De situatie
Bij deze organisatie werd elke nieuwe medewerker met de hand aangemaakt. HR stuurde een mailtje, de beheerder maakte een account, gokte op basis van de functietitel welke groepen erbij hoorden en wees een licentie toe. Meestal ging dat goed. Soms miste er een groep en belde de nieuwe collega op zijn eerste ochtend omdat hij nergens in kon.
Het echte probleem zat aan de andere kant. Bij vertrek werd het account meestal wel geblokkeerd, maar daar bleef het bij. Groepslidmaatschappen bleven staan, licenties liepen door, gedeelde mappen bleven toegankelijk voor accounts die niemand meer gebruikte. En soms bleef een account gewoon actief, omdat de melding via een omweg was gegaan en in een mailbox was blijven hangen.
Dat is het soort risico dat niemand voelt totdat er iets gebeurt. Een actief account van iemand die er niet meer werkt, is een openstaande deur.
De vraag
De vraag zoals hij binnenkwam luidde: kun je dit automatiseren. Mijn eerste antwoord was: nog niet. Je kunt een proces dat niet is vastgelegd niet automatiseren, je kunt alleen de bestaande willekeur sneller maken.
Wat er in werkelijkheid nodig was, bestond uit twee delen. Eerst helderheid over wie wat wanneer meldt en wie waarvoor tekent. Pas daarna techniek.
Mijn aanpak
1. Het proces eerst tekenen, met HR en management aan tafel
Ik ben begonnen met een sessie waarin we het proces samen op een groot vel hebben uitgetekend. Wie meldt een nieuwe medewerker aan, wie bepaalt welke rechten daarbij horen, wie meldt een vertrek, en wat als dat vertrek per direct is.
Uit die sessie kwam de kern naar boven: bij indiensttreding was iedereen betrokken, want dan wacht er iemand. Bij uitdiensttreding was niemand eigenaar. We spraken af dat HR ook het vertrek meldt, via hetzelfde kanaal, bevestigd door de leidinggevende.
2. Rollen in plaats van losse rechten
Daarna hebben we per functiegroep vastgelegd welke toegang daarbij hoort. Dat is minder eenvoudig dan het klinkt: er waren mensen met rechten die zij ooit om goede redenen kregen en die nooit meer waren ingetrokken. Voor de resterende uitzonderingen hebben we een eigenaar aangewezen.
3. Techniek eronder zetten
Voor het feitelijke werk gebruik ik Graph PowerShell: account aanmaken, in de juiste groepen zetten, licentie toewijzen, en bij vertrek de omgekeerde beweging. Die stappen zijn kleine, los uitvoerbare onderdelen, zodat je ze kunt herhalen als er iets misgaat.
De orkestratie loopt via n8n. Een melding komt binnen, de gegevens worden gecontroleerd, en dan komt er eerst een goedkeuringsstap: de verantwoordelijke ziet in gewone taal wat er staat te gebeuren en geeft akkoord. Pas daarna wordt er iets gewijzigd. Elke stap wordt gelogd, inclusief wie akkoord gaf en wat het resultaat was.
4. Een dry-run-fase
Voordat er ook maar één account echt werd aangeraakt, heeft de hele keten een periode meegelopen zonder wijzigingen door te voeren. De automatisering liet zien wat zij zou doen, en dat hebben we vergeleken met wat de beheerder met de hand deed.
Die fase was waardevoller dan verwacht. De verschillen die eruit kwamen hadden niets met techniek te maken, maar met rolaannames die we te snel hadden vastgelegd.
5. Offboarding met een checklist die verder gaat dan het account
Voor vertrek heb ik een checklist opgesteld waarin ook de dingen staan die geen knop hebben: hardware, sleutels of pasjes, doorverwijzing van mail, eigenaarschap van bestanden en documenten, en toegang tot systemen van derden die buiten de centrale omgeving vallen. Het geautomatiseerde deel vinkt zichzelf af, de rest blijft mensenwerk maar staat wel op één lijst.
Wat er na afronding staat
Er ligt een vastgelegd proces dat HR, management en beheer alle drie herkennen als het hunne. Aanmeldingen en vertrekmeldingen lopen via hetzelfde kanaal en worden bevestigd door iemand met mandaat.
De routinehandelingen rond accounts, groepen en licenties gebeuren geautomatiseerd, maar altijd na een expliciete goedkeuring en met een logregel per stap, zodat achteraf te volgen is wat er is gebeurd en op wiens gezag. Vertrek wordt daarmee net zo serieus behandeld als binnenkomst, en de beheerder hoeft niet meer uit het hoofd te reconstrueren welke rechten iemand ooit heeft gekregen.
Wat ik hiervan meeneem
Automatiseren is de laatste stap, niet de eerste. Het uittekenen met HR en management leverde meer op dan de code. Zonder die sessie had ik een rommelig proces alleen maar sneller gemaakt.
Bouw een goedkeuringsstap in, ook als het langzamer voelt. Bij accounts en rechten wil je dat er een mens ja zegt. Die halve minuut vertraging is de prijs van een keten die je durft te vertrouwen.
De dry-run is geen formaliteit. Juist de verschillen tussen wat de automatisering wilde doen en wat de beheerder deed, legden de verkeerde aannames bloot.
Uitdiensttreding heeft een eigenaar nodig. Bij binnenkomst wacht er iemand die aan de bel trekt. Bij vertrek wacht er niemand, en precies daar ontstaat het risico.