Ce qui reste ouvert après un départ
Dans la plupart des PME de la zone UEMOA, la sortie d'un salarié se règle sur le plan RH : solde de tout compte, attestation, remise du badge. Le volet informatique, lui, est rarement traité, parce que personne ne sait exactement ce que la personne avait comme accès.
Les oublis sont toujours les mêmes :
- La boîte email reste active pour « ne pas perdre les mails en cours ». Personne ne la ferme jamais.
- Le compte Windows ou le compte Microsoft 365 n'est pas désactivé, et l'ancien salarié garde l'accès aux fichiers partagés.
- Le mot de passe partagé du logiciel de facturation ou de la comptabilité n'a pas changé : il circulait sur WhatsApp, il circule encore.
- Le VPN et l'accès à distance au serveur n'ont pas été révoqués.
- Le téléphone professionnel est revenu, mais l'application email y est restée configurée, ou la carte SIM a été conservée.
- Le compte WhatsApp Business du commercial, qui contient les conversations clients, reste sur son numéro personnel.
Trois scénarios qui coûtent vraiment cher
Le départ conflictuel. L'ancien responsable commercial a encore son accès à la boîte et au dossier clients partagé. Il repart avec le portefeuille, ou pire, il contacte les clients depuis son ancienne adresse professionnelle. Vous ne le découvrez qu'au moment où un client appelle pour dire qu'il a traité avec quelqu'un d'autre.
La fausse facture. Une adresse email d'ancien salarié qui reste active est une cible parfaite pour un usurpateur. Il envoie un message depuis cette adresse connue de vos clients, avec un nouveau relevé bancaire. Le client paie, l'argent disparaît, et la responsabilité se discute pendant des mois.
Le silence côté informatique. C'est le cas le plus fréquent : le prestataire informatique n'a jamais été informé du départ. Il continue de facturer une licence, de sauvegarder le compte, et de considérer l'ancien salarié comme un utilisateur actif.
La procédure de sortie en 7 points
Une sortie propre tient sur une page et se déroule le jour du départ, pas trois semaines après.
| Élément | Action le jour du départ | Risque si oublié |
|---|---|---|
| Boîte email | Suspendre, rediriger vers le responsable, message d'absence | Usurpation, perte de mails clients |
| Compte Windows / 365 | Désactiver, révoquer les sessions actives | Accès aux fichiers partagés |
| VPN et accès distant | Supprimer le compte, changer les secrets partagés | Intrusion sans trace |
| Mots de passe partagés | Changer comptabilité, banque en ligne, opérateur | Fraude au virement |
| Applications mobiles | Effacer l'appareil à distance, révoquer l'app email | Accès permanent depuis un téléphone |
| WhatsApp Business | Récupérer le numéro sur un téléphone de l'entreprise | Perte du portefeuille de contacts |
| Matériel | Récupérer, effacer le disque, réattribuer | Données internes sorties du bureau |
Ce qui se prépare avant le départ
Une sortie propre n'est possible que si l'entrée a été bien faite. Trois règles suffisent, et elles ne coûtent rien :
- Un compte nominatif par personne. Aucun compte « compta@ » ou « direction@ » partagé entre plusieurs salariés. Un compte partagé ne se désactive pas sans bloquer tout le monde.
- Un inventaire des accès tenu à jour. Une simple feuille, ou un coffre de mots de passe, qui liste pour chaque poste : messagerie, logiciel métier, banque, opérateur, réseaux sociaux. Sans cet inventaire, la sortie se fait de mémoire.
- Une clause dans le contrat. Le salarié s'engage à restituer le matériel et à ne pas conserver de copie des données. C'est la base juridique qui rend la récupération opposable en cas de litige.
Le coût de cette organisation est marginal : une heure de paramétrage à l'arrivée, quinze minutes le jour du départ. À comparer au prix d'un compte compromis, qui se chiffre en millions de FCFA.
Conclusion : trois actions cette semaine
Vous ne connaîtrez pas la date du prochain départ à l'avance. Vous pouvez en revanche rendre la sortie mécanique :
- Aujourd'hui : listez les comptes de chaque salarié, y compris les anciens. Vous en trouverez au moins deux qui devraient être fermés.
- Demain : désactivez ces comptes, changez les mots de passe partagés et révoquez les accès à distance inutilisés.
- Cette semaine : écrivez la fiche de sortie en 7 points et donnez-la aux RH, pour qu'elle soit déclenchée sans dépendre de la mémoire de quelqu'un.
Un compte orphelin ne fait aucun bruit. Il ne tombe pas en panne, n'affiche aucune alerte, et reste actif des années. C'est le type d'exposition qu'un inventaire d'accès et une revue trimestrielle suppriment en une heure.
Combien de comptes dorment dans votre système ?
Sira-Tech passe en revue les comptes utilisateurs et les accès à distance de votre PME, à Abidjan, Dakar, Bamako ou Lomé, et vous remet la liste de ceux qui doivent être fermés.
🚀 Demander un audit des accès