Onboarding și offboarding automatizat: cum dai acces în 2 ore și îl retragi în 2 minute

Ziua 1 fără cont de email, ziua 400 cu acces la tot

Două probleme care par opuse au, de fapt, aceeași cauză: nimeni nu deține procesul prin care un om capătă și pierde accesul la sistemele companiei. Un angajat nou așteaptă zile întregi după un cont de ERP. Un fost angajat rămâne în Slack și în CRM luni de zile după ultima zi.

Cifrele pe care le vedem constant la companii cu 50-250 de angajați:

• 8-14 sisteme în care un om nou are nevoie de cont: email, ERP, CRM, VPN, ticketing, tool de proiecte, storage cloud, portal de pontaj, acces fizic, plus 2-3 aplicații specifice departamentului
• 4-9 ore de muncă administrativă per angajat nou, împărțite între HR, IT și șeful direct — cereri pe email, aprobări, creat conturi, comandat laptop
• 2-5 zile lucrătoare până când omul are tot ce-i trebuie; până atunci "se uită peste umărul colegului" sau lucrează de pe un cont împrumutat
• La plecare, 20-40% din conturi rămân active la 30 de zile după ultima zi de lucru
• 15-25% din licențele plătite lunar aparțin unor oameni care nu mai sunt în firmă. La un stack tipic de 35-45 EUR/utilizator/lună și 120 de angajați, asta înseamnă 700-1.300 EUR/lună plătiți degeaba

Partea incomodă: nimeni nu face treaba prost. Procesul pur și simplu nu există ca proces — există ca un set de obiceiuri, un checklist în Excel și trei oameni care își amintesc lucruri diferite.

Ce înseamnă concret provisioning automat

Ideea de bază e simplă: o singură sursă de adevăr pentru „cine lucrează aici și în ce rol", de obicei sistemul de HR. Din acel sistem, patru evenimente declanșează automat tot restul:

1. Angajare — se creează identitatea în directorul central (Entra ID sau Google Workspace), se aplică grupurile corespunzătoare rolului, se propagă conturile în aplicațiile conectate, se deschid task-urile pentru laptop, telefon și acces fizic

2. Schimbare de rol sau departament — se adaugă accesele noi și, mai important, se retrag cele vechi; pasul pe care îl sare aproape toată lumea

3. Suspendare temporară (concediu medical lung, detașare) — conturile se dezactivează fără să se piardă date

4. Plecare — sesiuni și token-uri invalidate, conturi dezactivate, mailbox delegat șefului, fișierele din cloud transferate, licențele eliberate în pool

Legătura tehnică se face în două straturi: HR către directorul central (API sau conector dedicat), apoi directorul către aplicații prin SCIM acolo unde există, prin API acolo unde nu, și prin tichet pre-completat automat pentru sistemele vechi care nu au nici una, nici alta. Nu totul poate fi automatizat — dar totul poate fi declanșat, urmărit și dovedit.

De ce checklist-ul în Excel nu rezistă

Aproape fiecare companie are deja un checklist de onboarding. Motivele pentru care nu ține:

• Depinde de memoria unui om. Când persoana respectivă e în concediu, se sare peste pași.
• Nu tratează schimbările de rol. Un om care a trecut prin trei departamente în cinci ani are accesele tuturor celor trei. Se numește acumulare de privilegii și e cea mai frecventă observație la orice audit serios.
• Nu lasă urmă. La un audit ISO 27001 sau la o evaluare NIS2, „ne-am ocupat" nu e o dovadă. Un log cu cine a cerut, cine a aprobat și când s-a executat, da.
• Nu se reconciliază niciodată. Nimeni nu compară lista din HR cu lista de conturi active. Diferența, când o măsori prima dată, e de obicei mai mare decât se aștepta toată lumea.

Studiu de caz: firmă de servicii tehnice, 140 de angajați

O companie cu care am lucrat la NEXVA SYSTEM avea 11 sisteme cu conturi de utilizator și un rulaj de 60-70 de intrări și ieșiri pe an, inclusiv personal sezonier pe teren. Onboarding-ul dura în medie 3,5 zile până la acces complet, iar la ultimul audit intern s-au găsit 34 de conturi active ale unor oameni plecați, cel mai vechi de 14 luni.

