Ce qu'il faut retenir
- Désactivez tous les accès du salarié sortant le jour même de son départ, messagerie et VPN compris, sans attendre la fin de la période de préavis.
- Transférez les données professionnelles stockées sur son poste ou dans ses espaces cloud avant de réinitialiser l'équipement : une fois le compte supprimé, la récupération devient très difficile.
- Changez les mots de passe des comptes partagés et des outils métier auxquels le salarié avait accès, même si son départ est à l'amiable.
- Conservez une trace écrite de chaque action réalisée lors de l'offboarding informatique : elle peut devenir une pièce utile en cas de litige ultérieur.
L'offboarding informatique lors du départ d'un salarié est l'une des failles de sécurité les plus fréquentes dans les PME : sans procédure formalisée, des accès actifs, des données sensibles et des comptes partagés restent exposés bien après que la personne a quitté les locaux. Mettre en place une liste de contrôle précise et la confier à un interlocuteur identifié suffit souvent à éviter l'essentiel des incidents.
En résumé
- Désactivez les comptes le jour du départ, pas le lendemain.
- Auditez chaque application métier à laquelle le salarié avait accès, y compris les outils SaaS souscrits en dehors du service informatique.
- Transférez les données avant toute suppression de compte ou réinitialisation de poste.
- Modifiez tous les mots de passe partagés, qu'il s'agisse de réseaux sociaux, de boîtes mail génériques ou d'accès fournisseurs.
- Documentez chaque étape pour constituer un historique en cas de contestation.
Pourquoi l'offboarding informatique est un angle mort pour les PME
Dans une grande entreprise, la direction des systèmes d'information reçoit une alerte automatique dès qu'un contrat se termine. Dans une PME, c'est souvent le dirigeant ou l'assistante de direction qui pense à appeler le prestataire informatique, parfois plusieurs jours après le départ effectif. Ce délai crée une fenêtre pendant laquelle un ancien salarié peut, volontairement ou par inadvertance, accéder à des informations confidentielles, modifier des fichiers ou transférer des contacts clients.
Les départs conflictuels sont les plus risqués, mais les départs à l'amiable ne sont pas sans danger. Un salarié bien intentionné peut continuer à recevoir des e-mails professionnels sur son ancien compte, répondre à des clients ou modifier des documents partagés sans en avoir conscience. La procédure doit s'appliquer de manière identique dans les deux cas.
La checklist de sécurité pour l'offboarding informatique d'un salarié
Une bonne procédure d'offboarding informatique couvre quatre périmètres : les équipements, les accès numériques, les données et les comptes partagés. Voici les actions à planifier, idéalement dans cet ordre.
Les équipements physiques
- Récupérer l'ordinateur portable, le smartphone professionnel, les clés USB et tout badge d'accès.
- Inventorier les données présentes sur ces supports avant de les réinitialiser.
- Vérifier qu'aucun disque externe ou périphérique personnel ne contient de données de l'entreprise.
Les accès numériques à couper en priorité
- Compte de messagerie professionnelle (désactivation immédiate, mise en place d'un message d'absence avec contact de remplacement).
- Accès VPN et bureau à distance.
- Applications métier : ERP, CRM, logiciel de comptabilité, outil de gestion de projet.
- Outils SaaS souscrits par le salarié lui-même (Notion, Trello, Slack, etc.).
- Accès aux espaces de stockage cloud : Google Drive, SharePoint, Dropbox.
Les comptes partagés à mettre à jour lors du départ d'un salarié
C'est la catégorie la plus souvent oubliée. Un mot de passe partagé entre plusieurs collaborateurs doit être changé dès qu'une personne quitte l'équipe, même si elle en avait un usage légitime. Listez les accès partagés lors de l'intégration du salarié : vous aurez ainsi la liste exacte à parcourir au moment de l'offboarding.
Tableau : actions prioritaires selon le délai après le départ
| Délai | Actions obligatoires | Niveau de risque si omission |
|---|---|---|
| Jour J (départ effectif) | Désactivation messagerie, VPN, accès physiques | Critique |
| J+1 à J+3 | Transfert des données, révocation des accès SaaS | Élevé |
| J+3 à J+7 | Changement des mots de passe partagés, audit des logs | Moyen |
| J+7 à J+30 | Réinitialisation du poste, archivage des données récupérées | Faible à moyen |
| Au-delà de J+30 | Vérification des accès résiduels, clôture administrative | Faible |
Récupération et archivage des données : ce qu'il ne faut pas effacer trop vite
Avant de réinitialiser un poste ou de supprimer un compte, assurez-vous d'avoir récupéré les éléments suivants : les e-mails reçus et envoyés sur les dossiers en cours, les fichiers stockés en local sur le poste, l'historique des connexions aux outils critiques et les contacts professionnels gérés par le salarié. Ces données doivent être transférées à un responsable interne, pas simplement archivées sans destinataire.
