Offboarding van een medewerker: de eerste 24 uur na een opzegging

Iemand zegt op. Er volgt een goed gesprek, een opzegtermijn van een maand, een afscheidsborrel en een teruggebrachte laptop. Netjes geregeld, zou je zeggen.

Drie maanden later blijkt zijn account nog te werken. Zijn mail wordt nog doorgestuurd. Hij zit nog in de gedeelde WhatsApp-groep, staat nog als beheerder bij de webhosting en heeft nog toegang tot de projectmap in de cloud. Niet omdat iemand kwaad wilde, maar omdat niemand het aanzette als klus.

De offboarding van een medewerker is een van de meest voorkomende gaten in de beveiliging van kleinere bedrijven. Niet spectaculair, geen hack, geen losgeldbrief. Gewoon deuren die open bleven staan omdat het proces eromheen niet was afgesproken.

Waar dit artikel over gaat

De lijst met dingen die je moet afvinken staat al in onze checklist voor digitale offboarding. En voor zzp’ers, interimmers en leveranciers schreven we apart hoe je toegang van externen intrekt.

Dit artikel gaat over iets anders: de timing en de overdracht. Want in de praktijk is het zelden de checklist die ontbreekt. Het gaat mis in de dagen tussen “ik ga weg” en “alles staat uit” — en in de vraag wie het startsein geeft.

Het echte probleem: HR weet het en IT niet

In een bedrijf van dertig mensen is er meestal geen offboardingproces. Er is een leidinggevende die het weet, een kantoormanager die het personeelsdossier bijwerkt, en iemand die de IT erbij doet. Dat die drie op hetzelfde moment hetzelfde weten, is toeval.

Het gevolg zie je terug in de tijdlijn. Een opzegging wordt vaak eerst een paar dagen “vertrouwelijk” gehouden. Daarna gaat de aandacht naar de vervanger en de overdracht van het werk. Het intrekken van toegang komt op de laatste dag ter sprake, als iedereen druk is met afscheid nemen. En het deel dat niet met één druk op de knop gaat — de losse tools, de abonnementen op naam, de beheerdersaccounts bij externe partijen — verdwijnt naar een lijstje dat niemand afmaakt.

De oplossing is geen dikker document. Het is één afspraak: zodra een vertrek definitief is, gaat er dezelfde dag een bericht naar degene die de IT beheert, met de laatste werkdag erin. Verder niets. Dat ene bericht voorkomt het grootste deel van de ellende.

De tijdlijn die wél werkt

Bij het bekend worden van het vertrek. Nog niets afsluiten — iemand moet zijn werk kunnen doen. Wel de inventarisatie maken: welke systemen, welke apparaten, welke abonnementen staan op deze naam, en waar is deze persoon ergens de enige beheerder? Dat laatste is het belangrijkst, want dat is het punt waarop je vast komt te zitten. Als de vertrekkende collega als enige bij het domein of het telefoniepakket kan, wil je dat weten met vier weken speling, niet op de laatste vrijdag.

De week voor vertrek. Overdracht van eigenaarschap. Wie wordt de nieuwe beheerder van die accounts? Welke bestanden staan alleen op zijn laptop of in zijn persoonlijke cloudmap? Loop dat samen door in plaats van erover te mailen; mensen weten zelf het beste waar hun spullen staan, maar denken er niet aan uit zichzelf.

Op de laatste werkdag. Aan het einde van de dag gaat het account uit. Niet verwijderen — uitzetten. Verwijderen kost je toegang tot de mailbox en de bestanden, en dat heb je later vaak nog nodig. Tegelijk: actieve sessies intrekken, want een uitgezet account betekent niet automatisch dat een al ingelogde telefoon direct stopt. En apparaten innemen, met de afspraak dat ze worden gewist voordat ze doorgaan naar iemand anders — zie apparatuur veilig afvoeren.

De week erna. De losse eindjes: gedeelde wachtwoorden wijzigen, abonnementen op naam overzetten, toegang bij externe partijen aanpassen. Zet hier een concrete datum op, anders gebeurt het niet.

Wat er met de mailbox moet gebeuren

De mailbox is het onderdeel waar de meeste bedrijven een half besluit nemen: doorsturen naar de leidinggevende, en dan blijft dat drie jaar aan staan.

Een nettere aanpak: zet een automatisch antwoord aan dat vermeldt dat de collega niet meer werkzaam is en bij wie men voortaan moet zijn. Stuur binnenkomende mail daarnaast voor een afgesproken periode — zes tot acht weken is meestal genoeg — door naar de opvolger. Zet daarna het doorsturen uit en bewaar de mailbox in een gearchiveerde vorm zolang je die bewaartermijn hebt afgesproken.

Let op één ding: bij Microsoft 365 kun je een mailbox omzetten naar een gedeelde mailbox, waarna je de licentie kunt vrijmaken. Zo bewaar je de inhoud zonder ervoor te blijven betalen. Dat scheelt direct in de kosten, en het is een van de plekken waar geld weglekt zoals beschreven in licenties opschonen.

Wees hier wel netjes in richting je klanten: een adres dat na vertrek nog maanden persoonlijk lijkt te antwoorden, is voor niemand prettig.

Terugkijken in de logboeken: mag dat?

Een veelgehoord advies is om na te gaan wat iemand in zijn laatste weken heeft gedownload. Dat kan zinnig zijn, maar het ligt in Nederland gevoeliger dan Amerikaanse adviezen suggereren. Wij zijn geen juristen, dus laat dit bij twijfel toetsen.

