Un salarié part, un nouveau arrive. En TPE/PME, cette transition est souvent gérée dans l'urgence côté RH, et le volet informatique est traité à la dernière minute, voire oublié. Résultat : le nouvel arrivant perd 2 à 3 jours à cause d'un compte pas prêt, et surtout le compte du partant reste actif pendant des semaines — c'est l'un des trous de sécurité les plus courants en entreprise.
Voici la checklist complète qu'on utilise chez nos clients, découpée en deux temps : avant le départ et avant l'arrivée.
Partie 1 — Quand un salarié s'en va
Idéalement à préparer 1 semaine avant la date de départ effective, à exécuter le dernier jour ouvré (ou juste après, selon les cas).
A. Récupération des matériels et accès physiques
- Récupérer le PC portable, le chargeur, les éventuels écrans et accessoires
- Récupérer le téléphone professionnel si fourni
- Récupérer les badges d'accès aux locaux, parking, salle serveur
- Récupérer les clés physiques (bureau, armoire sécurisée, boîte aux lettres)
- Récupérer les disques externes, clés USB, tokens d'authentification
- Faire un état des lieux signé du matériel récupéré (évite les contestations)
B. Désactivation des comptes informatiques
Cette étape est critique et doit être faite le dernier jour, pas une semaine après "quand on y pensera".
- Désactiver le compte Microsoft 365 / Google Workspace (sans le supprimer tout de suite — voir plus bas)
- Désactiver les comptes des logiciels métier : CRM, compta, outil RH, outils de projet
- Désactiver les accès VPN et à distance (bureau à distance, TeamViewer, AnyDesk)
- Fermer la session active sur tous les appareils (via l'admin Microsoft 365 : "Déconnecter toutes les sessions")
- Désactiver l'authentification à 2 facteurs rattachée à son téléphone personnel
- Récupérer la liste des comptes partagés auxquels il avait accès, et changer les mots de passe correspondants (banque en ligne, réseaux sociaux de l'entreprise, abonnements fournisseurs…)
C. Gestion de la boîte email
C'est souvent oublié et pourtant essentiel pour la continuité du business.
- Configurer un auto-reply sur son adresse ("[Nom] a quitté l'entreprise. Pour toute question, merci de contacter [email du remplaçant ou responsable].")
- Rediriger les emails entrants vers le responsable (via règle de transfert ou boîte partagée)
- Transférer les emails importants dans une archive accessible au manager
- Garder la boîte 30 à 90 jours avant suppression définitive (délai légal utile en cas de litige, et pratique pour récupérer un historique client)
D. Documents et données personnelles
- Récupérer les documents professionnels sur son PC et son OneDrive (vérifier qu'il n'y a rien d'important stocké en local)
- Transférer les fichiers OneDrive vers son responsable (manip spécifique dans l'admin Microsoft 365)
- Supprimer les données personnelles du PC (il a peut-être stocké des photos de famille, mots de passe perso…) avant toute réaffectation
- Noter ce qui doit être réaffecté : licences logicielles, abonnements, lignes mobiles
E. Mise à jour des annuaires et contacts externes
- Supprimer l'adresse email du site web, des cartes de visite dématérialisées, de la signature des autres salariés qui mentionneraient son nom
- Mettre à jour la fiche d'équipe (Google Business Profile, LinkedIn Company Page, intranet)
- Prévenir les contacts clés externes (fournisseurs, clients principaux) de qui le remplace
Partie 2 — Quand un nouveau salarié arrive
Idéalement à préparer 1 semaine avant son premier jour, pour qu'il puisse être opérationnel dès le lundi matin.
A. Préparation matérielle
- Choisir et commander le PC adapté à son poste (en PME, on garde en général 2-3 modèles standards pour simplifier)
- Installer Windows à jour et les mises à jour système
- Installer les logiciels standards : navigateur, suite bureautique, antivirus pro
- Installer les logiciels métier spécifiques à son poste
- Chiffrer le disque (BitLocker) et enregistrer la clé de récupération dans le coffre-fort de mots de passe
- Préparer le téléphone pro si prévu (ligne attribuée, carte SIM, OS à jour)
- Préparer badges et clés physiques
B. Création des comptes
- Créer le compte Microsoft 365 / Google Workspace avec la bonne licence
- Créer un mot de passe fort temporaire à faire changer au premier login
- Activer l'authentification à 2 facteurs d'office
- Attribuer les licences logiciels métier selon le poste
- Ajouter aux bons groupes de distribution et aux boîtes partagées (comptabilité, direction, support…)
- Créer son dossier personnel sur l'espace de fichiers partagé
- Donner accès aux dossiers métier nécessaires (et seulement ceux-là — règle du moindre privilège)
C. Documentation à préparer
- Guide de connexion (email, mot de passe temporaire, URL des services)
- Numéros utiles : support IT, standard, direction
- Charte informatique à faire signer (usage pro/perso, bonnes pratiques sécurité, interdiction d'installer des logiciels non autorisés…)
- Signature email standardisée à mettre en place
D. Formation express sécurité (15-30 min)
À faire le premier jour, avant de le laisser consulter ses emails sans supervision :
- Reconnaître les tentatives de phishing (voir notre article dédié)
- Comprendre pourquoi la double authentification est obligatoire
- Savoir à qui signaler un email ou un incident suspect
- Règles sur l'usage personnel du matériel et des réseaux sociaux
- Règles de mot de passe et usage du gestionnaire de mots de passe de l'entreprise
E. Suivi semaine 1 et semaine 2
- Jour 2-3 : vérifier que tout fonctionne et qu'il a bien accès à ce qu'il lui faut
- Semaine 1 : point de 15 min pour lister les derniers accès/outils manquants
- Semaine 2 : vérifier qu'il a bien activé le 2FA, bien changé son mot de passe
Pourquoi cette checklist est si importante
Les deux risques principaux :
- Un compte actif après le départ = porte d'entrée directe pour un ex-salarié mécontent, ou pour un attaquant si ses identifiants ont été compromis. Les attaques "insider" sont les plus dévastatrices parce qu'elles contournent les protections externes.
- Un nouveau mal équipé = frustration, perte de productivité, et surtout contournement des règles ("je n'ai pas accès au bon dossier, donc j'utilise ma Dropbox perso") qui créent des failles permanentes.
On vous aide ?
Chez Depass Info, cette checklist est automatisée dans le forfait d'infogérance : vous nous signalez le départ ou l'arrivée (idéalement 1 semaine à l'avance), et on prend en charge toute la partie IT, en respectant un process documenté qui ne laisse rien passer. Vous vous concentrez sur l'intégration humaine, on s'occupe des accès.
Si vous voulez voir à quoi ressemblerait ce dispositif dans votre entreprise, l'audit gratuit est le bon point de départ.
