Сотрудник уволился, а доступы остались: что закрыть в день ухода

Как это выглядит на практике

Менеджер по продажам ушёл к конкуренту. Директор забрал у него ноутбук и телефон, закрыл учётку в почте и решил, что вопрос закрыт. Через месяц выясняется, что в CRM его логин жив, клиентская база выгружается в Excel без ограничений, а группа в мессенджере, где обсуждают сделки, по-прежнему включает его личный номер. Плюс бизнес-страница в соцсети, где он администратор со своего личного профиля.

Дыру никто не оставлял намеренно. Увольнение оформляет кадровик, доступами занимается директор или знакомый программист, а список сервисов лежит в голове у того, кто их подключал. Про то, что бывает, когда такой доступ используют, я писал в статьях про слитую сотрудником базу клиентов и про права доступа в 1С. Здесь о том, как до этого не доводить.

Где доступы остаются чаще всего

Корпоративная почта и календарь. Их закрывают первыми, но забывают про пересылку писем на личный адрес, если её включили заранее.

CRM и таблицы с клиентами. Логин в системе, выгрузки, личные фильтры, ключи интеграций, которые сотрудник создал сам.

Облако и общие диски. Ссылки «доступно всем, у кого есть ссылка» продолжают работать после увольнения владельца.

Соцсети, каналы и рекламные кабинеты. Здесь самое слабое место: сотрудник часто входит в них с личного аккаунта, а не с рабочего. Убрать его из администраторов можно, но только если вы сами владелец страницы. Если страница создана им, разговор другой, и я разбирал его в статье про доступы, записанные на бывшего сотрудника.

Банк-клиент и платёжные сервисы. Права в интернет-банке и электронную подпись отзывают через банк. Это отдельная строка чек-листа, и откладывать её нельзя.

Общие пароли. Один логин на троих, пароль в общем чате или на бумажке у монитора. Уволился один из троих, а пароль знают все четверо, включая ушедшего.

Единый реестр: кто к чему имеет доступ

Это обычная таблица, но заполненная до конца. Строка на каждый сервис: что это, кто владелец, у кого есть доступ, какой уровень прав, где лежит пароль и когда последний раз проверяли.

Собрать её придётся один раз руками. Проходите по списку: почта, CRM, облако, соцсети, рекламные кабинеты, банк, хостинг, домен, мессенджеры, 1С, боты, камеры, кассовая система. Спросите каждого сотрудника, куда он заходит: часть списка всплывёт только так. Автоматически такой список собрать нельзя: система не увидит ни личный аккаунт в соцсети, ни доступ, выданный «на время» три года назад.

Пароли в таблицу не кладут. Для них нужен менеджер паролей, где у каждого свой вход и где можно отозвать доступ одним действием, не меняя пароль у всех остальных.

Чек-лист увольнения за один проход

На каждого уходящего открывается одна задача с тем же списком, что в реестре. Порядок примерно такой.

Сначала то, что закрывают в день увольнения: банк-клиент, CRM, почта, облако, мессенджеры. Потом то, что можно сделать в течение недели: передать сделки и задачи, сменить общие пароли, которые он знал, отключить пересылку и личные ключи интеграций. Отдельно фиксируется возврат техники и ключей.

Про сроки по закону. Трудовой кодекс требует выплатить все причитающиеся суммы в день увольнения, это статья 140 (текст на КонсультантПлюс). Логично привязать отзыв доступов к тому же дню, чтобы не оставлять человека с полным доступом после расчёта. Если увольнение конфликтное, доступы закрывают раньше, чем сотрудник узнал о решении. Само оформление увольнения остаётся за кадровиком или юристом.

Бот, который ведёт ответственного

Когда кадровик или директор отмечает в боте «увольняется такой-то, последний день такого-то числа», бот сам собирает чек-лист из реестра по должности этого человека. У менеджера по продажам одни строки, у бухгалтера другие. Ответственный получает в Telegram или MAX список с кнопками у каждой строки: «закрыто», «нужна помощь», «не применимо».

Если в назначенный день строки остались открытыми, бот напоминает ответственному и через сутки пишет владельцу бизнеса. По итогу сохраняется отчёт: что закрыто, кем и когда. Для проверки или аудита такой след полезнее устных заверений.

Там, где у сервиса есть публичный интерфейс, часть строк бот закрывает сам, например блокирует пользователя в CRM. Для остального он напоминает и фиксирует. Я делаю такие связки в рамках разработки ботов.

Что важно учесть

Бот не отзывает то, чего нет в реестре. Если сервис не записан, он не попадёт в чек-лист. Поэтому реестр обновляется при каждом новом подключении, и за него отвечает конкретный человек.

Общие пароли и личные аккаунты сотрудников на бизнес-каналах остаются самой слабой точкой. Никакая автоматика не отберёт у человека страницу в соцсети, если владелец на ней он сам. Лечится это только договорённостью заранее: рабочие каналы создаются на компанию, сотрудник получает в них роль.

С персональными данными есть и юридическая сторона. Статья 19 закона 152-ФЗ требует от оператора установить правила доступа к персональным данным и вести учёт действий с ними (закон на КонсультантПлюс). Реестр доступов и журнал отзыва в этом смысле закрывают часть работы. Сколько именно мер нужно вашей компании, определяет юрист.

Что можно сделать уже сейчас

Первое. За один вечер запишите в таблицу все сервисы, куда входят сотрудники. Начните с денег и клиентов: банк, CRM, почта.

Второе. Спросите у каждого, какие рабочие аккаунты у него личные, и переоформите их на компанию.

Третье. Перенесите общие пароли в менеджер паролей и сделайте отдельные входы. Общий пароль после ухода одного из троих придётся менять всем, отдельный вход отзывается один.

Четвёртое. Пройдите по реестру на живом примере: возьмите человека, который ушёл полгода назад, и проверьте, что у него отключено. Скорее всего, что-нибудь найдётся.

Частые вопросы

Можно ли собрать реестр автоматически?

Часть можно вытянуть из списков пользователей в CRM, почте и облаке. Личные аккаунты в соцсетях и доступы, выданные «на время», автоматика не увидит, их приходится спрашивать у людей.

Что делать, если сотрудник ушёл, а список доступов никто не вёл?

Собрать его сейчас по переписке, письмам с приглашениями и платёжным уведомлениям и пройти по нему для этого человека. Для следующих увольнений реестр уже будет.

Нужно ли менять пароли после каждого увольнения?

Там, где у каждого свой вход, достаточно отключить этого человека. Менять пароли приходится только там, где пароль был общим.

Коротко о главном

Доступы остаются у ушедшего сотрудника из-за того, что нет списка, куда он входил, и человека, который проходит по нему в день увольнения. Реестр, чек-лист и напоминание закрывают это без дорогих систем.

Хотите собрать такой реестр и получить бота, который ведёт увольнение по списку? Напишите мне в Telegram слово «УВОЛЕН». Разберём, какие сервисы у вас есть, и что из отзыва можно автоматизировать. Цены на разработку смотрите на странице цен.