Gérer un départ employé : Checklist IT pour récupérer identités, accès et matériel

Le départ d’un collaborateur est l’instant critique où la sécurité de vos données rencontre les obligations légales. Une gestion technique négligée expose à deux risques majeurs : la fuite d’informations sensibles si les droits ne sont pas révoqués immédiatement, ou la perte de savoir-faire si les fichiers et emails ne sont pas correctement transférés avant l'extinction du compte.Cette procédure détaille les étapes techniques indispensables pour traiter un départ proprement. Elle couvre la désactivation des identités numériques (Microsoft 365, applications métier), le transfert des données professionnelles et la restitution physique du matériel. L’objectif est de garantir une continuité opérationnelle sans interruption ni faille de sécurité.

1. La phase préparatoire : Coordination RH-IT

Toute action technique doit être déclenchée par une information formelle des Ressources Humaines ou de la direction. Le timing est déterminant :J-3 à J-1 avant le départ : C’est l’idéal pour préparer les transferts sans interrompre l'activité du collaborant.J0 (jour du départ) : La révocation des accès doit être effective dès la sortie de l’exercice, souvent en fin d’après-midi ou immédiatement après le retour du matériel.Dans cette phase, il convient de lister précisément les actifs numériques et physiques associés à cet utilisateur. Un collaborateur ne se résume pas à une adresse email ; il détient des droits sur des bases de données partagées, des abonnements logiciels nominaux (Adobe Creative Cloud, outils CRM), des clés USB chiffrées ou encore un badge d’accès physique lié au réseau Wi-Fi.La première erreur consiste à attendre la dernière minute. Si le collaborateur part en congé maternité longue durée ou en arrêt maladie prolongé avant son départ définitif, les droits doivent être ajustés (réduction des permissions) plutôt que supprimés brutalement, pour permettre une reprise éventuelle.

• Identifier tous les comptes actifs : Email, SSO, applications tierces.
• Vérifier la présence de délégations actives sur le calendrier ou la boîte mail.
• Lister le matériel affecté (PC portable, smartphone pro, dongles Wi-Fi).

2. Révoquer les accès et sécuriser l’identité numérique

C’est la étape critique pour la cybersécurité. Tant que le compte est actif, l’ex-employé peut techniquement accéder aux données de l'entreprise.Pour un environnement Microsoft 365, la procédure standard implique :Bloquer le compte utilisateur : Cela empêche toute nouvelle connexion tout en conservant les données. Le compte reste visible dans l’annuaire mais ne peut plus s'authentifier.Révoquer les sessions actives : Un simple blocage n’éjecte pas toujours un appareil déjà connecté (comme un smartphone ou une tablette). Il faut forcer la révocation des jetons d’accès pour déconnecter immédiatement tous les terminaux.Désactiver le MFA (Multi-Factor Authentication) : Si l’authentification à deux facteurs est liée au téléphone personnel de l’ex-employé, il ne pourra plus se reconnecter même si vous lui redonnez un mot de passe. Il faut dissocier ce numéro ou transférer la validation vers un appareil géré par l'entreprise.Concernant les applications métier (ERP, CRM), vérifiez que le profil utilisateur est bien désactivé dans chaque logiciel spécifique. Un accès oublié sur une plateforme cloud externe peut rester facturé et ouvert aux données sensibles.

• Bloquer l’identité Azure AD / Microsoft 365.
• Forcer la déconnexion de tous les appareils (révocation des jetons).
• Transférer ou supprimer les délégations d’accès à la boîte mail.

3. Archivage et transfert des données

L’objectif est de récupérer le patrimoine informationnel sans perdre l'historique.Pour les emails, deux options s'offrent à vous :L’archivage en boîte aux lettres partagée : Le compte devient une ressource commune. Les managers ou successeurs peuvent y accéder avec leurs propres identifiants pour consulter l'historique.L’export vers un fichier PST : Utile si vous souhaitez conserver les emails hors de la licence active, réduisant ainsi le coût mensuel par utilisateur dans votre abonnement cloud.Pour les fichiers stockés sur OneDrive for Business ou SharePoint, il ne faut pas simplement copier-coller. Il est recommandé d’utiliser la fonction « Gérer l’accès » pour transférer la propriété des dossiers vers le manager ou un successeur désigné. Cela garantit que les liens de partage externes envoyés par l’ex-employé restent valides et qu’il n’y a aucune rupture dans les workflows collaboratifs.Attention aux fichiers locaux stockés uniquement sur le disque dur du PC portable (dossier « Documents »). Ils doivent être sauvegardés ou transférés vers un serveur de fichiers centralisé avant la remise à zéro de l’équipement. Consultez notre guide sur la sécurité et les réseaux pour comprendre comment structurer ces dépôts partagés.

