Onboarding et offboarding IT des collaborateurs en PME

La pire faille de votre environnement IT n'est généralement pas un pirate venu de l'extérieur, mais un compte oublié à l'intérieur. Un ancien collaborateur qui accède encore à Dropbox pendant des mois, un ordinateur portable jamais restitué, un mot de passe qui n'a jamais été changé. Dans cet article, nous expliquons comment organiser l'onboarding et l'offboarding IT dans votre PME pour qu'ils se déroulent de manière conforme, sécurisée et rapide. Nous présentons les chiffres qui se cachent derrière ce risque, proposons des checklists concrètes pour les deux processus et montrons comment l'automatisation avec Microsoft Entra les rend gérables sans que votre service IT croule sous les tickets.

Joiner, Mover, Leaver : le cadre

La gouvernance des identités s'appuie depuis des années sur le modèle JML : Joiner, Mover et Leaver (arrivée, mobilité, départ). Un Joiner rejoint l'entreprise et a besoin d'accès et de moyens pour se mettre au travail. Un Mover change de fonction ou de service et a donc besoin d'autres droits d'accès (et, point tout aussi important, doit perdre les anciens). Un Leaver quitte l'entreprise et doit perdre l'ensemble de ses accès dans un délai convenu.

Dans la pratique, les PME consacrent de loin le plus de temps à la phase Joiner et le moins aux phases Mover et Leaver. C'est compréhensible (un nouveau collaborateur se manifeste de lui-même, un Mover ou un Leaver non), mais c'est précisément là que se situe le risque de sécurité. Un Mover qui conserve ses anciens accès et accumule toujours plus de droits à chaque changement : c'est ce qu'on appelle l'« access creep », ou dérive des droits. Un Leaver qui garde son compte laisse un « compte orphelin », et ces comptes sont, statistiquement, une porte d'entrée bien connue pour les incidents.

Les chiffres derrière le risque de l'offboarding

Un offboarding bâclé n'a rien d'un problème théorique. Quelques chiffres sans appel :

• 83 % des anciens salariés interrogés dans une étude de Beyond Identity déclarent avoir encore eu accès à des ressources numériques de leur ancien employeur après leur départ.
• 56 % de ces anciens salariés reconnaissent avoir délibérément utilisé cet accès pour nuire à leur ancien employeur.
• 74 % des managers et dirigeants interrogés confirment que leur entreprise a subi les conséquences d'un incident de sécurité causé par un ancien salarié.
• Selon le Verizon Data Breach Investigations Report 2025, 22 % de l'ensemble des violations de données ont commencé par des identifiants volés, et dans la région EMEA, 29 % des violations provenaient d'un acteur interne.
• 59 % des salariés qui partent emportent des données confidentielles (listes de clients, tarifs, code source, dossiers RH) ; selon le CERT de Carnegie Mellon, 70 % des vols de propriété intellectuelle en interne ont lieu dans les 30 jours suivant l'annonce d'un départ.

Quelques incidents connus l'illustrent. L'attaque contre Colonial Pipeline (2021) est passée par un ancien compte VPN inactif sans MFA. En 2025, un incident lié au rançongiciel Akira a touché une entreprise industrielle via un compte de prestataire tiers qui n'avait pas été désactivé. Le dénominateur commun : un compte qui aurait dû disparaître était toujours actif.

Pourquoi les PME sous-estiment ce risque

Dans une PME, l'offboarding a quelque chose d'informel. Tout le monde se connaît, et l'idée qu'un ancien collègue puisse s'introduire dans vos systèmes paraît étrange. Mais le problème n'est pas d'abord la malveillance ; c'est qu'un compte oublié constitue une porte d'entrée pour quelqu'un d'autre. Phishing, attaque par force brute, fuite chez un tiers : dès qu'un mot de passe d'ancien compte refait surface quelque part, c'est une clé valide.

