Arrivées et départs : ce que les RH peuvent arrêter de faire à la main
Une arrivée traîne rarement pour des raisons techniques. Elle traîne parce que l'information part tard, par le mauvais canal, et qu'aucune correspondance n'a été écrite entre les rôles décidés par les RH et les accès créés par l'informatique. Un départ, lui, échoue en silence.
L’essentiel
- Les RH décrivent un rôle, l'informatique le traduit en accès : si les RH doivent lister des applications une à une, cette traduction n'existe pas encore.
- Le seul délai vraiment contraint sur une arrivée est celui du matériel ; comptes, licences et boîte mail se créent en quelques minutes.
- Un départ est plus risqué qu'une arrivée, parce qu'un compte resté ouvert ne provoque aucune erreur visible.
- L'automatisation amplifie ce qui existe : posée sur des droits attribués au cas par cas, elle industrialise le désordre.
Sommaire de l’article
Cet article s'adresse d'abord aux équipes RH, qui subissent les arrivées mal préparées et les départs mal fermés sans en tenir les leviers. La question n'est pas technique : c'est la frontière entre ce que décident les RH et ce qu'exécute l'informatique. Pour la liste d'actions pas à pas, voyez notre checklist d'arrivée et de départ.
Pourquoi une arrivée prend-elle deux jours au lieu de deux heures ?
Pour une raison d'organisation, pas de technique. Créer un compte, attribuer une boîte mail et affecter des licences prend quelques minutes. Ce qui prend deux jours, c'est d'apprendre l'arrivée trop tard, de demander à trois personnes quels accès donner, et d'attendre un ordinateur qui n'a pas été commandé.
- 1
- L'information part tard : la date est connue à la promesse d'embauche, transmise la semaine d'avant.
- 2
- Par le mauvais canal : un message informel n'a ni statut, ni accusé de réception, ni historique.
- 3
- Sans correspondance écrite : personne n'a dit ce que reçoit un « commercial sédentaire ».
Qui fait quoi entre les RH et l'informatique ?
Les RH décident, le manager valide les exceptions, l'informatique exécute et prouve. Cette répartition n'est écrite nulle part dans la plupart des entreprises, et c'est pour cela que chaque arrivée ressemble à une négociation.
| Étape | Ressources humaines | Manager | Informatique |
|---|---|---|---|
| Annonce | transmet date, rôle, site, contrat | signale les besoins hors standard | accuse réception, ouvre la demande |
| Droits | désigne le rôle, jamais les applications | valide toute exception | traduit le rôle en comptes, groupes, licences |
| Matériel | indique le type de poste prévu | précise les besoins métier | commande, chiffre, prépare, livre |
| Premier jour | remet contrat et charte informatique | accueille et présente l'équipe | remet le poste, vérifie les accès |
| Départ | transmet la date dès qu'elle est connue | désigne qui reprend dossiers et boîte mail | révoque, récupère, libère les licences |
| Preuve | conserve la trace au dossier | confirme la reprise des dossiers | produit le relevé des accès ouverts et fermés |
La dernière ligne est celle qu'on ajoute après un contrôle, jamais avant. Un relevé des accès ouverts et fermés est pourtant exactement ce que demande une revue de conformité. Les obligations qui pèsent sur un prestataire à ce titre sont dans notre article RGPD et prestataire informatique.
Comment écrire la correspondance entre rôles et accès ?
Dans un tableau simple : une ligne par rôle, une colonne par accès. Tout le reste en découle, l'automatisation comprise.
- Le rôle « Commercial sédentaire, agence de Lille »
- Les groupes Ventes, Agence Lille, Tous
- Les accès CRM, dossiers ventes, messagerie, téléphonie
- Les licences Affectées depuis le catalogue
Les droits s'attribuent par groupe, jamais nominativement : un droit nominatif survit à son titulaire et personne ne le retrouve. Les exceptions existent, elles sont validées par le manager et tracées comme telles. Une exception non tracée devient la norme au bout de trois arrivées.
Pourquoi un départ est-il plus risqué qu'une arrivée ?
Parce qu'un départ raté ne provoque aucune erreur visible. Une arrivée mal préparée se voit tout de suite : quelqu'un attend devant un poste. Un départ mal fermé ne produit rien : le compte reste actif, la licence est facturée, et personne ne s'en aperçoit avant l'audit ou l'incident.
- Avant le dernier jour Boîte mail convertie ou déléguée, fichiers transférés vers un espace d'équipe, secrets partagés repris.
- Le jour même Accès révoqués, poste récupéré, licences libérées : sur un parc avec authentification unique, désactiver le compte suffit à fermer les applications rattachées.
- Ensuite Vérifier les accès hors annuaire : équipements réseau, comptes fournisseurs, clés d'interface créées pour un projet.
Ce que CWAM prend en charge, et ce qui reste chez vous
Nous exécutons et nous prouvons ; vous décidez qui a droit à quoi. Un prestataire ne peut pas savoir qu'un salarié change de service, ni qu'un stagiaire ne doit pas voir la paie : la qualification appartient à l'entreprise.
Sur ce périmètre, nous tenons la traduction écrite des rôles, avec l'authentification unique (IAM et SSO) comme socle ; la préparation et le chiffrement des postes ; le suivi des licences et abonnements ; le coffre-fort de mots de passe d'équipe ; et, une fois les rôles stabilisés, l'automatisation de ces séquences. Sur un parc ainsi structuré, les accès d'un salarié qui part sont révoqués et son poste récupéré en quelques minutes.
Questions fréquentes
Les RH doivent-elles savoir ce qu'est un groupe de sécurité ?
Non, et c'est le point. Les RH décrivent un rôle ; sa traduction en comptes, groupes et licences est un travail informatique.
Combien de temps prévenir avant une arrivée ?
Le délai utile est dicté par le matériel. La date d'entrée doit donc partir dès la signature de la promesse d'embauche.
Que se passe-t-il si un départ n'est pas signalé ?
Les accès restent ouverts et les licences facturées. Un compte actif sans titulaire est le point d'entrée le plus commode qui soit, et un manquement au principe de limitation des accès du RGPD.
Faut-il un outil dédié pour automatiser ?
Pas nécessairement. L'essentiel se joue avec un annuaire structuré, des groupes par rôle et un catalogue de licences à jour. L'automatisation vient ensuite.
