Un ordinateur rendu et une adresse électronique désactivée ne suffisent pas à fermer les portes numériques d’une entreprise. Derrière un départ se trouvent aussi des documents partagés, des abonnements logiciels, des clés techniques, des automatisations et parfois des connexions encore actives sur un téléphone personnel.
Organiser le transfert des accès consiste donc à distinguer trois opérations : transmettre les responsabilités, préserver les informations utiles et retirer les autorisations devenues inutiles. Cette séparation protège la continuité des activités sans laisser au successeur les identifiants de son prédécesseur.
Prenons le cas fictif d’Atelier Horizon, une PME dont la responsable commerciale, Claire, quitte son poste. Son remplacement paraît simple, jusqu’à la découverte d’un CRM administré à son nom, d’un espace documentaire personnel et d’un abonnement renouvelé avec son adresse professionnelle : autant de dépendances à traiter avant son dernier jour.
Départ d’un salarié : inventorier les accès et attribuer chaque responsabilité
Construire un registre des comptes réellement utilisés
La préparation commence dès que la date de sortie est connue et que sa communication est autorisée. Attendre la restitution du matériel revient à chercher les clés d’un bâtiment alors que son dernier occupant vient de partir.
Le service informatique rassemble les informations provenant de l’annuaire, du fournisseur d’identité, du gestionnaire de parc et des consoles d’administration. Le manager complète cette photographie avec les outils métier, tandis que le collaborateur signale les services utilisés hors du catalogue officiel.
Chez Atelier Horizon, Claire apparaît dans Microsoft 365 et dans le CRM, mais elle utilise également une plateforme de signature électronique et un service d’envoi de propositions commerciales. Ces deux derniers abonnements ne figurent pas dans l’inventaire initial, car ils ont été souscrits directement par son équipe.
Le registre doit donc couvrir les comptes nominatifs, les rôles administratifs, les espaces partagés, les appareils et les moyens de récupération. Il faut aussi identifier les liens publics, les délégations et les applications autorisées à agir pour le compte de la personne.
- Identité et authentification : annuaire, connexion unique, comptes locaux, authentification multifacteur et certificats.
- Outils métier : CRM, ERP, comptabilité, signature électronique, dépôts de code et plateformes commerciales.
- Données et collaboration : messagerie, stockage individuel, dossiers collectifs, calendriers et groupes.
- Ressources techniques : clés SSH, jetons API, coffres de secrets, comptes cloud et automatisations.
- Équipements et accès physiques : ordinateur, téléphone, supports externes, badge, clés et dispositifs d’authentification.
Chaque ligne indique le propriétaire actuel, le responsable futur, la méthode de retrait et la preuve attendue. Une mention « à vérifier » doit déclencher une investigation, pas disparaître dans un document considéré comme terminé.
Coordonner les RH, le manager et les administrateurs
Les ressources humaines précisent la date et l’heure effectives de fin d’accès, conformément à la situation contractuelle. Le manager décide des informations nécessaires à l’activité ; l’équipe technique applique les changements et conserve leurs traces.
Cette répartition évite une confusion fréquente : demander à l’informatique de choisir seule quels dossiers doivent être conservés. Un administrateur peut déplacer des fichiers, mais il ne sait pas nécessairement lesquels correspondent à un engagement client encore ouvert.
Un ticket central rassemble les décisions, les intervenants et les échéances. Pour un départ annoncé plusieurs semaines à l’avance, une première revue peut être organisée à J-30 ou J-15, puis actualisée quelques jours avant la sortie.
Ces jalons sont des repères d’organisation, non des délais légaux universels. Lorsqu’une séparation intervient rapidement, les mêmes vérifications sont condensées et les ressources critiques passent en priorité.
Le niveau de risque dépend notamment des privilèges détenus, des données accessibles et des circonstances connues. Un licenciement ne justifie pas automatiquement une surveillance intrusive ; toute mesure particulière doit rester proportionnée et encadrée.
Pour Claire, le manager valide une liste de dossiers clients en cours et nomme Hugo responsable du CRM. La comptabilité reprend les contacts de facturation, tandis que l’administrateur prépare les opérations techniques sans communiquer prématurément des informations confidentielles sur le départ.