À cela s'ajoute l'explosion du SaaS. Un collaborateur utilise en moyenne environ 29 applications SaaS différentes, et une entreprise moyenne en compte environ 106. 41 % de ces applications ne sont utilisées que par un seul collaborateur, ce qui rend le shadow IT bien visible. Lors d'un offboarding, ce ne sont donc pas 5 mais 30 comptes qu'il faut désactiver, dont une partie n'est même pas connue du service IT. Quiconque tente de suivre tout cela manuellement en oublie forcément. Notre guide sur la protection de votre entreprise contre les pirates approfondit ces risques à plusieurs niveaux.

La checklist d'onboarding : les bons droits dès le premier jour

Un onboarding fluide n'est pas un luxe, c'est une première impression. Un onboarding manuel demande en moyenne 23 heures par nouveau collaborateur, dont environ 10 heures pour les RH, 5 heures pour l'IT et 8 heures pour le manager. Pour une PME, cela représente au moins une journée et demie de travail répartie sur trois fonctions, pendant que le nouveau venu se heurte toute sa première semaine à des « on attend l'IT ».

La checklist pour un environnement Microsoft 365 ou Google Workspace :

• Compte dans Entra ID ou Workspace, avec la bonne convention de nommage.
• Licence attribuée (Microsoft 365 Business Standard, Premium ou l'équivalent Workspace).
• Matériel commandé ou préparé : ordinateur portable, écran, casque, éventuellement un second écran.
• Déploiement zero-touch via Windows Autopilot, Apple Business Manager ou Google Zero-Touch Enrollment : à la première connexion, l'appareil reçoit automatiquement sa configuration, ses applications et ses stratégies.
• Configuration de la MFA obligatoire dès le premier jour.
• Application des stratégies d'accès conditionnel.
• Accès aux bons sites SharePoint, boîtes aux lettres partagées et applications.
• Appartenance aux bons groupes Entra et aux listes de distribution.
• Formation de sensibilisation à la sécurité planifiée.
• Configuration de la signature e-mail.
• Préparation des tickets, de la documentation et de l'invitation au gestionnaire de mots de passe.

Dans les PME, les dirigeants optent souvent pour une combinaison de Microsoft 365 comme socle et d'un partenaire externe qui automatise cette checklist. Cela prend une fraction du temps nécessaire pour tout régler à la main, et évite qu'un collègue attende son mot de passe par WhatsApp le premier jour.

La checklist d'offboarding : supprimer, c'est vraiment supprimer

La checklist d'offboarding est plus longue que ce que la plupart des PME imaginent. Voici ce qui doit se passer lorsqu'un collaborateur quitte l'entreprise :

• Désactiver le compte dans Entra ID le dernier jour de travail (sans le supprimer immédiatement : les données et la boîte aux lettres restent ainsi consultables).
• Révoquer la licence dans les 24 à 48 heures suivant le départ.
• Convertir la boîte aux lettres en boîte partagée ou la rediriger vers le manager. Par défaut, Microsoft conserve OneDrive 30 jours après la suppression de l'utilisateur, une durée paramétrable dans le centre d'administration SharePoint.
• Transférer OneDrive et les contenus SharePoint pertinents au manager ou à l'équipe.
• Retirer tous les appareils de la gestion MDM (Intune : Retire pour les données applicatives, ou Delete pour une suppression complète).
• Récupérer ou faire renvoyer le matériel. Selon Gartner, les organisations ne récupèrent au mieux qu'environ 50 % des ordinateurs portables, et le taux de retour des écrans est pratiquement nul. Une procédure de restitution convenue à l'avance, voire un contrat device-as-a-service, rendent cela plus maîtrisable.
• Changer les mots de passe des comptes partagés (oublier cette étape est une porte d'entrée classique pour les menaces internes).
• Désactiver les comptes SaaS. Avec le provisionnement SCIM, cela se fait automatiquement pour toutes les applications connectées ; sans SCIM, l'IT doit intervenir manuellement application par application.
• Révoquer l'accès VPN et les éventuels rôles d'administrateur.
• Récupérer les badges d'accès, les clés et les autres moyens physiques.
• Mettre à jour le dossier RH : appliquer les durées de conservation conformes au RGPD (aux Pays-Bas, 5 ans pour la déclaration fiscale sur salaire, 7 ans pour les données à portée fiscale, 2 ans après le départ pour la plupart des autres données). Pour la boîte aux lettres d'un ancien collaborateur, 6 mois est souvent retenu comme durée de référence.

