Départ d’un salarié : fermer les accès et assurer la relève

Définir qui déclenche le retrait et à quel moment

La demande doit provenir d’une personne habilitée et préciser la date effective, les outils concernés et le responsable de suivi. Ne faites pas reposer une opération sensible sur un message informel transmis au hasard.

Distinguez fin de contrat, changement de mission, absence temporaire et incident de sécurité. Ils n’impliquent pas les mêmes opérations ni les mêmes délais. La procédure de retrait doit être adaptée au cas, validée par l’organisation et coordonnée avec ses obligations.

Fermer tous les points d’entrée, pas seulement l’écran principal

Inventoriez les sessions actives, appareils enregistrés, applications mobiles, liens d’administration, accès distants et intégrations attribuées à la personne. Selon l’outil, désactiver le compte peut ou non révoquer automatiquement tous ces éléments.

Le principe de retrait des habilitations devenues inutiles est rappelé par la CNIL. Vérifiez ce retrait dans chaque service au lieu de supposer qu’un changement dans un annuaire s’est propagé partout.

Références : CNIL — Gérer les habilitations.

Réattribuer le travail sans usurper l’ancien compte

Transférez les demandes ouvertes, validations en attente, rendez-vous à reprogrammer et responsabilités de paramétrage. Le successeur doit agir avec sa propre identité. Renommer le compte du partant en remplaçant détruit la lisibilité de l’historique.

Une boîte professionnelle ne doit pas être ouverte ou redirigée automatiquement sans procédure appropriée. Faites cadrer le traitement des messages, les droits et l’information des personnes concernées par les responsables compétents.

Sur petit écran, faites défiler le tableau horizontalement pour voir toutes les colonnes.

Conserver l’historique, pas un accès dormant

Un nom d’utilisateur désactivé peut rester nécessaire pour attribuer une action passée. Cela ne justifie pas de conserver un mot de passe utilisable. Séparez les fonctions d’identification historique et d’authentification.

Les règles de conservation dépendent des documents et des traitements, pas de la date de départ du salarié. N’appliquez pas une suppression globale à tous les éléments associés à son compte. Un nettoyage doit être défini séparément, avec les responsables appropriés.

Tester le résultat avec des identifiants fictifs

Avant d’utiliser la procédure sur un départ réel, simulez-la avec un compte de recette. Vérifiez qu’une session déjà ouverte ne peut plus lire ou modifier les données et que la récupération de mot de passe ne réactive pas le compte.

Vérifiez également que le successeur retrouve les tâches reprises et que les journaux distinguent les deux personnes. Le contrôle est incomplet si seul l’écran « désactivé » a été observé.

Fermer la demande avec une preuve proportionnée

Conservez la liste des systèmes vérifiés, la date, l’exécutant et les éventuelles actions encore attendues. Ne mettez aucun secret dans cette preuve. Si une intégration ne peut pas être retirée immédiatement, indiquez une mesure transitoire et un responsable.

Pour une réembauche ou un retour, réévaluez les droits au lieu de restaurer automatiquement toutes les permissions historiques. Les missions et les règles du cabinet ont pu changer.

Questions complémentaires