La procédure de départ devient ainsi un ensemble d’actions attribuées, et non une demande générale de « couper le compte ». Un accès sans responsable identifié est déjà une faiblesse de gouvernance.
Passation numérique : transmettre les données sans partager les identifiants
Donner au successeur ses propres droits
Le principe central est simple : on transmet une responsabilité, pas une identité numérique. Remettre le mot de passe de Claire à Hugo mélangerait leurs actions dans les journaux et pourrait exposer des échanges qui ne concernent pas sa nouvelle mission.
Le remplaçant reçoit donc un compte nominatif et les autorisations nécessaires à sa fonction. Les droits d’administration sont attribués séparément, après validation, plutôt que copiés intégralement depuis le profil sortant.
Cette approche permet de corriger les habilitations accumulées au fil des années. Si Claire conservait un accès à la comptabilité datant d’un ancien remplacement, rien ne justifie de le reproduire pour Hugo.
La gestion des mots de passe concerne surtout les secrets collectifs ou techniques encore indispensables. Ils doivent être placés dans un coffre professionnel, accessibles à des personnes désignées, puis renouvelés lorsque l’ancienne titulaire les connaissait.
Pour un réseau social d’entreprise, mieux vaut ajouter un nouvel administrateur via les fonctions prévues par la plateforme que transmettre un code par messagerie. Les adresses et numéros de récupération doivent également être rattachés à une organisation maîtrisée, et non au téléphone personnel du partant.
Déplacer les dossiers avec leur contexte métier
Une copie brute de fichiers ne garantit pas une passation numérique exploitable. Sans historique des décisions, calendrier ou interlocuteur, un dossier techniquement récupéré peut rester inutilisable.
Chez Atelier Horizon, chaque affaire ouverte reçoit une courte fiche : état de la négociation, prochaine échéance, documents contractuels et contact principal. Hugo peut ainsi reprendre le suivi sans explorer toute l’arborescence de Claire.
Les documents utiles sont déplacés vers un espace collectif gouverné, avec des permissions adaptées. Avant toute suppression ou modification de licence, l’administrateur vérifie les règles de conservation et les possibilités de restauration du service concerné.
Les fonctions de transfert varient selon les plateformes : certaines permettent de changer le propriétaire, d’autres exigent une migration ou une réattribution administrative. Il faut tester le résultat avec le compte du destinataire, plutôt que se fier au seul message de réussite de la console.
Les liens partagés méritent un contrôle particulier. Un document transféré peut rester accessible au moyen d’une ancienne invitation externe ou d’un lien public : changer son emplacement ne révoque pas nécessairement ces autorisations.
Reprendre les automatisations avant la coupure
Les processus invisibles sont souvent les plus fragiles. Une synchronisation CRM, un rapport commercial ou un formulaire peuvent dépendre du compte personnel de leur créateur et s’arrêter dès sa désactivation.
L’équipe recense donc les flux, intégrations, tâches planifiées et applications dont Claire est propriétaire. Lorsque le service le permet, leur fonctionnement est rattaché à une identité technique adaptée, avec des privilèges limités et plusieurs responsables administratifs.
Cette transition ne consiste pas à conserver artificiellement le compte sortant. Elle vise à supprimer une dépendance personnelle tout en maintenant le service, après vérification des conditions de licence et des mécanismes d’authentification disponibles.
Un test concret clôt chaque migration : envoyer une proposition depuis le nouvel outil, produire le rapport attendu ou restaurer un document témoin. Les anomalies sont corrigées avant l’échéance, avec un plan de retour arrière lorsque l’opération touche une activité sensible.
Les fournisseurs reçoivent aussi le nouveau contact pour le support, la facturation et les notifications de sécurité. Une transmission réussie se mesure à ce que le successeur peut effectivement faire, sans emprunter l’identité de son prédécesseur.
Révocation des droits : couper les connexions à l’heure prévue
Bloquer les identités et traiter les sessions existantes
La fermeture technique doit correspondre à une heure convenue entre les RH, le manager et les administrateurs. Ni « systématiquement le matin » ni « toujours après le départ des locaux » ne constitue une règle adaptée à toutes les situations.
