Départ d'un collaborateur : comment fermer tous les accès IT

Un compte oublié après le départ d'un collaborateur est l'une des failles de sécurité les plus fréquentes dans les PME, et pourtant l'une des plus simples à éviter. La réponse tient en une phrase : mettre en place une procédure d'onboarding et d'offboarding informatique formalisée, qui ne dépend pas de la mémoire d'une seule personne, et qui couvre tous les systèmes, pas seulement la messagerie.

Pourquoi un accès oublié représente-t-il un vrai risque pour l'entreprise ?

Un ancien employé qui garde accès à la messagerie, au CRM, au VPN ou à un dossier partagé n'est pas toujours malveillant, mais le risque existe dès que l'accès subsiste : fuite de données, usurpation, ou simplement point d'entrée oublié qu'un tiers malintentionné pourrait exploiter si le mot de passe a été réutilisé ailleurs. Dans une PME, ce risque est souvent plus élevé que dans une grande entreprise, car les accès sont rarement centralisés dans un seul annuaire et dépendent parfois d'applications métier gérées directement par les équipes.

La difficulté n'est pas technique, elle est organisationnelle : sans checklist, chaque départ est traité au cas par cas, selon qui s'en souvient et quand.

Que doit contenir une procédure d'arrivée (onboarding) informatique ?

L'onboarding pose les fondations de l'offboarding. Un compte créé proprement, avec les bons droits dès le départ, est un compte qui pourra être désactivé proprement.

• Créer le compte utilisateur à partir d'un modèle de rôle (vente, comptabilité, direction) plutôt que de copier les droits d'un collègue au hasard.
• Documenter dans une fiche unique tous les accès attribués : messagerie, partages réseau, applications métier, VPN, badge physique.
• Activer l'authentification à plusieurs facteurs dès le premier jour, sans exception.
• Associer chaque compte à une date de fin de contrat connue, même pour un CDI, afin de ne jamais partir d'une fiche vide le jour du départ.

Que doit contenir une procédure de départ (offboarding) informatique ?

C'est le cœur du sujet. La checklist doit être déclenchée dès l'annonce du départ, pas le dernier jour, car certaines étapes demandent une coordination avec les ressources humaines et la hiérarchie.

• Désactiver immédiatement les accès à distance : VPN, bureau à distance, applications cloud accessibles depuis l'extérieur.
• Suspendre le compte de messagerie et mettre en place une redirection ou un message d'absence temporaire si nécessaire, sans supprimer la boîte avant d'avoir vérifié les éléments à conserver.
• Révoquer les accès à toutes les applications métier (comptabilité, CRM, outils RH), y compris celles gérées hors du service informatique principal.
• Récupérer le matériel : ordinateur, téléphone, badges, clés USB, et vérifier qu'aucune copie locale de données sensibles ne reste sur un appareil personnel.
• Changer les mots de passe partagés auxquels la personne avait accès (comptes administrateur, réseaux sociaux de l'entreprise, outils de facturation).
• Retirer la personne des groupes de distribution, des canaux de discussion internes et des listes d'autorisation.
• Archiver puis désactiver le compte selon un calendrier défini, en conservant les données nécessaires à la continuité de l'activité dans le respect de la nLPD.
• Documenter la clôture dans la même fiche que celle créée à l'arrivée, pour garder une traçabilité complète.

Comment automatiser l'onboarding et l'offboarding informatique dans une PME ?

La checklist papier fonctionne, mais elle dépend de la discipline humaine. Dès qu'une PME dépasse une poignée de collaborateurs, l'automatisation devient pertinente : un compte créé dans l'annuaire d'entreprise peut déclencher automatiquement la création des accès aux applications liées, et inversement, la désactivation du compte dans l'annuaire peut couper en cascade les accès aux outils connectés. Cette approche réduit le nombre d'étapes manuelles, donc le nombre d'oublis possibles, et elle permet de produire un journal d'audit utile en cas de contrôle ou d'incident. Notre page sur l'automatisation des processus IT détaille comment construire ce type de flux sans complexité excessive pour une petite structure.

Ce que nous recommandons à une PME genevoise

1. Formaliser une checklist unique d'arrivée et de départ, partagée entre RH et informatique, et ne jamais traiter un départ « à l'oreille ».
2. Centraliser les identités dans un annuaire unique autant que possible, pour que la désactivation d'un compte coupe réellement tous les accès liés.
3. Déclencher l'offboarding dès l'annonce du préavis, pas le dernier jour de travail, pour avoir le temps de vérifier chaque point.
4. Documenter chaque accès attribué et chaque accès retiré, cette traçabilité est aussi utile pour la conformité à la nLPD que pour la sécurité.
5. Pour les PME de Genève et de Suisse romande qui n'ont pas de ressource interne dédiée à ce suivi, un partenaire IT de proximité peut prendre en charge l'exécution systématique de cette checklist à chaque mouvement de personnel.

Ce sujet recoupe directement les enjeux de cybersécurité et de conformité nLPD d'une PME : un accès oublié est à la fois une porte d'entrée pour un incident et un manquement potentiel dans la gestion des données personnelles.

À retenir

• Un départ mal géré sur le plan IT laisse des accès ouverts bien après la fin du contrat, souvent sans que personne s'en aperçoive.
• Une checklist unique, déclenchée dès l'annonce du départ et couvrant tous les systèmes, réduit fortement ce risque.
• L'automatisation et la centralisation des identités rendent cette procédure fiable même sans ressource informatique dédiée en interne.

Si vous souhaitez revoir votre procédure d'arrivée et de départ avec un regard extérieur, nous proposons un échange de 15 minutes offert pour évaluer où se situent vos points de risque actuels.

Questions fréquentes

Faut-il désactiver un compte immédiatement ou attendre le dernier jour ?

Les accès à distance doivent être coupés dès l'annonce du départ, tandis que la messagerie peut être suspendue plutôt que supprimée le temps de récupérer les éléments utiles. Le reste des accès suit la checklist jusqu'au dernier jour de travail.

Que faire des comptes partagés après un départ ?

Tout mot de passe partagé auquel la personne avait accès doit être changé, qu'il s'agisse d'un compte administrateur, d'un outil de facturation ou d'un réseau social d'entreprise. C'est une étape souvent oubliée mais essentielle.

L'offboarding informatique a-t-il un lien avec la nLPD ?

Oui, car conserver ou laisser accessibles des données personnelles au-delà de ce qui est nécessaire peut constituer un manquement. Documenter la clôture des accès fait partie d'une bonne gestion de la conformité.