L'ordre des opérations compte. Un partenaire IT expérimenté traite toujours l'offboarding dans le même ordre, avec une checklist validée par le manager.

Mover : la phase oubliée

Entre le Joiner et le Leaver, il y a le Mover. Quelqu'un passe du marketing aux ventes, ou se voit confier une fonction de management en plus. Le risque principal ici est la dérive des droits : de nouveaux droits s'ajoutent, les anciens restent. Au bout de quelques années, un collaborateur a alors accès à presque tout. En cas d'incident ou d'attaque de phishing visant cette seule personne, le rayon d'impact est donc inutilement large.

Une pratique simple : à chaque changement de fonction, le manager vérifie les droits d'accès avec l'IT. Qu'est-ce qu'il faut ajouter, qu'est-ce qu'il faut retirer ? Mener en plus, chaque année, une revue des accès sur les groupes sensibles complète utilement le processus JML. Cela s'inscrit dans le principe plus large du moindre privilège, que l'on retrouve aussi dans notre guide du poste de travail moderne.

L'automatisation : Microsoft Entra Lifecycle Workflows et SCIM

En 2026, un processus JML manuel ne tient plus à l'échelle. Deux briques vous aident :

Microsoft Entra Lifecycle Workflows, disponible pour tous depuis le 7 juin 2023, automatise les événements Joiner, Mover et Leaver à partir des modifications des attributs RH. Tâches intégrées : générer des identifiants temporaires, envoyer des e-mails de bienvenue, modifier les attributs utilisateur et les appartenances aux groupes, ajouter ou retirer des licences. Des modèles pour les scénarios courants permettent une mise en place en quelques jours.

SCIM (System for Cross-domain Identity Management) est le standard de l'IETF (RFC 7643 et 7644) pour le provisionnement automatique des utilisateurs dans les applications SaaS. Microsoft Entra ID, Okta et Google Workspace le prennent tous en charge. Les applications connectées via SCIM créent automatiquement un compte lors d'un événement Joiner et le désactivent automatiquement lors d'un événement Leaver. Sans SCIM, l'IT le fait à la main pour chaque application, et en oublie immanquablement quelques-unes.

Pour une PME, cela signifie qu'au lieu de dérouler une checklist de 30 points par personne, vous définissez la politique une seule fois et les événements Joiner et Leaver se déroulent en grande partie tout seuls. Le temps ainsi gagné, vous le consacrez au volet humain : un accueil soigné, un entretien de départ en bonne et due forme, le transfert des connaissances.

RGPD et durées de conservation après le départ

Le RGPD ne fixe pas de durée de conservation précise, mais impose le principe selon lequel les données personnelles ne doivent pas être conservées plus longtemps que nécessaire. Aux Pays-Bas, la pratique retient des durées indicatives : 2 ans après le départ pour l'essentiel du dossier du personnel, 5 ans pour la déclaration fiscale sur salaire et la copie de la pièce d'identité, 7 ans pour les données salariales et à portée fiscale. Pour les boîtes aux lettres d'anciens collaborateurs, on retient souvent une durée de référence de 6 mois, après laquelle le compte et les données doivent être définitivement effacés. Tout garder 5 ans « par précaution » enfreint le principe de minimisation ; tout supprimer dès le premier jour fait perdre des données qui doivent peut-être encore être traitées légitimement. Notre guide RGPD approfondit ces arbitrages.

