Un employé remet sa démission, ou vous devez mettre fin à un emploi. Dans les heures qui suivent, une question revient toujours : est-ce que cette personne a encore accès à vos courriels, à vos fichiers, à vos systèmes? Pour bien des PME de la Mauricie, la réponse honnête est oui, souvent pendant des semaines, parce que personne n’a de liste claire de tout ce qui doit être coupé.
Ce trou de sécurité est plus courant qu’on pense. Un ancien employé qui garde l’accès à la boîte courriel, au Microsoft 365 ou au partage de fichiers, c’est un risque réel de fuite de données, de facturation frauduleuse et de non-conformité à la Loi 25. Voici une checklist pratique pour gérer le départ d’un employé sans laisser de porte ouverte derrière lui.
Réponse rapide : Au départ d’un employé, désactivez son compte Microsoft 365 la journée même, changez ses mots de passe, révoquez ses sessions actives, récupérez ses appareils et transférez ses fichiers et courriels vers un responsable. Une procédure écrite, testée d’avance, évite les oublis qui coûtent cher.
1. Pourquoi le départ d’un employé est un vrai risque de sécurité
Quand une personne quitte, elle emporte dans sa tête des mots de passe, des accès et parfois de la frustration. La plupart des anciens employés ne feront jamais rien de malveillant. Le problème, c’est le petit pourcentage qui le fait, et surtout les comptes laissés actifs qu’un pirate peut détourner sans que personne s’en rende compte.
Le Centre canadien pour la cybersécurité classe les menaces internes parmi les risques que les organisations sous-estiment le plus. Un compte oublié, c’est une cible facile : pas de surveillance, pas de changement de mot de passe, souvent pas de double authentification à jour. Voici ce qui traîne le plus souvent après un départ mal géré :
- La boîte courriel Microsoft 365 ou Google, encore synchronisée sur un téléphone personnel
- L’accès aux fichiers partagés (SharePoint, OneDrive, serveur local)
- Les comptes d’applications externes : comptabilité, CRM, banque, réseaux sociaux
- Les accès à distance (VPN, bureau à distance) toujours ouverts
- Un portable ou un cellulaire d’entreprise jamais rendu
2. Couper les accès Microsoft 365 le jour même
La première urgence, c’est l’identité numérique. Tant que le compte Microsoft 365 reste actif, la personne peut lire ses courriels, se connecter aux applications et voir vos documents. Microsoft recommande de bloquer la connexion immédiatement plutôt que de supprimer le compte tout de suite, ce qui vous laisse le temps de récupérer les données.
Concrètement, voici l’ordre à suivre le jour du départ :
- Bloquer la connexion au compte dans le centre d’administration Microsoft 365
- Réinitialiser le mot de passe pour couper toute session déjà ouverte
- Révoquer les sessions actives et les jetons d’accès (l’employé reste connecté sur son téléphone sinon)
- Retirer les rôles d’administrateur, s’il en avait
- Convertir la boîte en boîte partagée si des collègues doivent continuer à répondre aux clients
Cette étape prend quelques minutes quand elle est planifiée, et une demi-journée de panique quand elle ne l’est pas. Si votre équipe n’a pas de personne dédiée aux TI, un partenaire en services informatiques gérés peut exécuter cette procédure de façon standardisée à chaque départ.
3. Récupérer et sécuriser les appareils
Un portable d’entreprise contient bien plus qu’un système d’exploitation : des fichiers locaux, des mots de passe enregistrés dans le navigateur, des sessions ouvertes. Idéalement, l’appareil est récupéré le dernier jour de travail. Quand c’est impossible, par exemple en télétravail dans une autre ville, il faut un plan.
Quelques réflexes utiles pour les appareils :
- Récupérer physiquement les portables, cellulaires, clés USB et cartes d’accès
- Retirer l’appareil des comptes d’entreprise à distance si vous utilisez une solution de gestion (MDM)
- Effacer les données à distance sur un cellulaire personnel qui contenait des courriels professionnels
- Vérifier que le disque était chiffré (BitLocker) avant de réattribuer l’appareil à quelqu’un d’autre
Pour une équipe répartie entre Trois-Rivières et le reste du Québec, la gestion à distance des appareils change tout : vous n’êtes plus obligé d’attendre le retour physique du matériel pour couper l’accès.
