Votre nouvel employé commence lundi. Son ordinateur sera-t-il prêt avant lui?

Lundi matin, 8 h 58. La nouvelle coordonnatrice est assise à son bureau, prête à commencer. Son gestionnaire aussi. L'ordinateur, lui, est encore dans sa boîte.

À 9 h 20, on cherche l'adaptateur pour l'écran. À 10 h, son compte Microsoft 365 n'existe toujours pas. Avant le dîner, elle a reçu trois mots de passe temporaires par courriel, mais aucun accès au dossier de son équipe. Le CRM demande une licence que personne n'avait prévue. Elle finit sa première journée en observant un collègue travailler.

Personne n'a mal fait son travail. Les RH ont confirmé l'embauche, le gestionnaire a préparé la formation et les TI ont réagi dès qu'on les a avisées — vendredi après-midi.

Le problème n'est pas l'ordinateur. C'est l'absence d'un processus qui relie l'embauche, les responsabilités du poste et les accès numériques.

La première journée commence avant la première journée

Une intégration informatique réussie devrait se déclencher dès que l'embauche est confirmée, pas lorsque la personne se présente à la réception.

Les TI n'ont pas besoin du dossier complet de l'employé. Elles ont besoin de renseignements précis :

• le nom à afficher et l'adresse professionnelle désirée;
• la date, l'heure et le lieu d'entrée en fonction;
• le poste, le service et le gestionnaire;
• le type d'ordinateur et les accessoires requis;
• le travail au bureau, à distance ou en mode hybride;
• les applications nécessaires;
• les groupes, dossiers et équipes auxquels la personne doit accéder;
• les besoins particuliers, comme un logiciel spécialisé ou un téléphone.

Une demande standardisée évite les échanges improvisés du genre « donne-lui les mêmes accès que Julie ». Elle fournit aussi une date réelle à partir de laquelle les achats, les licences et la configuration peuvent être planifiés.

Le gestionnaire demeure essentiel dans cette étape. Les TI savent comment attribuer un accès; le gestionnaire sait pourquoi il est nécessaire.

« Les mêmes accès que Julie » n'est pas une description de poste

Copier les permissions d'un collègue semble efficace. C'est aussi une façon rapide de reproduire des années d'exceptions.

Julie a peut-être changé de responsabilités, reçu un accès temporaire qui n'a jamais été retiré ou accumulé des permissions liées à d'anciens projets. En copiant son profil, on transmet à la nouvelle personne des accès dont elle n'a pas besoin — sans même savoir lesquels.

À l'inverse, créer un compte minimal et attendre que l'employé réclame chaque accès transforme sa première semaine en série de billets de soutien.

La meilleure approche consiste à définir des profils par fonction. Une personne aux ventes reçoit un ensemble de base : Microsoft 365, CRM, dossiers commerciaux, groupe de distribution et outils de communication. La comptabilité possède un autre profil. Les accès particuliers sont ajoutés séparément, avec l'approbation du responsable approprié.

Le Centre canadien pour la cybersécurité recommande le principe du moindre privilège : une personne reçoit les fonctions minimales nécessaires pour accomplir son travail. Bien appliqué, ce principe ne ralentit pas l'employé. Il évite plutôt de choisir entre trop d'accès le premier jour et pas assez pendant trois semaines.

C'est aussi la meilleure prévention contre un problème qu'on découvre bien plus tard. Une organisation où chaque embauche hérite des permissions de la précédente finit par avoir une personne qui a tout accumulé — et qui devient, sans que personne l'ait décidé, le point de défaillance unique de l'entreprise .

L'ordinateur devrait connaître l'employé avant son arrivée

Préparer un portable ne devrait pas vouloir dire passer manuellement la veille à cliquer sur « Suivant ».

Un poste d'entreprise doit normalement arriver avec :

• les mises à jour et les paramètres de sécurité;
• le chiffrement du disque;
• les outils de protection et de surveillance;
• les applications approuvées;
• les profils Wi-Fi et d'accès à distance;
• les politiques de l'organisation;
• l'inscription dans l'inventaire du parc informatique.

Windows Autopilot et Microsoft Intune permettent de préconfigurer cette expérience. Selon l'environnement, l'ordinateur peut être expédié directement à l'employé. Lorsqu'il l'allume et se connecte avec son identité professionnelle, l'appareil rejoint l'organisation, applique ses règles et installe les applications prévues.

Attention : « Autopilot » désigne maintenant deux choses différentes

Depuis 2024, Microsoft offre deux solutions distinctes, et le choix a des conséquences concrètes.

Windows Autopilot classique, souvent appelé v1, est la solution historique. Elle couvre le plus de scénarios : jonction hybride, préprovisionnement, appareils autodéployés, Windows 10, réinitialisation.

Windows Autopilot device preparation, parfois appelé v2, est une réarchitecture. L'expérience est semblable pour les administrateurs et les usagers, mais l'architecture sous-jacente est différente. Ce n'est pas un successeur : les deux peuvent coexister dans une organisation, mais un appareil donné n'exécute qu'une des deux — et un profil Autopilot classique a préséance sur une politique de device preparation.

