Arrivées et départs : garder la maîtrise des accès

Une arrivée ou un départ mobilise plusieurs responsables : ressources humaines, manager, informatique et propriétaires d’applications. Le compte Microsoft 365 n’est qu’une partie du sujet. Il faut aussi traiter les groupes, les appareils, les applications tierces, les documents et la continuité de l’activité.

Une procédure fiable définit qui demande, qui autorise, qui exécute et qui vérifie. Elle couvre également les mobilités internes : changer de poste doit conduire à réexaminer les droits précédents, sans attendre le départ de l’organisation.

Commencer par une demande exploitable

La demande doit contenir l’identité de la personne, son responsable, son équipe, la date et l’heure d’effet avec le fuseau horaire, les applications nécessaires et les exceptions approuvées. Pour un départ, ajoutez le responsable du relais documentaire et les décisions de conservation. Un simple courriel « supprimer le compte vendredi » laisse trop de questions ouvertes.

Distinguez le départ planifié de la coupure urgente. Le premier permet de préparer les transferts et la restitution du matériel. Le second exige une chaîne de décision et une exécution rapide, tout en conservant la trace des actions et des traitements encore en attente.

Préparer l’arrivée sans recopier tous les droits

Définissez un socle par fonction, puis faites valider les compléments par les propriétaires des ressources. Copier les droits d’un collègue peut reproduire des exceptions anciennes, des délégations temporaires ou des privilèges injustifiés. Les accès sensibles doivent rester explicables individuellement.

Avant le premier jour, vérifiez :

le compte, les licences et les services nécessaires ;
le moyen initial de connexion et le parcours d’enregistrement des méthodes d’authentification ;
les groupes, équipes, sites et applications autorisés ;
le matériel, sa gestion et les applications de travail ;
le guide de démarrage et le contact du support.

Au démarrage, faites tester les tâches attendues avec le compte de la personne : ouvrir sa messagerie, accéder à l’équipe, créer un document dans le bon espace et utiliser l’application métier. La présence dans un groupe ne constitue pas à elle seule une preuve que le parcours fonctionne. Enregistrez les exceptions avec un propriétaire et une date de réexamen.

Traiter la mobilité comme un changement d’habilitation

Lors d’un changement de fonction, comparez les accès actuels et ceux du nouveau poste. Identifiez ceux à retirer, ceux à conserver temporairement pour la passation et ceux à ajouter. Pour les accès transitoires, fixez une échéance et une personne chargée de vérifier leur retrait.

Examinez les responsabilités autant que les appartenances : propriété de groupes et d’équipes, délégations de boîtes, applications, automatisations et documents collectifs stockés dans un OneDrive personnel. Un propriétaire qui change de poste peut laisser un service sans relais même si ses droits semblent corrects.

À l’heure du départ, couper les parcours d’accès

Prévoyez le blocage de connexion, la révocation des sessions et le traitement des méthodes d’accès selon l’environnement. Si l’identité est synchronisée depuis un annuaire local, coordonnez les actions avec la source d’autorité : une modification uniquement dans le cloud peut être insuffisante.

Microsoft précise que la révocation ne met pas toujours fin immédiatement à tous les accès : les jetons et les sessions propres aux applications peuvent prolonger une session existante. Les applications qui permettent une connexion directe doivent aussi être désactivées selon leur procédure. Vérifiez donc les applications tierces, VPN et accès locaux dans le même dossier de départ. Révocation des accès dans Microsoft Entra.

Le matériel demande une décision séparée : récupération, blocage, retrait des données professionnelles ou effacement selon le type d’appareil et son mode de gestion. Un appareil hors ligne ne reçoit pas immédiatement une action distante et peut conserver des données locales. Documentez les opérations en attente ; un ordre d’effacement envoyé n’est pas la preuve de son exécution.

Organiser le relais avant de supprimer ou retirer une licence

Décidez quels documents doivent rejoindre un espace collectif, qui peut y accéder et pendant combien de temps. Toute consultation de la messagerie ou des fichiers d’une personne doit correspondre à une autorisation explicite de l’organisation et à un besoin défini. Le rôle technique d’administrateur ne remplace pas cette décision.

Pour OneDrive, relevez la conservation configurée et le responsable de reprise. La suppression du compte, le retrait de licence et le blocage de connexion déclenchent des mécanismes différents. Les comptes sans licence relèvent notamment d’un processus d’archivage spécifique ; ne supposez pas que conserver le compte sans licence garantit un accès durable aux fichiers. Cycle de conservation et de suppression OneDrive.

Si l’activité nécessite de conserver une adresse de messagerie, étudiez une délégation autorisée, une redirection ou une conversion en boîte partagée. La conversion ne sécurise pas à elle seule la connexion. Microsoft demande de conserver le compte qui porte la boîte partagée ; les besoins de capacité, d’archivage et de conservation peuvent aussi imposer une licence. Vérifiez ces conditions avant de retirer la licence existante. Conversion en boîte partagée.

Exemple illustratif : un départ avec une passation incomplète

Dans cet exemple fictif, une cheffe de projet quitte l’organisation alors qu’un dossier partagé reste dans son OneDrive et qu’elle possède un accès direct à une application de planification. Le manager a prévu un remplaçant, mais le ticket initial ne mentionne que la messagerie.

La revue ajoute deux actions : transférer les documents collectifs vers l’espace projet avec des droits validés, puis désactiver l’accès dans l’application tierce. Le support teste l’ouverture par le remplaçant et obtient la confirmation du propriétaire de l’application. Le compte peut être sécurisé à l’heure prévue ; le dossier de départ reste ouvert tant que la reprise et les opérations différées ne sont pas vérifiées.

Fermer le dossier sur des preuves

Utilisez une liste commune avec les colonnes « action, responsable, heure prévue, résultat, preuve, exception ». Les critères de clôture doivent couvrir :

les accès Microsoft et tiers traités, avec les délais ou sessions résiduelles identifiés ;
le matériel récupéré ou les actions de gestion confirmées ;
les données et responsabilités transférées selon les décisions approuvées ;
les licences traitées après vérification des dépendances ;
les exceptions attribuées et les accès temporaires dotés d’une échéance.

Ne testez pas le départ en réutilisant les identifiants de la personne. Utilisez les états d’administration, journaux disponibles et confirmations des propriétaires. Une revue périodique d’un échantillon de dossiers clôturés permet ensuite de repérer les tâches qui échappent régulièrement au processus.

Sources et périmètre de vérification

Sources primaires consultées le 23 octobre 2026. Les délais, capacités de gestion et règles de conservation dépendent du tenant, des licences, des appareils et des applications concernés. Ce guide ne fixe aucune durée légale de conservation.

Exploitation et support · Protection des données