Pour une sortie ordinaire, l’échéance suit la fin des besoins professionnels autorisés. Dans un contexte sensible, une coupure simultanée à l’annonce, ou anticipée si elle est justifiée, se prépare avec les responsables compétents.
À l’instant fixé, l’équipe bloque les connexions dans les annuaires concernés. Dans un environnement hybride Active Directory et Entra ID, elle vérifie les deux côtés ainsi que les délais de synchronisation, sans supposer qu’une seule action produit immédiatement tous ses effets.
Désactiver un compte ne ferme pas nécessairement toutes les sessions. Les jetons, cookies et connexions applicatives peuvent rester utilisables selon leur durée de validité et les mécanismes pris en charge par chaque fournisseur.
Il faut donc lancer les fonctions de révocation disponibles et contrôler les services sensibles séparément. Une réinitialisation de mot de passe peut compléter la mesure, mais elle ne remplace ni le blocage ni le traitement des sessions déjà établies.
Fermer les accès indépendants du compte principal
La connexion unique simplifie la gestion des comptes, sans garantir que toutes les portes lui sont rattachées. Un logiciel peut conserver un mot de passe local, un compte invité ou une authentification par lien électronique.
Chez Atelier Horizon, le compte de signature électronique de Claire possède précisément une connexion directe. Son retrait doit être réalisé dans cette plateforme, même si son identité centrale est déjà bloquée.
La même logique s’applique au VPN, aux accès SSH, aux outils d’assistance distante et aux dépôts de code. Les clés personnelles, certificats et jetons API sont révoqués ou remplacés selon leur usage.
Sur AWS, il convient notamment de retirer les accès console et les clés concernés, puis de traiter les sessions temporaires selon les mécanismes disponibles. Il ne faut pas supprimer aveuglément les rôles ou ressources créés par la personne : leur utilisation réelle et leurs dépendances doivent d’abord être examinées.
Pour un administrateur sortant, les secrets partagés connus sont renouvelés de manière coordonnée. Les certificats techniques ne sont remplacés que si leur clé privée a été exposée ou si l’analyse du risque le justifie, afin d’éviter une interruption inutile.
| Périmètre | Action au moment prévu | Vérification attendue |
|---|---|---|
| Annuaire et identité cloud | Bloquer les connexions et retirer les privilèges | État confirmé dans chaque environnement |
| Sessions applicatives | Révoquer les sessions et jetons disponibles | Contrôle des limites et délais du fournisseur |
| SaaS et accès directs | Désactiver les comptes locaux et invités | Confirmation dans les consoles concernées |
| Accès techniques | Retirer clés, certificats personnels et accès distants | Inventaire actualisé et preuves enregistrées |
| Locaux et équipements | Désactiver le badge et organiser la restitution | Reçu et état du contrôle d’accès |
Les comptes peuvent d’abord être désactivés pour faciliter les vérifications, puis supprimés selon une politique documentée. Il n’existe pas de durée universelle imposant de conserver chaque identité pendant quatre-vingt-dix jours.
Les actions non automatisables restent affectées à une personne, avec une échéance immédiate lorsqu’elles permettent encore une connexion. Le contrôle à J+7 ne doit jamais servir de prétexte pour laisser un accès connu ouvert pendant une semaine.
Chaque opération est horodatée dans le dossier de sortie, avec son résultat et les éventuelles exceptions. La révocation des droits est terminée lorsque les chemins d’accès sont contrôlés, pas lorsque le premier bouton a été cliqué.
Protection des données : gérer la messagerie, le matériel et le BYOD
Organiser la messagerie sans ouvrir toute la correspondance
La boîte professionnelle concentre des informations commerciales, des données personnelles et parfois des messages explicitement privés. Son traitement nécessite donc un objectif défini, des destinataires limités et une durée justifiée.
Une réponse automatique peut orienter les nouveaux messages vers le service compétent sans exposer les circonstances du départ. La redirection intégrale vers le manager n’est pas une solution neutre : elle peut transmettre des informations sans rapport avec ses besoins.
