Ils sont partis en mars.
Vous payez encore pour eux.
Le fournisseur d’identité a désactivé le compte dès le premier jour. La licence Figma, la licence Notion, l’autorisation OAuth avec accès en lecture au drive de l’entreprise et l’utilisateur nommé SAP sont tous encore actifs.
CerteroX SaaS Management ferme chacun d’eux et en conserve la preuve.
Checklist d’offboarding
À titre indicatifCollaborateur sortant · 118 jours depuis le dernier jour travaillé
État de révocation par licence, par connecteur
- Compte Entra ID désactivé par le processus arrivées-mobilités-départs
- fermé · jour 1
- Microsoft 365 E5 récupéré dans le pool
- fermé · jour 1
- Figma aucune action de connecteur jamais demandée
- toujours attribuée
- Notion déprovisionnement en file d’attente
- en cours
- Autorisation OAuth · lecture du drive accordée il y a 2 ans, inactive depuis 118 jours
- active · risque 78
Dépenses gaspillées, cet utilisateur
toujours facturé chaque mois
Les collaborateurs sortants continuent de coûter de l’argent après leur départ.
Désactiver le compte principal n’est que la première d’une longue série d’étapes. La licence de l’outil de design, le suivi de projets, l’application tierce ayant accès au drive de l’entreprise et l’utilisateur ERP restent souvent actifs pendant des mois, payés et exposés aux abus. CerteroX les traite un par un et enregistre chaque étape.
- Coût
Cessez de payer pour vos anciens collaborateurs.
Les licences utilisateur et les autres licences sont libérées dans le cadre du départ, et tout ce qui reste ouvert s’affiche avec son coût mensuel.
- Risque
Fermez les portes derrière eux.
Les accès accordés à des applications externes sont révoqués dans le même processus : les identifiants d’un ancien collaborateur ne peuvent pas devenir la porte d’entrée de quelqu’un d’autre.
- Effort
Répondez à l’auditeur sans fouiller partout.
Pour tout collaborateur sortant, vous pouvez montrer ce qui a été retiré et quand, sans collecter de captures d’écran dans vingt consoles d’administration différentes.
Le problème
Désactiver le compte est la première étape sur une vingtaine.
Personne ne le conteste. Le problème, c’est que les étapes deux à vingt se trouvent dans vingt consoles d’administration différentes, et qu’aucun système ne sait que la liste est incomplète.
46%
des licences SaaS restent inutilisées ; l’organisation moyenne en utilise 54 %
Les personnes parties sont la part la plus facile à récupérer, car personne ne va s’y opposer.
- 01 connexion bloquée, licence active
La licence utilisateur survit au compte.
Bloquer la connexion coupe l’accès. Cela ne libère pas la licence utilisateur, et la plupart des éditeurs continuent de facturer une licence attribuée, que quelqu’un puisse y accéder ou non. L’économie exige une action chez l’éditeur, via le connecteur qui détient la liste d’utilisateurs de cet éditeur.
Synchronisation par connecteur récupérant auprès de l’éditeur les listes de référence des utilisateurs et des licences SaaS Management
- 02 l’autorisation survit au compte
Une application tierce a toujours un accès en lecture, et son consentement provient d’une boîte mail qui n’existe plus.
Une autorisation OAuth survit à la session qui l’a créée. L’inactivité est précisément ce qui fait que personne ne la remarque, et précisément ce qui justifie de la réexaminer.
Notation du risque des autorisations OAuth selon la sensibilité, la portée, le consentement et l’inactivité SaaS Management
- 03 chaque éditeur est différent
L’un de vos éditeurs n’a aucune API de suspension.
HubSpot ne permet pas la suspension : il faut soit retirer les rôles, soit supprimer. Box doit transférer la propriété des fichiers avant la désactivation, sinon les fichiers partent avec l’utilisateur. ServiceNow exige que le compte soit verrouillé et que tous les rôles et appartenances à des groupes soient retirés. Un appel générique « désactiver l’utilisateur » ne fait rien de tout cela.
