L'arrivée d'un nouveau collaborateur ou le départ d'un salarié sont des moments critiques pour la sécurité et la productivité de votre entreprise. Un onboarding mal préparé entraîne des pertes de temps, des erreurs de configuration et une frustration immédiate. À l'inverse, un offboarding négligé laisse subsister des comptes orphelins, des droits d'accès inutiles et des risques de fuite de données. La gestion des accès utilisateurs entreprise ne se limite pas à la création d'une adresse e-mail ; elle implique une orchestration précise entre les Ressources Humaines, la Direction Générale et le service informatique. Cette procédure standardisée s'applique à toute structure, de la TPE au grand compte de 1 000 postes. Elle vise à transformer ces transitions administratives en processus fluides, sécurisés et reproductibles. En anticipant les besoins matériels, logiques et collaboratifs, vous garantissez que chaque utilisateur dispose des outils nécessaires dès son premier jour, tout en assurant la rétractation immédiate de ses privilèges lors de son départ.
Les moments critiques : synchroniser RH et IT
La principale erreur consiste à traiter l'informatique comme une tâche administrative secondaire, exécutée au dernier moment. Pour éviter les comptes orphelins ou les retards d'équipement, il est essentiel de définir des points de synchronisation clairs entre le service RH et l'IT. **Pour l'Onboarding (Arrivée) :** L'idéal est de déclencher la procédure informatique 3 à 5 jours ouvrés avant la date d'embauche. Cela permet : * La préparation du poste de travail (installation des logiciels, mises à jour). * La création des identités numériques dans l'annuaire (Active Directory ou Microsoft Entra ID). * L'attribution des licences logicielles appropriées. * La configuration de l'environnement collaboratif (Teams, SharePoint, Google Workspace selon votre stack). **Pour l'Offboarding (Départ) :** La procédure doit être initiée dès la notification du départ. Le jour J est critique : les accès doivent être révoqués ou suspendus immédiatement après la restitution du matériel, pour empêcher tout accès non autorisé aux données sensibles de l'entreprise.
- Déclencheur RH : Notification d'embauche ou de départ.
- Délai IT : 3 à 5 jours avant l'arrivée ; jour J pour le départ.
- Objectif : Zéro temps mort pour le collaborant, zéro risque résiduel pour l'entreprise.
La procédure Onboarding : un premier jour sans friction
Un bon onboarding digital commence avant que le collaborateur ne franchisse la porte. Voici les étapes clés à valider : 1. **Provisionnement du matériel :** Vérifier que l'ordinateur portable, l'écran, la souris et les câbles sont prêts. Si vous utilisez des équipements reconditionnés, s'assurer qu'ils ont été réinitialisés aux paramètres d'usine. 2. **Création de l'identité numérique :** Générer le compte utilisateur avec une convention de nommage cohérente (ex: prenom.nom@entreprise.fr). Définir un mot de passe provisoire complexe qui obligera à un changement lors de la première connexion. 3. **Attribution des droits et licences :** Assigner les groupes d'appartenance correspondant au poste (comptabilité, commercial, direction, etc.). Activer les licences Microsoft 365 ou Google Workspace nécessaires. 4. **Sécurité renforcée (MFA) :** Configurer l'authentification multifacteur (MFA) dès la création du compte. C'est le premier rempart contre les attaques par hameçonnage. 5. **Préparation de l'environnement de travail :** Pré-configurer les signatures e-mail, ajouter les favoris intranet et partager les dossiers communs pertinents.
- Matériel prêt et testé la veille.
- Compte actif et MFA configuré.
- Licences logicielles attribuées.
- Accès aux dossiers partagés vérifiés.
La procédure Offboarding : sécuriser le départ
Le départ d'un collaborateur est souvent géré de manière réactive, ce qui expose l'entreprise à des risques significatifs. Une méthode proactive permet de protéger les actifs informationnels. 1. **Révocation immédiate des accès :** Le jour du départ, désactiver le compte utilisateur plutôt que de le supprimer immédiatement. Cela préserve les données et les e-mails tout en bloquant toute nouvelle connexion. 2. **Récupération du matériel :** Collecter l'ordinateur portable, la clé USB, les badges d'accès et les téléphones mobiles. Vérifier l'état physique des équipements avant de procéder à leur effacement sécurisé. 3. **Transfert des responsabilités :** Rediriger les e-mails vers un collègue ou un manager si nécessaire. Transférer la propriété des fichiers partagés (OneDrive, SharePoint) pour éviter les liens brisés. 4. **Suppression différée :** Après une période de rétention définie par votre politique de conservation des données (souvent 30 à 90 jours), supprimer définitivement le compte et libérer la licence logicielle pour optimiser les coûts.
- Désactivation du compte le jour J.
- Récupération physique du matériel.
- Transfert de propriété des fichiers.
- Suppression finale après rétention.
Risques courants et erreurs à éviter
Même avec une bonne volonté, certaines pratiques peuvent compromettre la sécurité ou l'efficacité. * **Les comptes orphelins :** Des comptes non utilisés mais toujours actifs consomment des licences payantes et augmentent la surface d'attaque. Un audit régulier est indispensable. * **L'oubli du MFA :** Ne pas activer l'authentification multifacteur lors de l'onboarding laisse le compte vulnérable dès la première connexion, surtout si le mot de passe provisoire est faible. * **La suppression prématurée :** Supprimer un compte immédiatement au départ peut entraîner la perte d'e-mails importants ou de fichiers en cours de traitement. La désactivation temporaire est préférable. * **Le manque de communication :** Ne pas informer les collègues des changements d'accès (ex: redirection d'e-mail) crée des ruptures dans la collaboration.
