Arrivées et départs : ce que les RH peuvent arrêter de faire à la main

Pourquoi une arrivée prend-elle encore deux jours au lieu de deux heures ?

Pour une raison d'organisation, pas de technique. Créer un compte, attribuer une boîte mail et affecter des licences prend quelques minutes. Ce qui prend deux jours, c'est d'apprendre l'arrivée trop tard, de devoir demander à trois personnes quels accès donner, et d'attendre un ordinateur qui n'a pas été commandé.

Trois causes reviennent, et aucune ne se règle en changeant d'outil.

• L'information part tard. La date d'entrée est connue à la signature de la promesse d'embauche, elle est souvent transmise à l'informatique la semaine précédente. Le seul élément réellement contraint est le matériel, qui dépend d'un fournisseur.
• Elle part par le mauvais canal. Un message informel n'est pas une demande : il n'a pas de statut, pas d'accusé de réception et pas d'historique. Personne ne peut dire ensuite quand il a été envoyé ni ce qu'il contenait.
• Personne n'a écrit la correspondance rôle vers accès. C'est la cause profonde. Tant qu'aucun document ne dit ce que reçoit un « commercial sédentaire », la question se repose intégralement à chaque arrivée, et la réponse change selon qui la donne.

Qui fait quoi entre les RH et l'informatique ?

Les RH décident, le manager valide les exceptions, l'informatique exécute et prouve. Cette répartition n'a rien d'évident : dans la plupart des entreprises, elle n'est écrite nulle part, et c'est pour cela que chaque arrivée ressemble à une négociation.

La dernière ligne est celle qu'on ajoute après un contrôle, jamais avant. Elle a pourtant une valeur immédiate : un relevé des accès ouverts et fermés est exactement ce que demande une revue de conformité, et c'est aussi ce qui permet de constater qu'un départ a bien été traité. Les obligations qui pèsent sur un prestataire à ce titre sont détaillées sur notre page RGPD et prestataire informatique.

Que faut-il avoir préparé avant le premier jour ?

Sept éléments, et un seul dépend d'un délai extérieur. Les six autres se préparent en série une fois le rôle connu.

1. Le compte et la boîte mail, créés dans l'annuaire avec l'appartenance aux groupes correspondant au rôle. Tout le reste des droits en découle plutôt que d'être attribué compte par compte.
2. Le poste, chiffré et préparé. C'est le seul point qui dépend d'un fournisseur, donc le seul à anticiper vraiment. Le chiffrement du disque se pose au moment de la préparation, pas après la remise.
3. Les licences, affectées depuis un catalogue tenu à jour et libérées au départ. C'est le sujet de notre page licences et abonnements.
4. Les accès aux dossiers d'équipe, attribués par groupe et non nominativement. Un droit nominatif survit à son titulaire et personne ne le retrouve.
5. L'authentification : connexion unique et double authentification activées dès le premier jour, pas ajoutées plus tard. Voir IAM et SSO.
6. Le coffre-fort de mots de passe, avec les seuls secrets d'équipe utiles au rôle. Voir gestionnaire de mots de passe.
7. L'accès distant et le mobile quand le poste le prévoit : VPN d'entreprise et forfait mobile.

Une remarque de méthode : cette liste est courte parce qu'elle décrit un rôle standard. Les exceptions existent, elles doivent être validées par le manager et tracées comme telles. Une exception non tracée devient la norme au bout de trois arrivées.

Pourquoi un départ est-il plus risqué qu'une arrivée ?

Parce qu'un départ raté ne provoque aucune erreur visible. Une arrivée mal préparée se voit tout de suite : quelqu'un attend devant un poste qui ne s'ouvre pas. Un départ mal fermé ne produit rien du tout. Le compte reste actif, la licence continue d'être facturée, et personne ne s'en aperçoit avant l'audit ou l'incident.

Ce qui se prépare avant le dernier jour

Trois choses, et elles ne se rattrapent pas après la suppression du compte. La boîte mail, convertie en boîte partagée ou déléguée à un responsable. Les fichiers personnels, transférés vers un espace d'équipe. Le contenu du coffre-fort, repris par l'équipe pour les secrets partagés, et changé pour ceux que la personne connaissait.

Ce qui se fait le jour même

La révocation des accès, la récupération du poste et la libération des licences. Sur un parc correctement structuré, ces trois actions ne sont qu'une : désactiver le compte d'annuaire ferme les applications rattachées, parce qu'elles s'authentifient auprès de lui. C'est tout l'intérêt de la connexion unique, et c'est ce que CWAM annonce sur sa page d'accueil : accès révoqués et poste récupéré en moins de cinq minutes.

Ce qui reste à vérifier ensuite

Les accès qui ne passent pas par l'annuaire : un compte administrateur sur un équipement réseau, un accès direct chez un fournisseur, une clé d'interface applicative créée pour un projet. Ce sont eux qui survivent aux départs, et ils ne se trouvent qu'en tenant la liste à jour au fil de l'eau.

Ce que CWAM prend en charge, et ce qui reste chez vous

Nous exécutons et nous prouvons. Vous décidez qui a droit à quoi, et cette décision ne s'externalise pas. C'est la limite honnête du modèle : un prestataire ne peut pas savoir qu'un salarié change de service ni qu'un stagiaire ne doit pas voir la paie. La qualification appartient à l'entreprise, l'exécution nous revient.

Concrètement, sur ce périmètre, nous tenons :

• la traduction écrite de vos rôles en groupes, licences et droits, avec IAM et SSO comme socle d'authentification ;
• la préparation, le chiffrement et la livraison des postes, dans le cadre de l'infogérance ;
• le catalogue de licences et abonnements, avec la détection des sièges inutilisés et les alertes avant renouvellement ;
• le coffre-fort d'équipe, avec révocation au départ d'un collaborateur ;
• l'automatisation de ces séquences par agents IA supervisés, une fois les rôles stabilisés et pas avant ;
• le relevé des accès ouverts et fermés, utilisable en revue de conformité.

Sur le partage des responsabilités quand une personne de l'informatique existe déjà en interne, notre page infogérance partagée décrit qui garde quoi. Et si la question porte d'abord sur le modèle de facturation, elle est traitée sur prix de l'infogérance.