Provisionnement et déprovisionnement sur Entra, Okta, Google, M365 et d’autres SaaS Management
- 04 personne ne peut prouver que c’est terminé
Un ticket clôturé est la seule preuve dont on dispose.
Demandez quelles licences ce collaborateur sortant détenait à son dernier jour et ce qu’il est advenu de chacune. Si la réponse est un ticket clôturé, l’écart est ouvert et vous ne pouvez pas en mesurer l’ampleur.
Checklist d’offboarding par utilisateur avec état de révocation par licence SaaS Management
- Un processus d’offboarding que vous ne pouvez pas auditer revient à continuer de payer pour vos anciens collaborateurs et à laisser la porte ouverte à quiconque détient leurs identifiants.
Trois des cinq disciplines.
Chacune fonctionne de façon autonome et partage un modèle d’actifs unique : les volets qui couvrent plusieurs produits ne demandent aucun travail d’intégration.
- Principal CerteroX SaaS Management Révocation licence par licence, déprovisionnement propre à chaque éditeur et le moteur de workflow qui pilote le tout. En savoir plus
- S’applique aussi CerteroX ITAM L’appareil, l’inscription mobile et les objets d’annuaire liés à la personne. En savoir plus
- S’applique aussi CerteroX SAM Utilisateurs nommés et droits d’utilisation par appareil réintégrés dans la position de licences. En savoir plus
Vous consultez le détail technique complet. Désactivez-le pour afficher la version courte.
Masquer le détail techniqueDe la fiche du collaborateur sortant à une liste vide.
Une boucle fermée garde elle-même la trace de ce qu’elle n’a pas encore terminé.
-
Déclencher depuis la source de référence
Le statut de collaborateur sortant provient du fournisseur d’identité, le jour où le compte est désactivé.
- Synchronisation des fournisseurs d’identité Entra ID et Okta, y compris l’enrôlement MFA SaaS Management
- Moteur de workflow : 8 déclencheurs, 11 conditions, 13 actions sur un seul canevas SaaS Management
- Import depuis Active Directory des utilisateurs, groupes, ordinateurs, sites et sous-réseaux ITAM
-
Recenser tout ce qu’ils détenaient
Ce que les éditeurs déclarent détenir, relu connecteur par connecteur.
- Synchronisation par connecteur récupérant auprès de l’éditeur les listes de référence des utilisateurs et des licences SaaS Management
- Découverte des autorisations OAuth accordées aux applications tierces SaaS Management
- Checklist d’offboarding par utilisateur avec état de révocation par licence SaaS Management
- Gestion des appareils mobiles iOS et Android, y compris Apple DEP ITAM
-
Révoquer comme chaque éditeur l’exige
Treize actions de workflow, et des connecteurs qui font la différence entre suspendre, retirer et supprimer.
- Provisionnement et déprovisionnement sur Entra, Okta, Google, M365 et d’autres SaaS Management
- Actions : récupérer, réattribuer, rétrograder l’offre, archiver, relancer, ignorer SaaS Management
- Révocation des autorisations en un clic, également disponible comme action de workflow SaaS Management
- Assistant de déprovisionnement en masse pour un offboarding par sélection multiple SaaS Management
-
Prouver la fermeture, chiffrer ce qui reste ouvert
Une tâche ouverte assortie d’un coût mensuel finit par être traitée. Une tâche ouverte sur une checklist, non.
- Indicateur des dépenses gaspillées pour les licences encore détenues par des collaborateurs partis SaaS Management
- Journal d’audit couvrant chaque étape de provisionnement et de déprovisionnement SaaS Management
- Modèle de rôles à six niveaux, dont un rôle Auditor dédié SaaS Management
- Économies réalisées, coûts évités réalisés et ROI par trimestre fiscal SaaS Management
Demandez à voir n’importe lequel de ces points en action dans le produit, sur l’écran concerné.
À quoi ressemble une bonne pratique.
