W większości MŚP onboarding nowego pracownika jest jakoś opisany — choćby na kartce, choćby w mailu do biura kadrowego. Offboarding nie jest opisany prawie nigdy. A to właśnie offboarding decyduje o tym, czy były pracownik zostawi po sobie czyste konta, czy długi cień w Twoich systemach.
Typowy schemat wygląda tak. Pracownik składa wypowiedzenie, dwa miesiące pracuje normalnie, w ostatni piątek zdaje laptopa, kierownik mówi „dzięki, powodzenia", a IT (zewnętrzny serwis, jeden informatyk na pół etatu lub szwagier z branży) dowiaduje się o całym fakcie po dwóch tygodniach, przy okazji innej sprawy. Konto pocztowe nadal działa, licencja Microsoft 365 nadal jest opłacana, VPN nadal odbiera połączenia, a w panelu jednego z dostawców nikt nawet nie wie, że trzeba kogoś usunąć — bo konto założył dział zakupów bezpośrednio, omijając IT.
To nie są dramaty rodem z newsów o cyberatakach. To codzienne, ciche wycieki, które kosztują firmę realne pieniądze i realne ryzyko.
Co naprawdę zostaje po pracowniku
Kiedy w 30–50-osobowej firmie ktoś odchodzi, zwykle dotyka kilkunastu systemów — często więcej, niż ktokolwiek pamięta. Z naszych audytów u klientów MŚP wynika, że typowy pracownik biurowy zostawia po sobie od 8 do 15 aktywnych dostępów. Najczęściej są to:
- Konto w domenie firmowej (Active Directory albo Microsoft 365 / Google Workspace), z mailem, kalendarzem, OneDrive lub Google Drive.
- Konto w ERP/CRM (Comarch Optima, Subiekt, enova365, Microsoft Dynamics AX, własne aplikacje) — i często z całą historią logowań i wystawionych dokumentów.
- Konta w systemach pomocniczych — kadrowy, magazynowy, fakturowy, e-commerce, panel kuriera, panel banku.
- Dostęp do współdzielonych dysków, folderów i kanałów Teams/Slack — często z plikami, które tylko ten pracownik tworzył.
- VPN, dostęp zdalny, klucze SSH dla pracowników technicznych.
- Konta na zewnętrznych portalach — panele dostawców, marketplace'y, panele banków, narzędzia SEO, narzędzia AI, subskrypcje, w których pracownik figuruje jako użytkownik główny.
- Mobilne aplikacje firmowe zainstalowane na prywatnym telefonie (Outlook, Teams, aplikacje branżowe).
- Karta dostępu do biura, klucze, breloki, token sprzętowy — z perspektywy IT to też dostęp.
Każdy z tych dostępów ma cykl życia. Jeśli go nie kończysz świadomie, kończy się sam — albo nie kończy się wcale.
Przykład z życia: 32-osobowy hurtownik B2B
U jednego z naszych klientów — 32-osobowej firmy hurtowej z branży akcesoriów technicznych — odszedł kierownik sprzedaży. Standardowa procedura: dwumiesięczne wypowiedzenie, przekazanie kontaktów, wymiana wizytówek, ostatni piątek, zwrot laptopa. Wszyscy myśleli, że temat zamknięty.
Pięć miesięcy później, przy okazji audytu bezpieczeństwa, sprawdziliśmy stan kont. Wynik:
- Aktywna licencja Microsoft 365 Business Standard (60 zł/mies. × 5 mies. = 300 zł czystej straty na licencji).
- Aktywne konto w Comarch Optima z pełnymi uprawnieniami do CRM-a i fakturowania (nikt nie patrzył, czy ktoś się loguje).
- Aktywny dostęp VPN do sieci firmowej z domu.
- Forwarding poczty ustawiony na prywatny adres Gmail — założony przez pracownika tydzień przed odejściem, w panelu użytkownika M365. Forwarding był aktywny przez 4 miesiące i przekazał ~1800 maili, w tym całą bieżącą korespondencję z kluczowymi klientami.
