IT-onboarding- en offboardingchecklist voor kmo's
Ergens tussen vijftien en vijftig medewerkers houdt onboarding op iets te zijn dat één persoon onthoudt, en wordt het iets dat het bedrijf verkeerd doet. Een nieuwe collega wacht twee dagen op een laptop. Een vertrekker houdt een maand lang mailboxtoegang. Een gepromoveerde collega stapelt de rechten op van elke rol die hij ooit had.
Dat is geen toolprobleem. Het is een proces dat nooit werd opgeschreven.
Dag min vijf: voor ze aankomen
- Rol bepaald, en daarmee het standaard toegangspakket voor die rol.
- Toestel besteld, in beheer genomen vóór verzending, versleuteld via policy.
- Accounts aangemaakt maar nog niet geactiveerd, licenties toegewezen.
- Manager stuurt het plan voor dag één; IT bevestigt dat alles klaarstaat.
De grootste verbetering die de meeste kmo's kunnen maken is toegang bepalen op basis van rol, niet door de rechten van de buurman te kopiëren. Kopieer-een-collega is hoe rechtenwildgroei begint.
Dag één
- Aanmelden met een begeleide eerste start: MFA-registratie, wachtwoord instellen, toestelcontrole.
- Toegang tot exact de systemen die het rolpakket voorschrijft.
- Een korte uitleg over hoe je een securityprobleem meldt — een gesprek van vijf minuten dat zichzelf terugbetaalt.
Doorstroom: de stap die iedereen overslaat
Wanneer iemand van rol verandert, moet toegang vervangen worden, niet uitgebreid.
- Nieuw rolpakket toegepast.
- Oud rolpakket verwijderd, met de verwijdering geregistreerd.
- Manager bevestigt de wijziging.
Voer je maar één verbetering uit dit artikel door, maak het dan deze. Bij doorstroom zitten de auditbevindingen.
Uitstroom: uren, niet weken
- Aanmelden geblokkeerd en sessies ingetrokken op het afgesproken moment.
- Mailbox en bestanden gedelegeerd aan de manager, met een bewaarbeslissing.
- Licenties teruggevorderd; teruggave van het toestel opgevolgd.
- Ook accounts bij derden en SaaS buiten je hoofdtenant afgesloten.
- De hele reeks gelogd met tijdstempels.
Die laatste regel telt. Een offboarding die je niet kunt aantonen, is voor een auditor niet gebeurd.
Maak er een workflow van, geen geheugenoefening
De versie van deze checklist die een drukke week overleeft, is de geautomatiseerde: getriggerd vanuit HR, uitgevoerd op je identiteits- en deviceplatformen, met uitzonderingen die naar een mens gaan in plaats van een proces dat volledig van één mens afhangt.
Dat is wat we bedoelen met operationele automatisering — routinewerk verloopt elke keer hetzelfde, en je team ziet alleen de gevallen die oordeel vragen.