La différence qui compte pour une PME : device preparation n'exige pas de collecter ni de téléverser l'empreinte matérielle des appareils. C'est le point de friction numéro un quand on achète ses portables chez un revendeur qui ne les enregistre pas dans votre tenant. En contrepartie, cette méthode ne supporte que les déploiements joints à Microsoft Entra, et exige Windows 11 version 24H2 ou plus récente.

L'avis des praticiens reste partagé à ce sujet. Plusieurs recommandent de conserver Autopilot classique lorsqu'il fonctionne déjà bien, et de configurer device preparation comme filet de sécurité — pour les cas où obtenir l'empreinte matérielle est hors de votre contrôle. C'est un choix à faire consciemment, pas une case à cocher.

Rien de tout ça n'est automatique par magie : il faut d'abord standardiser les modèles d'appareils, les profils et les logiciels. Mais une fois cette fondation en place, l'entreprise ne reconstruit plus chaque poste comme un projet unique.

Et si l'automatisation complète n'est pas justifiée pour une petite équipe, une image standard, une checklist et un délai minimal de préparation apportent déjà une énorme amélioration.

L'identité numérique vient avant les applications

Le compte de l'employé est le point de départ. Il relie la messagerie, Teams, les fichiers, les groupes, les licences et, de plus en plus, les autres applications de l'entreprise.

Avant l'arrivée, il faut notamment préparer :

• le compte Microsoft 365 et l'adresse courriel;
• les groupes de sécurité et de distribution;
• les équipes et les espaces SharePoint pertinents;
• la téléphonie et le numéro de poste, s'il y a lieu;
• la licence appropriée;
• la méthode d'authentification initiale;
• l'inscription d'une clé d'accès (passkey).

Ce point vient de changer, et l'échéance est proche

Jusqu'à récemment, faire enregistrer le téléphone d'un nouvel employé pour recevoir des codes par message texte était une pratique normale. Ce n'en est plus une.

Le 1er septembre 2026, les utilisateurs activés pour le SMS ou l'appel vocal dans Microsoft Entra sont automatiquement activés pour les clés d'accès et invités à en enregistrer une lors d'une prochaine connexion. Le 1er février 2027, le SMS et l'appel vocal cessent complètement de fonctionner comme méthodes d'authentification.

Concrètement : une intégration qui, cet automne, configure le SMS comme deuxième facteur provisionne une méthode qui mourra dans quelques mois. Chaque embauche faite ainsi crée une migration à refaire plus tard.

La destination de l'inscription doit donc être une clé d'accès, pas une méthode au choix.

Le mot de passe initial ne devrait jamais circuler dans la même chaîne de courriels que le nom d'utilisateur et les autres renseignements d'accueil. Le passe d'accès temporaire de Microsoft Entra règle élégamment le problème : il permet à la personne d'effectuer sa première connexion et d'enregistrer sa clé d'accès sans qu'un mot de passe permanent ait jamais circulé. C'est le bon mécanisme d'amorçage — à condition de viser la bonne destination.

Cette étape mérite quelques minutes d'accompagnement. Une personne qui comprend dès le départ comment se connecter, signaler une demande suspecte et récupérer son compte aura moins tendance à contourner les règles lorsqu'elle sera pressée.

Microsoft 365 n'est qu'une partie de la liste

Un employé peut ouvrir Outlook parfaitement et demeurer incapable de travailler.

Il faut aussi penser au CRM, au logiciel comptable, à la paie, à la gestion de projets, aux feuilles de temps, au portail d'un fournisseur, à la signature électronique, au système de billets et aux applications propres au métier.

Pour chaque rôle, une petite matrice peut indiquer :

• l'application requise;
• le niveau d'accès normal;
• la licence nécessaire;
• la personne qui approuve;
• le délai de création;
• la méthode de connexion;
• le propriétaire du service.

Cette matrice empêche qu'une application soit découverte pendant la formation. Elle facilite aussi les changements de poste et prépare le jour où il faudra retirer les accès. L'article sur les clés qu'on oublie de récupérer lors d'un départ couvre l'autre moitié du cycle : un bon processus doit savoir ouvrir les bonnes portes, puis les refermer au bon moment.

Automatiser le processus, pas la décision

L'intégration contient beaucoup de tâches prévisibles : créer un compte, attribuer une licence, ajouter certains groupes, aviser le gestionnaire et préparer une liste de vérification. Une partie peut être automatisée.

Microsoft Entra propose des workflows de cycle de vie couvrant trois moments : l'arrivée, le changement de rôle et le départ. Un scénario peut se déclencher avant la date d'embauche, préparer l'identité et aviser le gestionnaire.

Mais le calcul de licences mérite d'être fait avant de s'enthousiasmer. Ces workflows exigent une licence Microsoft Entra ID Governance ou Microsoft Entra Suite. Et le point décisif : la licence doit être attribuée à tous les utilisateurs gérés par les workflows — donc aux employés qu'on intègre et qu'on retire, pas seulement aux administrateurs TI. Le prix courant tourne autour de 7 $ US par utilisateur par mois. Les organisations déjà en Entra ID P1 ou P2 peuvent acheter une licence Step-Up plutôt que la licence complète.

