilot déjà achetées, moins de 100 sites | **SAM suffit.** N'achetez rien d'autre |
| Vous n'avez pas de licences Copilot | Vous n'avez pas SAM non plus. C'est une autre discussion |
| Le sujet inclut OneDrive, les comptes de départs, Teams, les applications OAuth ou la posture d'identité | SAM ne couvre pas ce périmètre |
| Vous devez **prouver** une correction à un auditeur ou à une maison mère | C'est le point où SAM s'arrête |
| Plusieurs centaines de sites | Le plafond de 100 sites de la console va vous gêner rapidement |

## Comment nous nous positionnons chez Olyteck

Nous ne prétendons pas remplacer SAM sur SharePoint. Nous couvrons ce que SAM ne
regarde pas, et nous ajoutons la partie preuve.

Concrètement, Olyteck Cyber est un scanner **en lecture seule**, sans agent, via
Microsoft Graph, **hébergé en France** chez Scaleway, révocable en un clic. Ce
qu'il apporte à côté de SAM :

- **OneDrive des comptes désactivés** qui détiennent encore des données
- **applications OAuth** et les autorisations qu'elles ont réellement obtenues
- **posture MFA et Conditional Access**
- **hygiène Teams et groupes Microsoft 365**, dont les équipes sans propriétaire
- **les accès réels d'une personne** à travers tous ces périmètres en une seule
  vue, avec la ligne de couverture affichée : *"858 comptes analysés sur 868"*
- **l'écart d'une semaine sur l'autre** et un journal d'audit horodaté, exportable

Premier rapport en **2 minutes**, mesuré sur un tenant de 200 personnes et 170
sites SharePoint. Sur un tenant de 400 personnes et 1 200 sites sans historique de
gouvernance, l'analyse complète tourne plusieurs heures en tâche de fond. Nous
préférons annoncer les deux chiffres plutôt qu'un seul.

Ce que nous ne faisons pas, et que nous ne prétendrons pas faire : nous ne lisons
pas le contenu de vos fichiers, donc nous ne faisons pas de classification de
données ; nous n'auditons pas les étiquettes de confidentialité Purview ; nous ne
faisons pas de détection de menace ni de forensique Copilot ; et nous
n'inventorions pas vos agents Copilot Studio. Nous montrons ce qu'un agent
pourrait atteindre, parce que c'est la même question de permissions.

Nous n'avons pas besoin de lire vos fichiers pour vous dire qui peut les lire.

## FAQ

### SharePoint Advanced Management est-il vraiment inclus avec Copilot ?

Oui, une licence Microsoft 365 Copilot ouvre l'essentiel des fonctionnalités SAM.
Une exception connue : la restriction de création de sites par les applications
reste liée au module complémentaire SharePoint Advanced Management Plan 1.

### Faut-il une licence E5 pour auditer les permissions Microsoft 365 ?

Non pour l'essentiel. Les rapports de gouvernance des accès de SAM arrivent par la
licence Copilot, et un scanner tiers en lecture seule fonctionne sur E3. En
revanche les étiquettes de confidentialité, elles, demandent E5 ou G5.

### SAM couvre-t-il OneDrive ?

Partiellement, et pas dans les rapports de gouvernance des accès, où OneDrive est
largement laissé de côté. C'est un point à vérifier tôt, parce que le résidu des
départs vit précisément là.

### Que se passe-t-il au retrait de Restricted SharePoint Search ?

RSS est retiré le 31 janvier 2027 et remplacé par Restricted Content Discovery,
qui fonctionne en liste de blocage plutôt qu'en liste d'autorisation. Si vous
utilisiez RSS pour limiter ce que Copilot pouvait indexer, prévoyez la migration :
sans elle, du contenu jusqu'ici invisible redevient découvrable.

### Restricted Content Discovery empêche-t-il l'accès à un site ?

Non. RCD agit sur la **découvrabilité**, pas sur les permissions. Un utilisateur
qui connaît l'URL et qui a les droits entre toujours. C'est utile, mais ce n'est
pas un contrôle d'accès.

## Sources

- Microsoft Learn, *SharePoint Advanced Management features included with
  Microsoft 365 Copilot licenses*, et *SharePoint Advanced Management
  prerequisites*
- Microsoft Learn, *Restricted Content Discovery*

*État de la documentation Microsoft au 19 août 2026. Le périmètre de SAM évolue
vite : vérifiez la page Microsoft Learn avant de vous appuyer sur une de ces
limites dans une décision d'achat.*

## À lire ensuite

- [Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement](/blog/fr/checklist-permissions-copilot-microsoft-365)
- [Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint](/blog/fr/trouver-liens-partage-anonymes-microsoft-365)
- [Agents IA et sécurité Microsoft 365 : la nouvelle surface d'attaque à auditer](/blog/fr/agents-ia-microsoft-365-surface-attaque)