- Audit trimestriel des comptes inactifs.
- Activation systématique du MFA.
- Politique de rétention claire avant suppression.
- Communication interne sur les transferts.
Exemples génériques de déploiement
Pour illustrer cette procédure, voici trois scénarios types adaptés à différentes tailles et structures. **Exemple 1 : La TPE commerciale (5 à 20 postes)** Une agence de marketing recrute un nouveau community manager. L'IT prépare un MacBook Air reconditionné avec les outils Adobe Creative Cloud installés. Le compte Microsoft 365 est créé avec accès aux dossiers partagés 'Campagnes en cours'. Le MFA est activé via l'application Microsoft Authenticator sur le téléphone personnel du collaborateur (BYOD). Lors de son départ six mois plus tard, son compte est désactivé, ses projets sont transférés à la cheffe de projet, et le matériel est réaffecté. **Exemple 2 : Le cabinet juridique (50 postes)** Un avocat associé rejoint un cabinet. La procédure implique une création de compte avec des droits d'administration spécifiques pour accéder au logiciel de gestion de dossier juridique. Ses e-mails sont configurés avec une signature professionnelle stricte. À son départ, en plus de la désactivation du compte, ses dossiers clients sont archivés dans le serveur NAS sécurisé selon les règles de déontologie, et ses accès aux bases de données juridiques sont révoqués instantanément. **Exemple 3 : La collectivité territoriale (200+ postes)** Une mairie intègre un nouvel agent technique. L'onboarding suit une matrice de rôles prédéfinie : groupe 'Techniciens', accès au portail intranet communal, licence Office Standard. Le MFA est obligatoire et lié à son badge d'accès physique. Lors de son offboarding, ses droits sont suspendus immédiatement pour garantir la confidentialité des données administratives, et son poste est réinitialisé via une image système standardisée avant d'être remis en service.
- TPE : Agilité et réaffectation rapide du matériel.
- Juridique : Conformité et archivage sécurisé.
- Collectivité : Matrice de rôles et sécurité stricte.
Livrables et outils de suivi
Pour mettre en œuvre cette gestion des accès utilisateurs entreprise, nous vous proposons les livrables suivants : * **Checklist Onboarding/Offboarding PDF :** Un document imprimable à cocher étape par étape pour chaque collaborateur. * **Matrice des droits d'accès :** Un tableau Excel modélisant les profils types (RH, Compta, Direction) et leurs permissions associées. * **Procédure de réinitialisation :** Un guide technique pour les administrateurs locaux ou le prestataire IT. Ces outils permettent de standardiser les processus, même en l'absence d'un DSI dédié. Ils s'intègrent naturellement dans une démarche de gouvernance IT plus large, couvrant également la [sécurité des réseaux](https://expertis-it.fr/securite-reseaux/ et la [maintenance préventive](https://expertis-it.fr/all-inclusive-pme/
- Checklist opérationnelle.
- Matrice de rôles et permissions.
- Guide de réinitialisation technique.
| Critère | Onboarding (Arrivée) | Offboarding (Départ) |
|---|---|---|
| Timing idéal | 3 à 5 jours avant l'arrivée | Jour du départ (immédiat) |
| Action principale | Création et configuration | Désactivation et récupération |
| Focus sécurité | MFA et mot de passe fort | Révocation des droits et chiffrement |
| Gestion matériel | Préparation et test | Récupération et réinitialisation |
| Collaboration | Intégration aux groupes | Transfert de propriété des fichiers |
Questions fréquentes
Combien de temps avant l'arrivée d'un employé faut-il préparer son compte ?
Il est recommandé de procéder 3 à 5 jours ouvrés à l'avance. Cela laisse le temps d'installer les logiciels, de configurer les droits et de tester le matériel, garantissant ainsi une prise de poste immédiate.
Doit-on supprimer ou désactiver un compte au départ d'un collaborateur ?
Il est préférable de désactiver le compte immédiatement. Cela bloque l'accès tout en conservant les données (e-mails, fichiers) pour une période de rétention définie, avant suppression définitive.
Comment gérer les comptes orphelins dans Microsoft 365 ?
Régulièrement, exportez la liste des utilisateurs inactifs depuis le centre d'administration. Identifiez ceux qui n'ont pas connecté leur compte depuis plus de 30 jours et vérifiez avec les RH s'ils sont encore employés.
L'authentification multifacteur (MFA) est-elle obligatoire dès le premier jour ?
Oui, absolument. Activer le MFA lors de la création du compte protège immédiatement l'identité numérique contre les attaques par hameçonnage et les vols de mots de passe.
Qui est responsable de la restitution du matériel informatique ?
Généralement, le collaborateur restitue le matériel au service RH ou à l'IT le jour de son départ. Un bon de sortie signé atteste de cette restitution et déclenche la procédure de réinitialisation.
Comment optimiser les coûts des licences logicielles ?
En synchronisant parfaitement les dates de départ avec la désactivation ou le transfert des licences. Une licence non utilisée continue d'être facturée ; un offboarding rapide permet de libérer ces ressources.
Sécurisez vos processus RH/IT dès maintenant
Téléchargez gratuitement notre checklist complète pour l'arrivée et le départ des collaborateurs, ou demandez un audit de vos processus actuels pour identifier les failles de sécurité.