Le Home Office instaure l'authentification multi-facteurs obligatoire et supprime progressivement les utilisateurs de niveau 2 sur le système de gestion des sponsors

Le Home Office a publié la version 08/26 de son guide pour les employeurs et travailleurs temporaires sponsorisés — la révision la plus importante depuis la refonte du régime de parrainage en 2020. À partir du 3 septembre 2026, toutes les organisations titulaires d’une licence de sponsor devront activer l’authentification à plusieurs facteurs (MFA) pour tous les utilisateurs du système de gestion des sponsors en ligne (SMS). Les nouvelles licences accordées à partir du 9 septembre intègrent déjà la MFA par défaut, et le ministère vise une couverture totale d’ici novembre.

Parallèlement, le rôle autrefois populaire de « Niveau 2 » — souvent attribué à des membres juniors des ressources humaines ou à des conseillers externes pour des tâches courantes liées aux certificats de parrainage (CoS) — est progressivement supprimé. Les entreprises ne peuvent plus nommer de nouveaux utilisateurs de Niveau 2, et tous les comptes existants doivent être mis à niveau ou désactivés avant le 8 mars 2027. Toute licence sans utilisateur actif de Niveau 1, en raison de comptes inactifs, sera automatiquement suspendue à moins qu’un remplaçant ne soit désigné dans les 28 jours.

Si cette réforme est présentée comme une amélioration de la cybersécurité, elle marque surtout un changement de culture: la gestion du SMS est désormais indissociable du respect des règles d’immigration. En cas de perte d’accès à un téléphone nécessaire à la MFA par un utilisateur de Niveau 1, l’employeur risque de ne pas respecter le délai de 10 jours pour signaler un changement dans l’emploi d’un migrant, ce qui peut entraîner une rétrogradation voire la révocation de la licence.



Le guide précise toutefois que les licences révoquées uniquement pour cause de comptes utilisateurs inactifs ne seront pas soumises à la période d’attente habituelle de 12 mois avant une nouvelle demande. Les employeurs doivent agir sans délai. Premièrement, auditer tous les utilisateurs du SMS et supprimer ou mettre à niveau les comptes de Niveau 2. Deuxièmement, s’assurer qu’au moins deux utilisateurs de Niveau 1 formés disposent de coordonnées à jour et de méthodes d’authentification de secours. Troisièmement, intégrer la revue des accès SMS dans les contrôles mensuels de conformité RH.

Les grandes multinationales devront peut-être revoir leurs politiques internes sur la séparation des tâches et la gestion des risques cyber, ainsi que mettre à jour leurs plans de contingence pour les attributions de CoS en dehors des heures ouvrables. Pour les responsables de la mobilité internationale, le message est clair: considérer le SMS comme un système critique. Intégrer la MFA dans les processus d’intégration du personnel, maintenir une équipe solide pour les responsabilités de Niveau 1, et informer la direction que la conformité en matière d’immigration s’étend désormais aux identifiants informatiques.

Les premiers utilisateurs rapportent que la mise en place prend moins de cinq minutes par utilisateur, mais permet d’économiser des heures de stress lors des audits du Home Office.