Chez Atelier Horizon, le choix retenu consiste à transférer les échanges nécessaires aux dossiers ouverts et à annoncer une adresse fonctionnelle pour les demandes futures. L’accès éventuel à l’ancienne boîte est limité à des personnes autorisées, pour une période déterminée.
La conversion en boîte partagée constitue une possibilité technique, pas une autorisation générale de lire tout son contenu. Ses conditions de licence, ses règles de conservation et son usage doivent être vérifiés avant tout retrait d’abonnement.
Le salarié est informé des modalités applicables et peut organiser le traitement de ses éléments privés dans le cadre prévu. Les fichiers ou correspondances identifiés comme personnels bénéficient de protections particulières ; toute situation litigieuse doit être examinée avec les interlocuteurs juridiques appropriés.
Restituer les appareils et préserver les informations utiles
La récupération du matériel s’appuie sur l’inventaire d’attribution. Numéro de série, état constaté, accessoires et date de remise figurent sur un reçu, particulièrement utile lorsqu’un équipement est envoyé par transporteur.
Un ordinateur restitué n’est pas immédiatement réattribué. L’équipe confirme d’abord le transfert des dossiers utiles, vérifie les éventuelles exigences de conservation, puis applique une procédure d’effacement ou de réinstallation adaptée.
En présence d’un incident suspecté ou d’un contentieux prévisible, une conservation probatoire peut être nécessaire avant toute modification. Elle doit être ciblée, documentée et confiée à des personnes habilitées, plutôt que transformée en exploration générale de la vie du salarié.
Pour le travail à distance, la logistique se prépare avant la dernière journée : étiquette d’expédition, emballage et suivi. Le retrait des autorisations numériques ne dépend toutefois pas de l’arrivée physique du colis.
Effacer le périmètre professionnel sur un appareil personnel
Le BYOD exige une séparation claire entre usages privés et professionnels. Lorsque les outils le permettent, un effacement sélectif retire le profil de travail, les applications gérées et leurs données, sans toucher aux photos ou messages personnels.
Un effacement complet d’un téléphone privé ne doit pas devenir le réflexe de sécurité informatique. Le dispositif retenu doit respecter la politique annoncée, les capacités techniques réelles et les droits de la personne.
En l’absence de gestion centralisée, l’entreprise organise une démarche documentée pour retirer les contenus professionnels et fermer les connexions. Une attestation peut compléter cette démarche, mais elle ne prouve pas à elle seule l’absence de toute copie.
La conservation des informations doit également être distinguée par catégorie : documents RH, contrats, preuves techniques et correspondances ne suivent pas automatiquement le même calendrier. Le RGPD impose notamment de ne pas garder les données identifiantes plus longtemps que nécessaire.
Enfin, le droit d’accès aux données personnelles ne correspond pas à un droit de récupérer intégralement les archives de l’entreprise. La portabilité obéit à des conditions précises et ne s’applique pas indistinctement à tous les traitements RH. Protéger l’organisation n’exige pas de supprimer la frontière entre sphère professionnelle et vie privée.
Audit après le départ : vérifier les accès résiduels et fiabiliser le processus
Contrôler à J+7 sans reporter les fermetures urgentes
La première revue après la sortie recherche les oublis et confirme la qualité des transmissions. Elle complète les opérations immédiates ; elle ne remplace pas la fermeture des autorisations identifiées avant l’échéance.
L’administrateur rapproche le registre initial des résultats obtenus : comptes bloqués, responsabilités réattribuées, matériel reçu et abonnements traités. Toute ligne incomplète conserve un responsable et une date de résolution.
Chez Atelier Horizon, cette revue révèle qu’une alerte de renouvellement continue d’arriver sur l’ancienne adresse de Claire. L’application est bien sécurisée, mais le contact contractuel doit encore être changé pour éviter une interruption future.
Les groupes, délégations de calendrier, coffres partagés et invitations externes sont également examinés. Certains liens accessibles sans authentification peuvent fonctionner indépendamment de l’identité désactivée : leur retrait nécessite une action spécifique.