Pour une entreprise de 30 employés, automatiser l'intégration signifie donc licencier 30 personnes, pas deux administrateurs. Ce n'est pas nécessairement déraisonnable — mais ce n'est pas non plus la petite dépense que le mot « automatisation » laisse imaginer.

Pour plusieurs PME, le meilleur point de départ demeure donc un formulaire unique relié à une procédure claire. Lorsqu'une embauche est confirmée, il peut automatiquement :

1. créer une demande pour les TI;
2. envoyer au gestionnaire la liste des accès à approuver;
3. réserver une licence et un appareil;
4. attribuer les tâches aux responsables;
5. envoyer un rappel avant la date d'entrée;
6. conserver une trace de ce qui a été demandé et livré.

C'est exactement le type de travail répétitif dont nous parlions dans l'article sur les 1 000 copier-coller que votre équipe fait chaque semaine . L'automatisation transporte l'information et surveille les échéances. Elle ne devrait pas décider seule qu'un nouvel employé peut consulter les finances ou tous les dossiers clients.

La trousse d'accueil qui tient sur une page

Le nouvel employé n'a pas besoin d'un manuel technique de 40 pages. Il a besoin de réponses rapides aux premières questions :

• Comment joindre le soutien informatique?
• Où enregistrer les documents de l'entreprise?
• Comment utiliser sa clé d'accès?
• Que faire devant un courriel suspect?
• Puis-je travailler depuis mon appareil personnel?
• Comment accéder aux outils à distance?
• Qui approuve une nouvelle application ou un accès supplémentaire?

Une page claire, adaptée à l'environnement réel, sera plus utile qu'une politique générique jamais relue. Le gestionnaire peut ensuite intégrer ces consignes à l'accueil humain : présenter l'équipe, expliquer les responsabilités et montrer où se trouve l'information.

Les TI préparent le poste de travail. Elles ne remplacent pas l'intégration du gestionnaire.

Le test de 15 minutes avant l'arrivée

La veille, une personne autre que celle qui a configuré le poste devrait vérifier :

1. L'ordinateur démarre et reconnaît le bon utilisateur.
2. La connexion initiale et l'authentification forte fonctionnent.
3. Les applications essentielles sont installées et licenciées.
4. Les groupes, fichiers et équipes attendus sont accessibles.
5. La caméra, le casque, les écrans et la téléphonie fonctionnent.
6. L'imprimante ou l'accès à distance est disponible si le rôle l'exige.
7. Les coordonnées du soutien sont visibles.

Il ne faut pas ouvrir la session personnelle de l'employé à sa place. Le test confirme la préparation de l'appareil et des attributions, puis la personne effectue elle-même sa première connexion de façon sécuritaire.

Le résultat recherché est simple : à 9 h, l'employé peut commencer son accueil et sa formation — pas devenir le premier billet de soutien de la journée.

Revoir les accès après 30 jours

Même un excellent profil de poste repose sur des hypothèses. Après quelques semaines, le gestionnaire sait quels outils sont réellement nécessaires.

Une courte révision permet de retirer une licence inutilisée, corriger un accès trop large, ajouter une ressource oubliée et documenter une exception légitime.

Cette étape a d'ailleurs pris de la valeur cette année. Les prix de Microsoft 365 ont augmenté de 12 à 25 % selon les plans depuis le 1er juillet 2026, et l'augmentation s'applique au renouvellement du contrat annuel. Une licence attribuée et jamais utilisée coûte maintenant sensiblement plus cher qu'il y a six mois. La révision à 30 jours n'est plus seulement une bonne pratique de sécurité : c'est une ligne de votre budget.

Cette étape devient encore plus importante lorsqu'une personne change de service : les nouveaux droits ne devraient pas simplement s'ajouter aux anciens indéfiniment.

L'intégration informatique n'est donc pas une tâche fermée dès que le portable est remis. C'est le début d'un cycle de gestion des identités, des appareils et des accès.

Le mot de la fin

La première journée envoie un message. Un ordinateur prêt, des accès cohérents et un soutien facile à joindre disent au nouvel employé : « Nous savions que vous arriviez et nous sommes prêts à travailler avec vous. »

À l'inverse, une journée passée à attendre des mots de passe révèle une entreprise où les informations circulent trop tard et où chaque embauche devient une urgence.

Il n'est pas nécessaire d'avoir une grande équipe TI pour faire mieux. Un déclencheur clair entre les RH, le gestionnaire et les TI, des profils par rôle, une checklist et un test avant l'arrivée règlent déjà l'essentiel. L'automatisation vient ensuite accélérer un processus qui fonctionne.

La vraie mesure de succès n'est pas que l'ordinateur ait été livré. C'est que la personne puisse accomplir son travail, de façon productive et sécuritaire, dès sa première journée.

Un projet TI ou une question?

MMO Techno peut structurer votre processus d'intégration, standardiser les appareils et automatiser la préparation des identités et des accès — afin que chaque nouvel employé commence avec les bons outils, au bon moment.

Parlez à un expert MMO Techno .