Départ d'un collaborateur : sécuriser les accès

La scène est ordinaire : un collaborateur quitte l'entreprise, le départ se passe bien, chacun passe à autre chose. Des mois plus tard, sa boîte mail reçoit toujours des messages que personne ne lit, ses accès aux fichiers partagés et aux réseaux sociaux fonctionnent encore, et un outil métier continue d'être facturé sur un compte dont personne ne connaît l'existence. Rien de malveillant dans l'immense majorité des cas : juste une exposition inutile, qui se referme avec très peu de moyens. Une liste tenue à jour, une heure de méthode le jour du départ, et le sujet est clos.

Pourquoi c'est un vrai sujet en PME

Dans une grande entreprise, un service informatique déroule une procédure de sortie. Dans une PME, personne n'a ce rôle à plein temps, et les usages se sont installés avec les années : des comptes partagés («  le  » compte Instagram, «  le  » login du logiciel de caisse), des mots de passe qui vivent dans la tête ou le navigateur du partant, des outils souscrits en direct sans que personne d'autre ne le sache. D'où les situations classiques : l'ancien commercial qui reçoit encore les demandes de devis sur son adresse, ou l'abonnement qui court au nom de quelqu'un qui n'est plus là. Précisons-le d'emblée : la plupart des départs se passent bien, et le sujet n'est pas la confiance. C'est l'oubli. On sécurise par méthode, pas par suspicion.

Anticiper, avant même qu'un départ soit annoncé

Le meilleur moment pour préparer un départ, c'est quand personne ne part. Quatre habitudes suffisent :

• Un inventaire des accès par personne. Un simple document qui liste, pour chaque collaborateur, les comptes, outils et abonnements auxquels il a accès. C'est la pièce maîtresse : le jour J, on le déroule au lieu de chercher.
• Des comptes nominatifs plutôt que partagés. Un compte par personne se ferme en un clic ; un compte partagé oblige à changer le mot de passe partout et à prévenir tout le monde.
• Un gestionnaire de mots de passe d'équipe. Ce qui doit rester commun vit dans un coffre partagé, pas dans la tête de quelqu'un ni dans un fichier sur le bureau.
• La messagerie pro jamais utilisée comme adresse de récupération personnelle. Sinon, suspendre la boîte du partant peut le couper de ses propres comptes privés, et inversement.

Le jour J, dans l'ordre

Le jour du départ, comptez une heure, et respectez l'ordre : la messagerie d'abord, parce que c'est elle qui permet de réinitialiser les mots de passe de presque tous les autres services.

• Suspendre le compte de messagerie et transférer sa réception vers un collègue ou une adresse générique : les clients qui écrivent obtiennent une réponse, rien ne se perd.
• Transférer la propriété des fichiers (documents, dossiers partagés) vers la personne qui reprend le poste.
• Révoquer les accès aux outils tiers : logiciels métiers, réseaux sociaux, plateformes, en déroulant l'inventaire.
• Changer les mots de passe restés partagés, ceux que l'inventaire signale comme communs.
• Récupérer le matériel : ordinateur, téléphone, badges, clés.

La messagerie : le point central

Vous l'aurez remarqué : presque tout passe par la boîte mail. C'est elle qui reçoit les liens de réinitialisation, elle qui sert d'identifiant sur la plupart des services, elle que les clients continuent d'écrire. Avec une messagerie professionnelle administrée, comme Google Workspace, l'essentiel du jour J se fait en quelques clics depuis la console d'administration : suspension du compte, délégation de la boîte, transfert de la propriété des fichiers. Sans administration centrale, avec des boîtes éparpillées chez plusieurs fournisseurs ou des adresses personnelles utilisées pour le travail, chaque outil se traite un par un, et c'est là que les oublis se glissent. C'est une des raisons pour lesquelles prosperis administre la messagerie professionnelle de ses clients : la gouvernance de vos outils se règle avant l'incident, pas après. Le même raisonnement vaut pour l'ensemble de votre patrimoine numérique : voyez comment garder la main sur vos données.

Et après ?

Le départ effectué, trois gestes ferment proprement le dossier. Gardez la boîte en réception quelques semaines : le temps que les contacts du partant prennent l'habitude d'écrire à quelqu'un d'autre. Documentez ce qui a été fait, date par date : en cas de question ultérieure, vous savez qui a coupé quoi, et quand. Enfin, mettez à jour l'inventaire : le prochain départ se préparera d'autant plus vite. Pensez aussi au volet données personnelles, celles du partant comme celles des clients qu'il gérait : le sujet est traité dans notre guide RGPD pour les TPE et PME.

Si vous ne savez pas dire, aujourd'hui, qui a accès à quoi dans votre entreprise, c'est le signe qu'un inventaire s'impose, et c'est un excellent point de départ pour un diagnostic gratuit : 20 minutes pour faire le tour de vos accès et repartir avec vos priorités.