Ce am construit:

• Sistemul de HR devine sursa unică de adevăr; orice angajare, schimbare de rol sau plecare generează un eveniment în orchestrator
• Matrice de acces pe rol: 9 roluri definite împreună cu șefii de departament, fiecare cu lista exactă de grupuri și aplicații. Orice acces în afara matricei trece prin aprobare explicită și expiră automat după 90 de zile
• Propagare automată în Entra ID și, prin SCIM sau API, în 6 din cele 11 aplicații; pentru celelalte 5 (două aplicații vechi, acces fizic, flotă auto, portal de furnizor) sistemul deschide tichete pre-completate, cu deadline și escaladare
• Job zilnic de reconciliere care compară HR, directorul central și fiecare aplicație, raportând orice cont care nu ar trebui să existe
• Dashboard pentru IT și HR: timp până la acces complet, pași blocați, conturi orfane, licențe libere în pool

Rezultate după 6 luni:

• Timp până la acces complet: de la 3,5 zile la sub 4 ore pentru rolurile standard
• Muncă administrativă per angajat nou: de la ~7 ore la sub 45 de minute, aproape toată în aprobări
• Conturi orfane la audit: de la 34 la 0, cu dezactivare în medie în 6 minute de la înregistrarea plecării în HR
• 9.400 EUR/an în licențe recuperate, doar din conturile eliberate corect și reutilizate din pool
• Auditul ISO 27001 a trecut fără observații pe controlul accesului — pentru prima dată

Ce rămâne la om, intenționat

Automatizarea nu înseamnă că dispar deciziile. Rămân la oameni, explicit:

• Aprobarea accesului privilegiat — administratori, acces la date financiare sau la datele personale ale clienților
• Excepțiile de la matrice — se aprobă nominal, cu motiv scris și termen de expirare
• Sistemele fără API — omul execută, dar tichetul vine pre-completat, cu toate datele și cu escaladare dacă stă
• Conversația de la ziua 1 — un sistem bun eliberează timpul șefului direct exact pentru asta

Costuri și ROI

Pentru o companie cu 50-250 de angajați și 8-12 sisteme:

| Componentă | Cost |

|-----------|------|

| Analiză proces + matrice de acces pe roluri | 2.000-4.000 EUR |

| Integrare HR + director central (Entra/Google) | 3.000-6.000 EUR |

| Conectori aplicații (SCIM/API), 5-10 sisteme | 4.000-9.000 EUR |

| Reconciliere zilnică, dashboard, rapoarte de audit | 2.500-4.500 EUR |

| Mentenanță lunară | 150-400 EUR/lună |

Calculul se închide din trei direcții, nu din una singură: licențele recuperate (5.000-12.000 EUR/an la 100-200 de angajați), orele administrative economisite (5-8 ore per angajat nou, la 50 de intrări/an înseamnă peste 250 de ore) și zilele de productivitate câștigate — un om care începe efectiv cu două zile mai devreme, la un cost încărcat de 120-180 EUR/zi, aduce singur 12.000-18.000 EUR/an la 50 de angajări. Riscul de securitate evitat nu intră în calcul, dar e cel care convinge de obicei board-ul.

Greșeli frecvente

• Se începe cu unealta, nu cu matricea. Fără o definiție clară a ce înseamnă „acces de agent de vânzări", orice tool devine doar un mod mai scump de a face haos.
• Big bang pe toate cele 12 sisteme. Primele două ar trebui să fie email și directorul central, apoi încă două pe lună. Un conector care merge bate cinci care merg pe jumătate.
• Ștergere în loc de dezactivare. La plecare, contul se dezactivează și se păstrează 30-90 de zile. Ștergerea imediată duce la pierdere de date și la ședințe neplăcute.
• Doar intrări și ieșiri. Schimbările de rol sunt jumătate din problema de acces și sunt aproape mereu ignorate.
• Fără reconciliere. Orice sistem de provisioning se desincronizează în timp. Jobul zilnic de comparație e ceea ce transformă automatizarea într-un control real.

Cum începi

1. Numără sincer: câte sisteme cu conturi ai, câte conturi active sunt și câți oameni figurează în HR. Diferența e punctul de plecare.

2. Scrie matricea de acces pentru primele 5-8 roluri, împreună cu șefii de departament.

3. Automatizează întâi offboarding-ul — e mai simplu, are impact imediat pe cost și pe risc, și nu blochează pe nimeni dacă mai trebuie ajustat.

4. Apoi onboarding-ul, pentru rolurile cu volum mare de angajări.

5. Adaugă reconcilierea zilnică și abia apoi extinde către restul aplicațiilor.

Accesul la sisteme e unul dintre puținele procese unde automatizarea plătește simultan în bani, în timp și în conformitate. Și e, de obicei, cel mai ușor de demonstrat: o singură listă de conturi orfane e suficientă ca discuția să se încheie.

Vrei să vezi câte conturi active ai fără om în spate și cât costă asta lunar? Programează o consultație gratuită.