4. Protéger et transférer les données
Une fois les accès coupés, il reste à ne rien perdre. Les documents, les courriels et l’historique de conversation avec les clients appartiennent à l’entreprise, pas à la personne qui part. C’est particulièrement vrai pour un poste en vente ou en service à la clientèle, où toute l’information sur les dossiers vit dans une seule boîte.
Avant de fermer le compte pour de bon :
- Transférer les fichiers OneDrive vers un gestionnaire ou un lecteur partagé
- Réassigner les documents dont la personne était propriétaire dans SharePoint
- Mettre en place une réponse automatique qui redirige les clients vers la bonne personne
- Conserver la boîte courriel un certain temps, selon vos obligations légales, avant de la supprimer
Ne supprimez jamais un compte le jour même par réflexe. Une suppression efface aussi les données, et vous pourriez en avoir besoin pour un dossier client ou une vérification. Bloquez d’abord, transférez ensuite, supprimez à la fin.
5. Loi 25 : vos obligations au Québec
Au Québec, la protection des renseignements personnels n’est plus optionnelle. La Loi 25 exige que les entreprises limitent l’accès aux renseignements personnels aux seules personnes qui en ont besoin pour leur travail. Un ancien employé qui garde accès à une base de données clients, c’est exactement le genre de situation que la loi vise à empêcher.
En pratique, gérer proprement le départ d’un employé vous aide à respecter plusieurs principes de la loi :
- Retirer les accès dès que le besoin professionnel disparaît
- Garder une trace de qui avait accès à quoi, et quand cet accès a été retiré
- Réduire le risque d’incident de confidentialité, qui peut devoir être déclaré
Une procédure de départ documentée devient alors une preuve concrète que vous prenez la protection des données au sérieux. En cas de vérification ou d’incident, cette trace fait la différence.
6. Automatiser l’offboarding pour ne rien oublier
Le vrai problème d’une checklist manuelle, c’est l’oubli. Sous la pression d’un départ, on coupe le courriel mais on oublie le compte de la comptabilité, ou l’accès VPN. Après quelques mois, plus personne ne sait quels comptes traînent encore.
C’est pour ça qu’une procédure écrite et réutilisée à chaque fois vaut mieux qu’une bonne mémoire. Un inventaire à jour de tous les accès de chaque poste, combiné à une gestion centralisée des identités, permet de couper l’ensemble d’un seul coup. Si vous n’avez pas cette structure à l’interne, c’est un des premiers gains qu’un partenaire TI apporte à une PME. Vous pouvez nous joindre chez OKTO Solutions pour bâtir une procédure adaptée à votre entreprise.
Frequently Asked Questions
Faut-il supprimer le compte Microsoft 365 d’un employé qui part?
Pas tout de suite. Bloquez d’abord la connexion et réinitialisez le mot de passe, puis transférez les données. Convertissez la boîte en boîte partagée si des collègues doivent continuer à répondre aux clients. Vous pourrez supprimer le compte plus tard, une fois tout récupéré.
Combien de temps garder les courriels d’un ancien employé?
Cela dépend de vos obligations et de votre secteur. Beaucoup de PME gardent la boîte accessible en lecture pendant quelques mois pour ne pas perdre l’historique des dossiers clients. L’important est de définir une règle claire et de l’appliquer de la même façon à chaque départ.
Que faire si un employé en télétravail refuse de rendre son portable?
Coupez immédiatement ses accès aux comptes d’entreprise et, si l’appareil est géré, effacez ou déconnectez-le à distance. Documentez la demande de retour par écrit. Une solution de gestion des appareils configurée d’avance vous laisse reprendre le contrôle sans dépendre de la bonne volonté de la personne.
Sécuriser vos départs d’employés à Trois-Rivières et en Mauricie
Un départ bien géré prend quelques minutes quand la procédure existe, et devient un vrai risque quand on improvise. Si vous voulez une checklist d’offboarding adaptée à votre PME, un inventaire clair de vos accès et une exécution rapide à chaque départ, découvrez nos services informatiques gérés ou contactez notre équipe à Trois-Rivières. On met en place la structure qui protège vos données, même quand une personne quitte du jour au lendemain.