- Aktywne konta w 4 panelach dostawców, w tym dwa, o których IT w ogóle nie wiedziało, bo zostały założone bezpośrednio przez handlowca podczas codziennej pracy.
- Karta dostępu do biura wciąż otwierała drzwi do magazynu.
Strata bezpośrednia w licencjach była drobna — kilkaset złotych. Strata bezpośrednia w danych była potencjalnie poważna — kilkaset adresów klientów, historia rozmów handlowych, marże, warunki. Pracownik przeszedł do bezpośredniej konkurencji. Czy korespondencja została wykorzystana, czy nie — nie wiemy. Forwarding wyłączyliśmy. Ale tych maili nikt już nie odzyska z prywatnego archiwum.
Po tym incydencie wdrożyliśmy z firmą standardowy proces offboardingu — szczegóły poniżej. Przez kolejne dwa lata przy każdym z 7 odejść wszystkie konta były zamknięte w dniu rozstania lub następnego dnia roboczego. Zero forwardingu, zero wycieków, zero „zapomnianych" licencji.
Checklista offboardingu IT
Sensowna checklista offboardingu w MŚP nie musi być długa. Musi być pełna i wykonywana co do litery, niezależnie od tego, czy odchodzi handlowiec z kontaktami, czy magazynier. Oto wersja, którą wdrażamy u klientów:
Dzień ostatniego dnia pracy (lub dzień po):
- Wyłączenie konta w katalogu głównym (Microsoft 365 / Google Workspace / Active Directory) — nie usunięcie, tylko blokada logowania. Usunięcie po 30 dniach.
- Reset hasła i wymuszenie wylogowania ze wszystkich sesji (M365: „Sign out all sessions" w panelu admina).
- Sprawdzenie reguł przekierowania poczty — czy nie ma forwardingu na zewnętrzny adres, automatycznych reguł, zewnętrznych integracji.
- Przekierowanie skrzynki na przełożonego (auto-responder + forwarding wewnętrzny przez 60–90 dni) — tak, żeby klienci dostali odpowiedź.
- Odebranie urządzeń firmowych — laptop, telefon, token, karta dostępu, klucze. Spis w protokole zdawczym.
- Zdalne wyczyszczenie aplikacji firmowych z prywatnego telefonu (w M365 robi to Intune — w Google Workspace Mobile Management). Jeśli pracownik miał Outlooka na prywatnym iPhonie, dane firmowe znikają zdalnie, prywatne zostają.
- Wyłączenie VPN, dostępu zdalnego, kluczy SSH, kont w systemach branżowych.
- Karta dostępu do biura — dezaktywacja w kontrolerze, zwrot kluczy.
W ciągu 7 dni:
- Audyt kont w systemach „niefirmowych" — paneli dostawców, marketplace'ów, narzędzi SaaS. To najtrudniejszy punkt, bo IT często nawet nie wie, że te konta istnieją. Zapytaj przełożonego: „z jakich systemów zewnętrznych ten pracownik korzystał?".
- Reassign właściciela krytycznych dokumentów — pliki w OneDrive/Google Drive, kanały Teams/Slack, projekty w narzędziach typu Asana/Trello.
- Przegląd uprawnień w ERP/CRM — czy pracownik nie był jedynym właścicielem jakiegoś rekordu, listy klientów, raportu cyklicznego.
W ciągu 30 dni:
- Usunięcie konta lub konwersja na shared mailbox (M365 pozwala zwolnić licencję i zachować skrzynkę jako współdzieloną — 0 zł zamiast 60 zł/mies.).
- Sprawdzenie billingu SaaS — czy nie zostały aktywne licencje per-user w Slacku, Notionie, ChatGPT Team, Canvie, Adobe.
- Zamknięcie pętli — krótkie podsumowanie dla księgowości / kadr, że wszystkie dostępy zostały zamknięte.
