Onboarding et départ de collaborateurs : comment éviter que la gestion des comptes et des accès devienne un risque pour l’entreprise
Dans beaucoup de PME, l’arrivée ou le départ d’un collaborateur se gère encore “au fil de l’eau”. Un mail des RH, un appel au support, un PC préparé dans l’urgence, un badge désactivé mais une boîte mail encore active, ou l’inverse. Sur le moment, cela paraît anodin. En pratique, c’est souvent là que commencent les oublis, les allers-retours inutiles et les petits incidents qui finissent par désorganiser la journée. 🔧
Le problème ne touche pas seulement la sécurité. Il impacte aussi la continuité opérationnelle : un nouvel arrivant sans accès à Microsoft 365 le premier matin, un technicien terrain qui ne peut pas ouvrir son VPN sur un site isolé, un collaborateur parti depuis trois semaines dont le compte reste actif sur une application métier, ou un changement de poste interne qui conserve des droits devenus incohérents. Dans les environnements industriels ou multisites, ces écarts coûtent encore plus cher, parce qu’ils bloquent des opérations très concrètes. ⚠️
Pourquoi l’onboarding, la mobilité interne et l’offboarding deviennent vite un sujet opérationnel
On associe souvent l’onboarding et l’offboarding à de l’administratif. Pourtant, côté IT, ce sont des moments sensibles. Chaque arrivée, mobilité ou départ implique une chaîne d’actions qui touche plusieurs briques : poste de travail, messagerie, téléphonie, accès réseau, VPN, applications métier, groupes de sécurité, archives, licences, parfois même des routeurs, cartes SIM M2M ou connexions distantes sur des sites techniques.
Quand cette chaîne n’est pas formalisée, elle repose sur la mémoire des équipes. Et c’est là que les problèmes apparaissent : accès ouverts trop longtemps, droits donnés trop largement “pour dépanner”, matériel non récupéré, renvois de mails mal configurés, ou comptes supprimés trop tôt alors qu’il fallait encore conserver des données. Le support passe alors son temps à corriger après coup, au lieu d’exploiter sereinement le SI.
Un onboarding ou un départ mal géré n’est pas un simple oubli administratif : c’est souvent le point de départ d’un incident opérationnel ou d’un risque d’accès non maîtrisé.
Dans une PME, ces dysfonctionnements sont rarement spectaculaires, mais ils s’accumulent. Une heure perdue ici, une relance là, un utilisateur bloqué, un manager en attente d’un accès urgent. Au bout de quelques mois, cela représente un vrai coût caché, sans parler du risque si un ancien collaborateur conserve un accès distant actif. 🔐
Ce sujet rejoint d’ailleurs directement les enjeux de support et infogérance informatique : plus le processus est clair, plus les traitements sont rapides, fiables et traçables.
Ce qu’il faut cadrer à chaque arrivée, mobilité interne ou départ
Le plus efficace n’est pas de multiplier les outils, mais de définir un périmètre standard de contrôle. À chaque mouvement, l’objectif est simple : savoir exactement quoi créer, modifier, suspendre, transférer ou supprimer. Cela évite les interprétations, les traitements partiels et les oublis de dernière minute.
- Identité numérique : compte utilisateur, groupes, droits d’accès, MFA, VPN, annuaire, accès Wi-Fi et réseau.
- Environnement de travail : PC, smartphone, logiciels, licences, imprimantes, profils, lecteurs réseau, téléphonie fixe ou mobile.
- Outils collaboratifs : Microsoft 365 et outils collaboratifs, messagerie, Teams, SharePoint, calendrier, listes de diffusion, boîtes partagées.
- Applications métier : ERP, CRM, supervision, GED, outils de maintenance, accès fournisseurs ou portails externes.
- Traçabilité : date d’effet, demandeur, valideur, actions réalisées, matériel remis ou restitué.
La mobilité interne est souvent le cas le plus mal traité. On pense à ajouter les nouveaux accès, mais on oublie de retirer ceux de l’ancien poste. Résultat : des droits s’empilent au fil des années. Un utilisateur change de fonction, mais garde encore des permissions sur un ancien périmètre commercial, financier ou technique. C’est typiquement le genre de dérive discrète qui crée un risque sans bruit.
Les oublis les plus fréquents sur le terrain
Dans les faits, les problèmes viennent rarement d’un seul gros oubli. Ils viennent d’une suite de détails mal transmis entre RH, management et IT. Un départ annoncé tardivement, un changement de poste communiqué oralement, un prestataire oublié dans une liste VPN, une boîte mail conservée sans règle claire, un PC récupéré mais jamais réinitialisé.
