Arrivée ou départ d’un salarié : la checklist Microsoft 365

Préparez les décisions avant le premier ou le dernier jour

Une arrivée ou un départ devient risqué lorsque l’informatique reçoit seulement un nom et une date. Préparez une demande courte avec le poste occupé, le responsable, les outils nécessaires, le matériel remis et l’heure à laquelle les accès doivent être disponibles ou coupés. Le responsable métier valide les besoins ; l’administrateur applique et trace les actions.

La CNIL recommande de définir des profils d’habilitation, de faire valider les demandes par un responsable et de limiter chaque utilisateur aux données nécessaires à sa mission. Cette logique évite de copier tous les droits d’un collègue sans vérifier s’ils correspondent vraiment au nouveau poste.

• Qui valide les accès aux équipes Teams, boîtes partagées et dossiers SharePoint ?
• Quelles applications extérieures utilisent l’adresse Microsoft 365 comme identifiant ?
• Qui récupère le poste, le téléphone et les éventuelles clés de sécurité ?

À l’arrivée, partez d’un compte nominatif et d’un besoin précis

Créez un compte propre à la personne et attribuez uniquement les groupes, applications et espaces utiles. Les comptes partagés rendent plus difficile l’identification des actions ; la CNIL demande que leurs exceptions soient tracées, validées et revues. Réservez les droits d’administration aux opérations qui les exigent.

Exemple illustratif : une nouvelle chargée de clientèle doit utiliser Outlook, un canal Teams commercial et un dossier SharePoint précis. Elle n’a pas automatiquement besoin d’accéder aux dossiers de direction ni d’administrer Microsoft 365. Une vérification avec son responsable avant l’arrivée permet de préparer le bon périmètre, puis de tester avec elle les accès réellement nécessaires.

Au départ, bloquer le compte et fermer les sessions sont deux actions distinctes

Le moment de la coupure doit être convenu avec la personne habilitée côté entreprise. Microsoft indique qu’un administrateur peut désactiver le compte dans Microsoft Entra ID et révoquer les sessions. Cette seconde action compte : une personne peut déjà disposer de jetons ou de sessions ouverts sur des applications et des appareils.

Microsoft précise aussi que l’effet de la révocation dépend du type de jeton, de l’application et de sa propre gestion des sessions. Il faut donc inclure les applications SaaS extérieures, les accès directs et les appareils dans la checklist. Désactiver Microsoft 365 ne ferme pas forcément un compte créé séparément chez un éditeur.

Décidez du devenir des messages et des fichiers avant la suppression

Avant de retirer une licence ou de supprimer le compte, identifiez les données utiles à l’activité et la personne autorisée à les reprendre. Microsoft documente notamment le blocage de la connexion, la conservation ou le transfert de la messagerie, l’accès aux contenus OneDrive et Outlook, le traitement des appareils, puis la licence et le compte.

Une redirection automatique ou la conversion d’une boîte ne doit pas devenir une décision implicite. Définissez sa finalité, sa durée et les personnes autorisées, en tenant compte des règles internes et des obligations applicables. Vérifiez la documentation Microsoft au moment de l’opération : les modalités de conservation dépendent de l’action réalisée, de la configuration et des services concernés.

Terminez par un contrôle vérifiable

Pour une arrivée, demandez à la personne d’ouvrir les services attendus et notez les accès encore manquants. Pour un départ, vérifiez le blocage de la connexion, la révocation des sessions, la restitution du matériel, la reprise des données convenue et la fermeture des applications extérieures. Conservez la date, l’auteur et le résultat de chaque action.

La CNIL recommande également une revue régulière, au moins annuelle, des habilitations afin d’identifier les comptes inutilisés et de réaligner les droits avec les fonctions. Les changements de poste sont une bonne occasion de la déclencher sans attendre le prochain départ.

SOLYTI accompagne les TPE et PME dans l’administration et la sécurisation de Microsoft 365, à distance partout en France. Décrivez vos comptes, vos appareils et votre organisation actuelle pour cadrer une procédure d’arrivée et de départ adaptée à votre environnement.