3 comptes encore actifs 8 mois après le départ — les 7 étapes d’offboarding qui ont fermé 41 accès orphelins

Lors d’un audit d’accès mené chez un client de 60 personnes, nous avons trouvé trois comptes encore actifs appartenant à des personnes parties depuis plus de huit mois. L’un d’eux disposait d’un accès en écriture à l’outil de facturation. Personne n’avait rien fait de mal : la procédure de départ existait, elle était même écrite, et elle avait été suivie.

Elle s’arrêtait simplement à la messagerie et à l’annuaire.

Nous avons depuis repris cet exercice sur 19 départs chez huit clients. Bilan : 41 accès orphelins, dont deux seulement relevaient de l’annuaire central. Voici la méthode en sept étapes que nous appliquons désormais, avec le détail des deux étapes qui concentrent presque tout le problème.

Pourquoi les procédures existantes échouent

La plupart des PME ont une procédure de départ. Elle échoue pour une raison structurelle, pas par négligence : elle a été écrite du point de vue des ressources humaines, pas du point de vue des accès.

Une procédure RH suit le contrat : solde de tout compte, restitution du matériel, attestation. Les accès y figurent sous une ligne unique, du type « clôture des accès informatiques », confiée à quelqu’un qui interprétera cette ligne comme « désactiver le compte ».

Or dans une entreprise moderne, un salarié n’a pas un accès. Il en a entre quinze et soixante, dont une bonne moitié n’a jamais transité par la direction informatique.

Étape 1 : construire la liste des accès avant le départ, pas après

C’est l’inversion qui change tout, et elle ne coûte rien.

Reconstituer la liste des accès d’une personne après son départ est un travail d’enquête : on interroge les collègues, on fouille les factures, on cherche dans les journaux. Reconstituer cette liste avec elle, avant son départ, prend vingt minutes.

Ajoutez à l’entretien de départ une question simple : « à quels outils, services et systèmes accédez-vous, y compris ceux que vous avez mis en place vous-même ? ». La dernière partie de la phrase est celle qui produit les révélations. Les gens répondent volontiers, parce que personne n’a l’impression de cacher quoi que ce soit — ils ont simplement oublié qu’ils avaient créé un compte de suivi il y a trois ans.

Faites-le systématiquement, pas seulement pour les départs. Idéalement une fois par an pour tout le monde : c’est le même exercice, et il rend le jour du départ trivial.

Étape 2 : définir l’heure de coupure et qui l’exécute

Une procédure sans heure et sans nom n’est pas une procédure, c’est une intention.

Fixez à l’avance le moment exact de la coupure et la personne qui l’effectue. Pour un départ ordinaire, la fin du dernier jour travaillé convient. Pour un départ sensible — accès privilégiés, contexte conflictuel, fonction commerciale avec portefeuille — la coupure doit être simultanée à l’annonce, pas postérieure.

Le point de gouvernance : la personne qui exécute ne doit pas être la même que celle qui vérifie. Ce n’est pas de la défiance, c’est le principe qui rend l’étape 7 utile.

Étape 3 : couper l’authentification centrale d’abord

Commencez par l’annuaire ou le fournisseur d’identité : c’est ce qui ferme le plus d’accès en une seule opération.

Trois gestes, dans cet ordre. Révoquer les sessions actives — oublié dans la majorité des cas, alors qu’une session ouverte survit à la désactivation du compte pendant des heures, parfois des jours. Désactiver le compte plutôt que le supprimer, pour ne pas perdre l’historique et les droits associés. Retirer l’appareil de confiance et les facteurs d’authentification enregistrés.

Cette étape est presque toujours correctement réalisée. Sur nos 41 accès orphelins, seuls 2 relevaient de l’annuaire. Ce n’est pas là que se trouve votre problème.

Étape 4 : traiter les accès qui ne passent pas par l’annuaire

Voici l’étape qui contient le problème. Sur nos 41 accès orphelins, 17 concernaient des services hors annuaire.

Quatre familles, par ordre de fréquence.

Les outils SaaS souscrits directement par les équipes. Un outil de veille, un service de planification, une plateforme d’envoi de courriels, payés par carte d’entreprise ou remboursés en note de frais. Ils n’apparaissent nulle part côté informatique. Le seul moyen fiable de les trouver : les relevés de carte bancaire et les notes de frais des douze derniers mois.

Les comptes locaux sur les serveurs et les équipements. Créés lors d’une intervention, jamais nettoyés. Six cas dans notre échantillon.

Les accès partagés. Le compte générique dont le mot de passe circule dans l’équipe. Désactiver le compte nominatif ne change rien : il faut changer le mot de passe partagé, ce qui suppose de savoir qu’il existe.