Sur des environnements plus techniques, on voit aussi des cas très concrets : un technicien qui devait accéder à un routeur industriel sur un parc isolé mais n’a pas le bon profil VPN, une SIM de supervision encore rattachée à l’ancien responsable, un accès distant partagé entre plusieurs personnes “par habitude”, ou une tablette de maintenance non inventoriée. Ce ne sont pas des cas théoriques. Ce sont des incidents d’exploitation qui ralentissent les équipes et compliquent le support. 📶
Autre point sensible : Microsoft 365. Beaucoup d’entreprises créent les comptes correctement à l’arrivée, mais gèrent moins bien la suite. À un départ, il faut décider quoi faire des mails, du OneDrive, des accès Teams, des partages SharePoint, des licences et de l’éventuelle délégation de boîte. Sans règle claire, on improvise dans l’urgence, souvent au moment où quelqu’un cherche un document introuvable. Microsoft détaille d’ailleurs plusieurs bonnes pratiques de gestion des identités et des accès dans son centre de documentation officiel : gestion des identités et des accès.
Mettre en place un processus simple, sans alourdir le quotidien
Un bon processus n’a pas besoin d’être lourd. Il doit surtout être reproductible. Le plus utile consiste à définir un circuit unique entre RH, manager et IT, avec une date d’effet et une fiche de mouvement. À partir de là, l’exploitation informatique peut appliquer une check-list standard et tracer ce qui a été fait. ✅
- Avant la date : validation du profil utilisateur, des droits, du matériel et des applications nécessaires.
- Le jour J : exécution technique, tests d’accès, remise du matériel, vérification de la messagerie, MFA, VPN et téléphonie.
- Après l’action : contrôle de conformité, récupération ou transfert des données, fermeture des accès obsolètes, mise à jour de l’inventaire.
Cette mécanique fonctionne très bien si vous définissez des profils types par fonction : administratif, commercial, production, direction, technicien terrain, prestataire externe. Cela évite de reconstruire les droits à chaque fois et limite les écarts entre utilisateurs ayant le même rôle. C’est aussi plus propre pour les audits internes ou simplement pour reprendre la main sur un SI qui a grandi vite.
Le vrai gain ne vient pas d’une accumulation d’outils, mais d’un processus standard, validé et traçable pour chaque mouvement de collaborateur.
Il est également important de distinguer désactivation et suppression. Lors d’un départ, couper immédiatement les accès actifs est souvent indispensable. En revanche, supprimer trop vite un compte peut entraîner une perte d’historique, de mails ou de fichiers. Il faut donc prévoir des délais et des règles de conservation, en fonction des usages réels de l’entreprise.
Si votre organisation évolue rapidement, un accompagnement en DSI externalisée ou en cadrage de processus peut aider à structurer durablement ces étapes, sans alourdir l’exploitation quotidienne.
La traçabilité des comptes et des accès change tout pour le support et la sécurité
Beaucoup de tensions disparaissent dès que chaque mouvement est tracé proprement. Qui a demandé l’accès ? Pour quel rôle ? À quelle date ? Qui a validé ? Qu’est-ce qui a été réellement exécuté ? Sans ces éléments, le support se retrouve à intervenir dans le flou, et personne ne sait vraiment si un accès est légitime, temporaire ou oublié depuis des mois.
La traçabilité est aussi utile en cas d’incident. Si un compte continue de se connecter après un départ, s’il reste un accès sur un partage sensible, ou si une application métier pose problème après une mobilité interne, vous gagnez un temps précieux pour comprendre ce qui s’est passé. On ne parle pas ici d’un dispositif complexe de cybersécurité, mais d’une base d’exploitation saine et fiable. 🧭
Dans une logique d’infogérance, c’est souvent ce qui fait la différence entre un support subi et un support piloté. Quand les règles sont claires, l’équipe IT traite plus vite, avec moins d’allers-retours, moins d’urgences et moins de dépendance à une seule personne qui “sait comment on fait”. Pour aller plus loin sur l’analyse des risques liés aux accès et aux droits, l’ANSSI publie également des recommandations utiles sur l’hygiène informatique.
Sur les environnements exposés, cette rigueur complète utilement un dispositif de sécurisation des accès VPN et de sécurité réseau, en limitant les comptes oubliés et les droits incohérents.
Ce qu’une PME gagne à structurer durablement ces étapes
Formaliser l’onboarding, les changements de poste et l’offboarding n’est pas un projet théorique. C’est une mesure très concrète de continuité opérationnelle. Vous réduisez les blocages au premier jour, vous limitez les oublis au départ, vous gardez un meilleur contrôle sur les droits, et vous simplifiez le travail du support comme celui des managers.
Dans les PME et les structures techniques, le bénéfice est immédiat : moins d’interruptions, moins de manipulations en urgence, moins d’accès incohérents, et une exploitation plus stable du SI. Cela compte encore davantage quand vos équipes travaillent sur plusieurs sites, en télétravail, en intervention terrain ou sur des environnements industriels où un simple accès VPN manquant peut retarder toute une opération. 🏭
La bonne approche consiste à traiter ces mouvements comme des processus IT à part entière, au même titre que la supervision, les sauvegardes ou la gestion des postes. Quand la méthode est en place, vous sécurisez les accès, réduisez les frictions opérationnelles et rendez votre système d’information plus fiable dans la durée.
Si vous constatez encore des créations de comptes dans l’urgence, des droits qui s’empilent ou des départs mal clôturés, c’est souvent le bon moment pour formaliser un cadre simple, réaliste et adapté à votre organisation.