Les deux symptômes visibles
Un service informatique se juge sur deux moments que tout le monde voit.
L'arrivant qui attend. Il se présente lundi, son poste n'est pas prêt, son compte n'existe pas. Il passe deux jours à regarder ses collègues travailler, et c'est la première impression qu'il gardera de l'entreprise.
Le partant qui reste. Six mois après son départ, son compte est actif, sa boîte reçoit des messages, sa licence est payée. Le jour d'un audit ou d'un incident, cela se voit.
Ces deux symptômes ont la même cause, et elle n'est pas technique.
La cause : personne ne prévient
Dans la quasi-totalité des cas, le service informatique apprend l'arrivée le jour même, par la personne elle-même ou par son responsable qui s'étonne.
Ce n'est pas de la négligence. Le recrutement est un processus long, mené ailleurs, avec ses propres urgences, et l'informatique n'y figure nulle part. Personne n'a décidé de ne pas prévenir : la case n'existe pas.
La conséquence est mécanique : tant que l'information dépend de la bonne volonté de quelqu'un, elle arrivera trop tard une fois sur trois.
Ce que ça coûte, chiffré
Le calcul convainc mieux qu'un discours, et il est simple.
Une arrivée ratée : deux jours d'une personne payée qui ne produit pas, plus le temps de l'équipe informatique en mode urgence, plus l'effet sur l'intégration. Comptez une journée de salaire chargé et deux heures de technicien, et la somme surprend.
Un compte de partant laissé actif : une licence payée pour rien, chaque mois, et un accès qui existe. Sur un an, une dizaine de licences oubliées représentent un budget visible.
Le second chiffre est celui qui obtient l'attention de la direction, parce qu'il se lit sur une facture.
Le vrai risque, moins visible
Un compte actif après un départ n'est pas seulement un gaspillage.
C'est un accès dont le mot de passe a peut-être été réutilisé ailleurs, qui n'apparaît dans aucune revue parce que personne ne le surveille, et dont l'usage frauduleux ne se remarque pas, puisque cette personne ne se plaindra jamais d'une activité anormale sur son compte.
C'est exactement le profil de compte recherché par un attaquant : légitime, oublié, non surveillé.
Trois signes qui disent que le processus n'existe pas
Faites le test dans votre organisation, il prend cinq minutes.
Y a-t-il une liste écrite de ce qu'il faut faire pour une arrivée ? Si chacun a la sienne, il n'y a pas de processus.
Le service informatique est-il prévenu par le même canal que pour le reste ? Si l'information arrive par message direct, elle se perdra un jour.
Compare-t-on la liste des comptes actifs à celle du personnel ? Si personne ne l'a fait dans l'année, l'écart existe et personne ne le connaît.
Ce que ce cours propose
Un circuit unique et déclenché, et non trois listes personnelles. Une préparation qui commence avant le premier jour. Un traitement de la mobilité distinct de l'arrivée et du départ. Et un ordre des opérations au départ, où chaque position a une raison.
Le tout sans dépendre d'un outil particulier : les gestes sont décrits par leur intention.
À retenir
L'arrivant qui attend et le partant qui reste ont la même cause : l'information ne circule pas, parce que la case n'existe pas dans le processus de recrutement. Le coût s'écrit en journées perdues et en licences payées. Le risque réel est le compte légitime, oublié et non surveillé. Trois questions suffisent à savoir si le processus existe chez vous.