Les accès physiques. Badge, clé, code d’alarme. Quatre cas, et ce sont ceux qui surprennent le plus les dirigeants.

Étape 5 : récupérer et transférer la propriété des données

Distinct de la fermeture des accès, et souvent confondu avec elle — ce qui produit des dégâts.

Avant toute suppression, identifiez ce dont la personne était propriétaire : documents, dossiers partagés, tableaux de bord, automatisations, boîtes fonctionnelles, noms de domaine, comptes de facturation chez un prestataire. Transférez cette propriété à une personne nommée.

L’erreur classique consiste à supprimer le compte trois mois après le départ pour économiser une licence, et à découvrir que le tableau de bord utilisé chaque lundi par la direction commerciale appartenait à ce compte. La règle : désactiver immédiatement, supprimer après un délai défini, et jamais avant transfert vérifié de la propriété.

Côté conservation des traces, l’articulation avec vos obligations documentaires mérite d’être posée par écrit. Notre page audit de périmètre NIS2 précise ce qui doit être conservé et pendant combien de temps selon le périmètre concerné.

Étape 6 : révoquer les secrets, pas seulement les comptes

Deuxième étape critique, et la plus négligée : 12 des 41 accès orphelins étaient des clés ou des jetons.

Un compte désactivé ne révoque pas ce que la personne a créé pendant qu’elle était en poste. Quatre catégories à traiter explicitement.

Les clés d’API créées à son nom, qui continuent de fonctionner après la désactivation du compte dans un grand nombre de services. Les clés SSH déposées sur les serveurs, qui survivent à tout tant que le fichier n’est pas nettoyé. Les jetons d’accès personnels sur les forges logicielles. Et les secrets partagés qu’elle connaissait : mot de passe du compte administrateur, clé de chiffrement des sauvegardes, code du coffre-fort.

Ce dernier point implique une décision inconfortable : après le départ d’une personne ayant eu accès à des secrets partagés, il faut les changer. C’est fastidieux et c’est presque toujours reporté. Sur ce sujet, les pratiques de gestion des secrets côté équipes de développement documentées par d-open.org sont directement applicables.

Étape 7 : vérifier à J+30, avec une preuve écrite

Trente jours après le départ, quelqu’un qui n’a pas exécuté la procédure la vérifie.

Quatre contrôles : le compte annuaire est-il toujours désactivé (les réactivations accidentelles arrivent plus souvent qu’on ne le croit) ; les accès hors annuaire identifiés à l’étape 1 sont-ils tous fermés, un par un ; les secrets ont-ils été changés ; la propriété des données a-t-elle été transférée à une personne nommée.

Le résultat s’écrit et se conserve. Pas par formalisme : parce qu’en cas d’incident ultérieur impliquant un compte de cette personne, cette page est la différence entre « nous avons appliqué notre procédure, la voici » et une conversation beaucoup plus difficile avec votre assureur.

Trois idées fausses qui coûtent cher

1. Le compte de messagerie n’est pas l’accès le plus dangereux. C’est le plus visible, donc le premier fermé. Les accès qui restent ouverts sont ceux que personne ne voit : un jeton d’API, un compte sur un outil payé par carte bancaire personnelle, un accès en lecture à un tableau de bord commercial.
2. Un départ à l’amiable n’est pas moins risqué qu’un départ conflictuel. Il est simplement moins traité, parce que personne n’a envie de paraître soupçonneux envers quelqu’un qu’on apprécie. Sur nos 19 dossiers, les accès oubliés les plus anciens concernaient tous des départs cordiaux.
3. Le risque principal n’est pas la malveillance de l’ancien salarié. C’est qu’un compte inutilisé et non surveillé, dont le mot de passe figure peut-être dans une fuite ancienne, reste une porte ouverte pour quelqu’un d’autre.

Ce que ça a donné sur 19 départs

Après mise en place de la méthode chez les huit clients concernés : 41 accès orphelins fermés, délai moyen de clôture complète ramené de « indéterminé » à 48 heures, et surtout un effet non prévu — 9 abonnements SaaS inutilisés découverts au passage, pour environ 4 100 EUR par an d’économies. L’inventaire d’accès est aussi un inventaire de dépenses.

Le temps nécessaire est modeste : vingt minutes d’entretien avant le départ, environ une heure de coupure le jour J, quinze minutes de contrôle à J+30. Le coût réel n’est pas le temps. C’est de désigner quelqu’un.

Questions fréquentes

Méthode issue de 19 dossiers d’offboarding audités chez 8 clients PME entre janvier et août 2026. Les chiffres cités sont agrégés et anonymisés. Analyse et recommandations : WebGuard Agency.