Concernant la durée de conservation, le règlement général sur la protection des données impose de ne pas conserver des données personnelles au-delà de ce qui est nécessaire. En pratique, une messagerie professionnelle peut être maintenue active en mode lecture seule pendant quelques semaines, le temps que les contacts prennent connaissance du changement d'interlocuteur, puis archivée et supprimée.
Le rôle du prestataire informatique dans la sécurité au départ d'un salarié
Un prestataire informatique bien intégré à votre organisation doit être informé de tout départ avant la date effective, et non après. Il peut agir sur les éléments techniques que vous ne maîtrisez pas directement : désactivation des comptes Active Directory, révocation des certificats, suppression des accès VPN, ou encore audit des connexions récentes pour détecter une extraction de données inhabituelle.
Si votre prestataire actuel n'a pas de procédure documentée pour ce type de situation, ou s'il n'est pas joignable en quelques heures lors d'un départ urgent, c'est un signal d'alerte sur la qualité du contrat. Consultez notre blog pour identifier les critères qui distinguent un prestataire réactif d'un prestataire passif, et comparez les offres disponibles dans votre ville sur notre annuaire de prestataires informatiques.
Offboarding informatique et conformité : ce que la loi attend de vous
Le RGPD s'applique également aux données traitées par vos salariés. Si un collaborateur avait accès à des données personnelles de clients ou de prospects, son départ doit figurer dans votre registre de traitement et les accès doivent être tracés. En cas de contrôle de la Commission nationale de l'informatique et des libertés, l'absence de procédure d'offboarding peut constituer un manquement aux obligations de sécurité des traitements.
Par ailleurs, si un ancien salarié utilise des informations confidentielles après son départ, la preuve que vous avez bien révoqué ses accès à temps est déterminante pour engager votre responsabilité au titre du secret des affaires ou pour vous en dégager. C'est pourquoi la traçabilité de chaque action est aussi importante que l'action elle-même.
Comment décider si votre procédure actuelle est suffisante
Posez-vous trois questions simples. Première question : si un salarié partait demain matin, sauriez-vous lister tous les accès à couper dans l'heure qui suit ? Deuxième question : avez-vous un interlocuteur technique joignable immédiatement pour exécuter ces coupures ? Troisième question : disposez-vous d'une trace écrite des accès accordés à chaque collaborateur depuis son arrivée ?
Si la réponse à l'une de ces trois questions est non, votre dispositif présente une lacune réelle. Commencez par rédiger une checklist d'offboarding adaptée aux profils de votre entreprise, faites-la valider par votre prestataire informatique et intégrez-la à votre procédure de fin de contrat RH. Retrouvez également les prestataires les mieux notés pour vous accompagner sur ce type de mission.
FAQ sur l'offboarding informatique au départ d'un salarié
Faut-il prévenir le salarié que ses accès vont être coupés ?
Vous n'avez pas d'obligation légale d'en informer le salarié au préalable, et dans les situations conflictuelles, il est même conseillé d'agir avant qu'il ne soit informé de la coupure. En revanche, la désactivation doit intervenir au moment du départ effectif, pas avant, pour ne pas être assimilée à une mise à l'écart anticipée qui pourrait compliquer la situation prud'homale. Coordonnez l'action avec les ressources humaines pour que la coupure technique coïncide avec la fin du contrat.
Que faire si le salarié partant était le seul à connaître certains accès ou mots de passe ?
C'est une situation qui survient plus souvent qu'on ne le pense dans les PME, notamment lorsqu'un salarié a souscrit lui-même un outil SaaS ou géré un compte sans en informer sa hiérarchie. Prévoyez un entretien technique avant le départ pour recenser ces accès et récupérer les identifiants. Si le salarié n'est plus joignable, contactez directement le support des éditeurs concernés avec une preuve de votre qualité de représentant légal de l'entreprise. C'est pour éviter ces situations que la gestion centralisée des accès, via un gestionnaire de mots de passe d'entreprise, est fortement recommandée.
Un prestataire informatique peut-il gérer l'offboarding à distance, sans se déplacer ?
Pour la grande majorité des actions, oui : désactivation des comptes, révocation des accès VPN, changement de mots de passe et transfert de données peuvent être effectués à distance si le prestataire dispose des droits d'administration nécessaires. Le déplacement physique n'est indispensable que pour récupérer les équipements ou intervenir sur un poste qui n'est plus connecté au réseau de l'entreprise. Un bon contrat de maintenance prévoit explicitement ce type d'intervention et la réactivité attendue.
