Onboarding et offboarding d'un employé sous M365 : la checklist complète

Pourquoi l'offboarding est plus critique que l'onboarding

L'onboarding mal fait, ça donne un employé qui démarre avec les mauvais accès. L'offboarding mal fait, ça laisse un ex-employé avec un accès actif à vos emails, vos fichiers et vos systèmes — parfois pendant des mois sans que personne ne s'en aperçoive. C'est le genre de situation qui ne pose pas de problème jusqu'au jour où ça en pose un gros.

Checklist onboarding

Identité et accès

• ☐ Créer le compte Microsoft 365 avec l'adresse email professionnelle
• ☐ Attribuer la licence appropriée (Basic, Standard ou Premium selon le rôle)
• ☐ Ajouter aux groupes de sécurité et groupes Microsoft 365 correspondant au département
• ☐ Configurer le MFA dès la première connexion — ne pas laisser la période de grâce s'éterniser
• ☐ Attribuer les accès SharePoint nécessaires (et uniquement ceux-là)

Poste de travail

• ☐ Enrôler le poste dans Intune (pour les politiques de conformité et BitLocker)
• ☐ Vérifier que OneDrive Known Folder Move est actif (Bureau et Documents synchronisés)
• ☐ Confirmer que l'agent Level.io est installé et visible dans la console

Communication

• ☐ Configurer la signature email
• ☐ Ajouter à Teams dans les équipes et canaux pertinents
• ☐ Partager l'accès au gestionnaire de mots de passe d'équipe (collections concernées)

Checklist offboarding

À faire dans les premières heures (idéalement avant que la personne parte)

• ☐ Bloquer la connexion au compte Microsoft 365 (ne pas supprimer — bloquer)
• ☐ Révoquer toutes les sessions actives (dans Entra ID : "Révoquer les sessions")
• ☐ Retirer de tous les groupes et équipes Teams
• ☐ Changer les mots de passe des comptes partagés auxquels la personne avait accès

Dans les 7 jours

• ☐ Configurer une réponse automatique et un transfert des emails entrants vers le manager
• ☐ Convertir la boîte mail en boîte partagée si nécessaire (accès conservé sans licence payante)
• ☐ Transférer la propriété des fichiers OneDrive critiques
• ☐ Vérifier et transférer les flux Power Automate dont la personne était propriétaire
• ☐ Retirer l'appareil d'Intune et effacer les données d'entreprise si c'était un poste personnel (BYOD)

Dans les 30 jours

• ☐ Supprimer le compte (après la fenêtre de 30 jours, la suppression est irréversible — assurez-vous d'avoir exporté ce dont vous avez besoin)
• ☐ Libérer la licence

Automatiser avec les groupes dynamiques Entra ID

Entra ID permet de créer des groupes dynamiques dont l'appartenance est calculée automatiquement selon des attributs (département, titre de poste). Si vous maintenez ces attributs à jour, l'employé est automatiquement ajouté aux bons groupes SharePoint et Teams à l'onboarding. À l'offboarding, bloquer le compte le retire automatiquement de tout.

C'est l'investissement de configuration initiale qui fait gagner du temps à chaque mouvement RH suivant.