Le manager teste ensuite les opérations métier essentielles. Hugo doit pouvoir consulter les contrats, envoyer les propositions et recevoir les demandes clients sans solliciter l’ancienne collaboratrice ni contourner les règles d’autorisation.
Analyser les connexions et traiter les anomalies
Une seconde vérification, par exemple à J+30, examine les événements disponibles depuis l’heure effective de sortie. Les journaux d’identité, de VPN, d’applications et d’administration apportent des éléments complémentaires, avec des durées de disponibilité parfois différentes.
Dans Active Directory, les événements de connexion réussie peuvent aider l’analyse, mais leur collecte dépend de la configuration d’audit. Il faut aussi tenir compte des connexions réseau, des services et des traces présentes sur les machines concernées.
Une authentification réussie après la coupure mérite une investigation rapide, sans attribuer immédiatement l’action à l’ancien salarié. Elle peut provenir d’un automate oublié, d’un jeton encore valide, d’une erreur de configuration ou d’un usage non autorisé.
L’équipe ferme le chemin résiduel, préserve les éléments utiles et détermine quelles ressources ont été consultées. Si des données personnelles ont subi une violation, le DPO ou le responsable compétent évalue les obligations de notification, dont celle à l’autorité de contrôle sous soixante-douze heures lorsque les conditions du RGPD sont réunies.
Les tentatives échouées doivent elles aussi être contextualisées. Un téléphone qui relance automatiquement une synchronisation n’appelle pas la même réponse qu’une série d’essais provenant d’une infrastructure inconnue.
Automatiser les actions et mesurer leur résultat
Les solutions IAM peuvent déclencher des retraits dans les annuaires et applications connectées. Leur efficacité dépend cependant des connecteurs, des capacités de chaque service et du traitement des erreurs.
Un workflow marqué comme terminé ne démontre pas que toutes les autorisations ont disparu. Il faut vérifier les réponses des plateformes, repérer les échecs de provisionnement et maintenir une tâche manuelle pour les outils non intégrés.
Trois indicateurs sont particulièrement utiles : le délai entre l’heure prévue et le blocage effectif, la couverture des ressources inventoriées et le nombre d’anomalies détectées après la sortie. L’objectif reste l’absence d’accès injustifié, plutôt qu’un pourcentage flatteur calculé sur un inventaire incomplet.
Le dossier final conserve les validations, les actions horodatées, les preuves de restitution et les exceptions résolues. Sa durée de conservation est définie selon les besoins de sécurité, les obligations applicables et les principes de minimisation, sans archivage permanent automatique.
Une revue périodique d’un échantillon de départs permet enfin d’améliorer la procédure, y compris pour les prestataires et les intérimaires. Le meilleur contrôle n’est pas une case cochée : c’est une vérification reproductible dont le résultat peut être démontré.
Faut-il transmettre le mot de passe du salarié à son remplaçant ?
Non. Le remplaçant utilise une identité nominative avec des droits adaptés à sa mission. Les ressources sont réattribuées et les secrets collectifs connus du partant sont renouvelés, sans partager son compte personnel professionnel.
Quand faut-il couper les accès numériques ?
À l’heure effective convenue avec les RH et le manager, dès que les accès ne sont plus autorisés. Une situation sensible peut nécessiter une opération coordonnée avec l’annonce. Les contrôles ultérieurs ne doivent pas retarder une fermeture déjà identifiée comme nécessaire.
Peut-on conserver la messagerie après le départ ?
Une conservation limitée peut être justifiée par des besoins précis, avec des personnes habilitées, une durée définie et le respect des correspondances personnelles. Une boîte partagée ou une redirection ne dispense pas de cette analyse.
La désactivation du compte principal suffit-elle ?
Non. Il faut également traiter les sessions existantes, les connexions locales aux logiciels, les clés techniques, les accès distants et les liens partagés. Les effets du blocage dépendent des mécanismes de chaque plateforme.
Comment gérer un téléphone personnel utilisé pour travailler ?
Privilégiez le retrait sélectif du périmètre professionnel lorsque le dispositif le permet et que son usage est encadré. Évitez l’effacement global, documentez les opérations et révoquez séparément les connexions aux services de l’entreprise.