• Convertir le compte en boîte aux lettres partagée ou exporter vers PST.
• Transférer la propriété des dossiers OneDrive vers un manager.
• Sauvegarder les données locales du poste de travail avant formatage.

4. Restitution et réinitialisation du matériel

Lorsque le collaborateur rend son équipement, la sécurité physique rejoint la logique.Vérification de l’état : Constatez les éventuels dommages (écran fissuré, charnière usée) avant toute manipulation technique.Désassociation du compte personnel : Si le collaborateur avait lié son Apple ID ou Microsoft Account personnel à un appareil professionnel, il doit retirer cette association pour éviter qu’il ne puisse effacer l’appareil à distance (fonction « Trouver mon iPhone » par exemple).Réinitialisation d’usine : Une fois les données sauvegardées et transférées, le poste de travail est remis à zéro. Cela supprime définitivement tous les fichiers résiduels, historiques de navigation et mots de passe enregistrés dans le navigateur.Pour un smartphone professionnel (BYOD ou appareil fourni), la procédure inclut l’effacement distant via MDM (Mobile Device Management) si disponible, suivi d’un reset physique. Le matériel est ensuite inspecté pour être réaffecté à un nouvel arrivant (onboarding) ou remis en stock.

• Contrôler l’état physique du matériel.
• Dissocier les comptes personnels de l’utilisateur (Apple ID, Microsoft Account).
• Effectuer une remise à zéro d’usine après sauvegarde.

5. Exemples génériques de mise en œuvre

Pour illustrer cette checklist, voici trois scénarios courants rencontrés dans les organisations :Exemple 1 : Le départ d’un commercial avec un CRM externe.L’employé utilise Salesforce ou HubSpot en plus de Microsoft 365. L’équipe IT bloque le compte email principal, mais doit aussi informer l'administrateur du CRM pour révoquer les droits d’accès aux fiches clients et transférer ses opportunités ouvertes vers son collègue remplaçant avant la fin de journée.Exemple 2 : La démission brutale sans préavis.L’employé quitte l'entreprise le matin. L’équipe IT intervient immédiatement pour bloquer les accès, empêchant toute exportation massive de données (téléchargement de listes clients) pendant la pause déjeuner ou en fin de journée. Le matériel est récupéré sur place et formaté après extraction des derniers fichiers envoyés par email.Exemple 3 : La mise à disposition d’un collaborateur qui retourne chez son client initial.Ici, le compte n’est pas supprimé mais « gelé ». Les droits sont réduits au strict minimum (lecture seule sur certains dossiers), l’accès Wi-Fi est maintenu pour la période de transition administrative, et les données sensibles du nouveau employeur d'accueil sont verrouillées via des groupes de sécurité spécifiques.

• Transfert CRM avant blocage email.
• Blocage immédiat en cas de départ sans préavis.
• Gel sélectif des droits pour une mise à disposition.

6. Livrables et points de contrôle

Pour formaliser ce processus, voici les livrables attendus :Fiche de restitution matériel : Document signé par l’ex-employé confirmant le retour du PC, dongles, badges et clés.Bilan des transferts numériques : Liste validée indiquant quels dossiers ont été migrés vers qui (Manager X a reçu les projets Y).Rapport de désactivation : Confirmation technique que le compte est bien bloqué dans l’annuaire et que la facturation cloud correspondante sera arrêtée au prorata ou à la fin du cycle.Cette rigueur permet d’éviter les coûts cachés (licences inutilisées) et les risques juridiques liés aux données personnelles. Pour aller plus loin sur la gestion des identités, découvrez comment nous accompagnons nos clients dans l’offre All Inclusive PME, qui inclut l'administration système continue.

• Fiche de restitution signée.
• Validation du transfert des dossiers partagés.
• Confirmation d’arrêt de facturation des licences.

Questions fréquentes