Questions fréquentes sur l'onboarding et l'offboarding IT

Dans quel délai dois-je désactiver le compte d'un ancien collaborateur ?

Vous désactivez le compte le dernier jour de travail ; dans les 24 à 48 heures, vous révoquez les licences et les accès SaaS. La suppression définitive peut intervenir après un délai convenu (souvent 30 jours après le dernier jour de travail), une fois OneDrive et les contenus pertinents transférés. Vous évitez ainsi toute perte de données immédiate tout en fermant les accès.

Quelle est la différence entre désactiver et supprimer un compte dans Entra ID lors d'un offboarding ?

La désactivation bloque immédiatement la connexion, mais l'utilisateur et ses données continuent d'exister ; le manager peut accéder à OneDrive et à la boîte aux lettres par les mécanismes standard. La suppression efface définitivement l'utilisateur, et les données OneDrive sont alors elles aussi supprimées au bout de 30 jours (sauf paramétrage contraire). Bonne pratique : désactiver le jour du départ, supprimer à l'issue de la période de suivi convenue.

En tant que PME, avons-nous vraiment besoin de Lifecycle Workflows ?

À partir d'une vingtaine de collaborateurs et de plus de 10 applications SaaS, l'automatisation devient vite rentable. Lifecycle Workflows fait partie de Microsoft Entra ID Governance (licence P2) et constitue un bon investissement si vous voulez gérer le JML de façon structurée, sans le stress des tickets. Pour les plus petites structures, une checklist appliquée avec rigueur, avec l'appui d'un partenaire externe, peut suffire.

Devons-nous conserver la boîte aux lettres d'un ancien collaborateur ?

Aux Pays-Bas, il n'existe pas de durée fixe, mais une référence de 6 mois est courante. L'objectif : pouvoir consulter la correspondance professionnelle, sans porter atteinte à la vie privée. Passé ce délai, la boîte aux lettres doit être effacée, sauf motif particulier justifiant une conservation plus longue (dossier juridique en cours).

Comment gérer les ordinateurs portables que les collaborateurs à distance ne restituent pas ?

Inscrivez l'obligation de restitution dans le contrat de travail dès le départ, envoyez un carton de retour prépayé dès que le départ est acté, et effacez l'appareil à distance via Intune ou votre solution MDM en cas de retard. Pour une solution durable, de nombreuses PME optent pour le device-as-a-service.

Quel est le minimum qu'une PME doit automatiser ?

Trois choses : la MFA obligatoire via l'accès conditionnel, des accès attribués par groupes Entra plutôt que personne par personne, et une checklist d'offboarding fixe (au format numérique ou dans Lifecycle Workflows). Cela règle déjà environ 80 % des risques opérationnels et de sécurité.

Conclusion

L'onboarding et l'offboarding sont les deux moments où votre IT et votre entreprise se rencontrent de manière visible. Un onboarding fluide en dit long sur le fonctionnement de votre entreprise ; un offboarding rigoureux montre à quel point vous prenez la sécurité et la conformité au sérieux. Les deux processus exigent une structure fixe, portée par l'automatisation lorsque c'est possible et par une responsabilité claire lorsque c'est nécessaire. En vous y prenant intelligemment, vous gagnez du temps dès le premier jour, vous évitez les incidents au lendemain du départ, et vous construisez une piste d'audit qui se tient à jour d'elle-même.

Vous souhaitez organiser l'onboarding et l'offboarding de votre PME avec Microsoft Entra, des connecteurs SCIM et une checklist opérationnelle que les RH, l'IT et les managers peuvent suivre ensemble ? Appelez TRON Group au +31 85 303 5869 ou consultez notre page infogérance. Nous connectons votre SIRH à Entra, concevons des flux JML adaptés à vos équipes et mettons en place un processus d'offboarding qui garantit qu'un collaborateur parti l'est vraiment, y compris sur le plan numérique.