Une seule question suffit pour mesurer la maturité de votre offboarding : combien vous coûte-t-il en ce moment ?
- 01
Vous pouvez répondre à la question pour tout collaborateur sortant.
Chaque licence détenue, l’état du connecteur derrière chacune, et si la révocation est en attente, en cours ou terminée. Sur un seul écran, pour toute personne partie.
- 02
Les tâches ouvertes ont un prix.
L’indicateur de dépenses gaspillées associe un coût mensuel estimé aux licences encore détenues par des personnes parties. Un chiffre circule plus vite dans un service desk qu’une relance.
- 03
Le déprovisionnement respecte les contraintes de chaque éditeur.
Mode souple en l’absence d’API de suspension, transfert de la propriété des fichiers avant désactivation lorsque les fichiers seraient sinon perdus, retrait des rôles et des groupes lorsqu’un compte ne peut pas simplement être supprimé.
- 04
Les autorisations sont révoquées dans le workflow de départ.
Révocation en un clic des applications tierces autorisées, et la même révocation disponible comme action automatisée dans le workflow de départ.
- 05
Un auditeur peut le vérifier sans vous.
Un rôle Auditor dédié dans un modèle à six niveaux, avec un journal d’audit couvrant chaque étape de provisionnement et de déprovisionnement. Des preuves que vous n’avez pas à rassembler.
Questions fréquentes
Vous voulez poser une autre question ?
Nous contacterNotre fournisseur d’identité déprovisionne déjà au départ. Cela ne suffit-il pas ?
C’est suffisant pour l’accès, pas pour les coûts, et cela ne concerne que les applications derrière le SSO. Tout ce qui a été acheté hors du système d’identité, soit l’essentiel du shadow IT, conserve sa licence utilisateur et sa facture. La synchronisation des connecteurs lit la liste d’utilisateurs de référence chez l’éditeur, le seul endroit qui sait que la licence est toujours attribuée.
Comment gère-t-il les applications sans API de déprovisionnement ?
Le connecteur le gère explicitement. Lorsqu’un éditeur ne permet pas la suspension, le connecteur propose un mode souple qui retire les rôles et un mode strict qui supprime, et la checklist indique lequel a été exécuté. Lorsqu’un éditeur exige une séquence, par exemple transférer la propriété des fichiers avant de désactiver, le connecteur exécute cette séquence.
Peut-il fonctionner sans intervention humaine ?
Oui, et pour l’essentiel de la liste, c’est souhaitable. Le moteur de workflow propose 8 déclencheurs, 11 conditions et 13 actions sur un même canevas : les révocations à faible risque s’exécutent automatiquement, et tout ce qui touche à la propriété des données ou à une boîte mail partagée passe d’abord par une personne.
Et l’ordinateur portable, le téléphone et les licences qu’ils portent ?
Même plateforme. La fiche de l’appareil, l’inscription mobile, y compris Apple DEP, et les logiciels installés reposent tous sur le même modèle d’actifs : le départ d’un collaborateur réintègre les droits d’utilisation attribués à l’appareil dans la position de licences le jour même.
Nous avons des milliers d’anciens départs. Par où commencer ?
Avec l’assistant de déprovisionnement en masse et un tri par dépenses gaspillées. L’assistant à sélection multiple traite l’arriéré par lots, en commençant par les coûts les plus élevés, puis les économies réalisées sont suivies par trimestre fiscal, pour que le nettoyage soit chiffré.
Ouvrez la fiche d’un collaborateur parti l’an dernier.
Voyez ce qu’il détient encore.
La checklist d’offboarding parcourue de bout en bout : chaque licence encore attribuée après la désactivation du compte, la révocation en attente ou terminée, et un coût mensuel sur chaque ligne. Indiquez-nous les éditeurs auxquels vos collaborateurs sortants restent rattachés, et nous construisons la session autour d’eux.
Il suffit d’une session, sans rien à connecter, avec un interlocuteur technique à qui poser toutes vos questions.