De hoofdlijn: het gericht controleren van het gedrag van een individuele medewerker is een vorm van monitoring en valt onder de AVG. Daar hoort een gerechtvaardigd belang bij, vooraf vastgelegd beleid, transparantie richting medewerkers en in veel gevallen instemming van de ondernemingsraad of personeelsvertegenwoordiging. Wat je niet moet doen, is achteraf uit nieuwsgierigheid gaan graven.

Wat wél verstandig en veel minder gevoelig is: zorg dat je in het algemeen ziet wanneer er ongebruikelijk grote hoeveelheden bestanden worden gedownload, ongeacht wie het doet. Dat is een technische maatregel die voor iedereen gelijk geldt en vooraf is uitgelegd. We schreven eerder over die afweging in de voor- en nadelen van medewerkers monitoren.

De rekening die stilletjes doorloopt

Een klein maar hardnekkig punt: abonnementen. Een ontwerpprogramma, een planningstool, een nieuwsbrieftool — ooit aangeschaft door iemand die er alleen mee werkte, betaald van zijn creditcard of op zijn e-mailadres.

Als die persoon weg is, blijft de afschrijving lopen. Soms jaren. Behalve zonde van het geld is het ook een beveiligingspunt: een actief account bij een dienst waar niemand meer naar kijkt, met gegevens erin die van jou zijn.

Maak daarom bij elk vertrek een rondje langs de bankafschriften van de afgelopen twaalf maanden. Het is saai en het levert bij vrijwel elk bedrijf iets op.

Een voorbeeld uit de praktijk

Een marketingbureau met 22 medewerkers nam afscheid van een accountmanager die na vier jaar naar een concurrent vertrok. Het account werd op de laatste dag uitgezet; dat ging goed.

Wat er niet gebeurde: hij was nog beheerder van drie klantaccounts bij een advertentieplatform, hij stond als contactpersoon bij de domeinregistratie, en zijn privételefoon had nog een actieve sessie in de gedeelde bestandsmap — die pas twee weken later stopte, omdat de sessies niet waren ingetrokken.

Toen een klant belde met een probleem bij een advertentiecampagne, bleek het bureau er zelf niet meer bij te kunnen. Het herstellen daarvan kostte drie weken correspondentie met het platform. Sindsdien staat er in de personeelsmap één A4: wat er bij een vertrek gebeurt, wie het start en wanneer. Bij de volgende twee vertrekken was het binnen een dag geregeld.

Zo pak je het aan

Spreek één startsein af. Wie meldt het vertrek aan degene die de IT beheert, en wanneer? Dit is de enige stap die je echt niet kunt overslaan.

Maak nu al de inventarisatie van waar elke medewerker toegang toe heeft, in plaats van bij een vertrek. Dat is dezelfde lijst die je bij het aannemen van een nieuwe medewerker gebruikt, maar dan andersom.

Werk met rollen en groepen in plaats van individuele toekenningen. Dan is uitzetten één handeling.

Ken je eenmansrisico’s. Bij welke systemen is er precies één beheerder? Zorg overal voor een tweede, ook als er niemand vertrekt.

Leg het vast in je IT-beleid, zodat het niet afhangt van wie er toevallig aan denkt.

Veelgestelde vragen

Wat is de grootste fout bij offboarding?

Wachten. Niet uit onwil, maar omdat een vertrek nooit het dringendste is wat er die week speelt. Elke dag dat toegang blijft bestaan zonder dat iemand die nodig heeft, is een dag risico — en na een week weet niemand meer precies wat er nog openstond.

Moet dit ook als iemand in goede sfeer vertrekt?

Ja, en dat is geen wantrouwen. Het grootste risico is niet dat een oud-collega kwaad doet, maar dat zijn achtergebleven account wordt overgenomen door iemand anders. Een account dat niemand meer gebruikt, valt niemand op als er ineens vanuit het buitenland op wordt ingelogd. Zie ook dreiging van binnenuit.

Moeten we het account meteen verwijderen?

Nee. Zet het uit, trek de sessies in en haal de licentie eraf, maar bewaar het account en de inhoud zolang je daar reden voor hebt. Verwijder je meteen, dan ben je mail en bestanden kwijt die je later nodig kunt hebben. Spreek wel af hoe lang je bewaart, want zomaar alles eeuwig aanhouden past niet bij de dataregels waar je aan gebonden bent.

Hoe voorkom je dat wachtwoorden van gedeelde accounts blijven rondslingeren?

Door ze niet te delen zoals de meeste bedrijven dat doen. Met een wachtwoordmanager voor teams geef je toegang in plaats van het wachtwoord zelf, en trek je die met één handeling weer in. Meer daarover in wachtwoorden veilig delen binnen je team.

Hoeveel ex-medewerkers houden na hun vertrek nog toegang?

Meer dan je zou denken. Uit verschillende onderzoeken komt steeds hetzelfde beeld: bij een flink deel van de organisaties heeft een aanzienlijk deel van de ex-medewerkers na vertrek nog toegang tot minstens één zakelijke applicatie. De precieze percentages verschillen per onderzoek, de richting niet. Het punt is niet dat die mensen kwaad willen, maar dat een account dat niemand meer volgt een van de makkelijkste routes naar datalekken is.

Weet je niet zeker of er nog accounts van oud-collega’s openstaan? Dat is snel te controleren, en het antwoord is bij de meeste bedrijven verrassend. Bel 030-7115791 of mail info@okayict.nl.