Cała checklista to godzina–dwie pracy IT i kwadrans pracy przełożonego. Nie wymaga drogiego oprogramowania.
Dlaczego to się nie udaje w MŚP
W praktyce widzimy trzy powody, dla których offboarding w MŚP jest niedopilnowany:
- Brak komunikacji kadry–IT. Kadry wiedzą o odejściu pierwsze, ale „to nie ich rola" mówić IT. IT dowiaduje się po fakcie. Rozwiązanie: standardowy formularz/mail z kadr do IT na dzień złożenia wypowiedzenia, nie na ostatni dzień pracy. Wystarczy jedna reguła w systemie kadrowym albo jedna kratka w czeklisty kierownika.
- Brak rejestru kont „niefirmowych". W 30-osobowej firmie pracownicy zakładają konta w 40–80 narzędziach SaaS, o których IT nie wie. Rozwiązanie: prosty arkusz „rejestr narzędzi", aktualizowany raz na kwartał. Plus polityka: każde nowe SaaS w firmie zaczyna się od konta na adres
it@firma.pl, nie na adres pracownika. - Brak właściciela procesu. „To zrobi IT" w MŚP oznacza często „to nie zrobi nikt". Rozwiązanie: jedna osoba (kierownik biura, HR, ktoś z administracji) ma w obowiązkach pilnowanie listy. Nie wykonuje wszystkich kroków, ale dzwoni do IT i pyta „czy 12 punktów zostało odhaczonych?".
Jak zrobić, żeby to działo się automatycznie
W MŚP nie potrzeba systemu IAM za pół miliona. Wystarczą trzy rzeczy:
- Grupy w Active Directory / M365 zamiast indywidualnych uprawnień. Pracownik dziedziczy dostępy z grupy „handlowcy", „księgowość", „magazyn". Usuwasz go z grupy — traci wszystko. Bez polowania na 15 osobnych checkboxów.
- Single Sign-On (SSO) dla SaaS-ów, gdzie się da. Jeśli pracownik loguje się do Slacka, Notiona, Asany przez konto M365/Google, to wyłączenie konta głównego automatycznie odcina go od reszty. Microsoft 365 Business Premium wspiera SSO „w cenie" — większość MŚP go nie używa, choć płaci.
- Krótka, pisana procedura. Jedna kartka w teczce HR: „kogo informujemy, w jakiej kolejności, do kiedy". Procedura, która jest na kartce, jest 10 razy bardziej egzekwowana niż procedura, która jest „w głowie kierownika".
Od czego zacząć
Jeśli czytasz to z myślą „my chyba nie mamy żadnego z tych punktów", zrób to w tej kolejności:
- Spisz w czterech kolumnach: imię i nazwisko byłego pracownika z ostatnich 12 miesięcy, data odejścia, kto pilnował zamknięcia kont, status.
- Dla każdej osoby sprawdź dzisiaj w panelu M365/Google Workspace: czy konto jest wyłączone, czy są reguły przekierowania.
- Stwórz prostą jedno-stronicową checklistę offboardingu i powieś u kadr.
- Przy najbliższym odejściu — przeprowadź według checklisty, zmierz czas, popraw co nie działa.
- Po trzech offboardingach proces sam się ułoży.
Cisza po pracowniku, który odszedł rok temu, nie oznacza, że wszystko jest w porządku. Często oznacza, że jeszcze nikt nie sprawdził. A koszt sprawdzenia jest 100 razy niższy niż koszt incydentu, który wydarzy się za trzy miesiące — kiedy o tym koncie już nikt nie pamięta.
Jeśli chcesz ułożyć offboarding IT w swojej firmie, ale nie wiesz, od której strony, pomagamy MŚP rozkładać to na czynniki pierwsze regularnie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Konto, którego nikt nie zamknął, nie jest „nieaktywne". Jest aktywne — tylko po stronie kogoś, kto już Ci nie ufa.