従業員の退職・異動時のITオフボーディング チェックリスト

オフボーディングとは、従業員が退職・異動・業務委託終了などで組織を離れる際に、貸与物の回収とアカウントの停止、データの引き継ぎを漏れなく行う一連の手続きのことである。中小企業で情報漏えいやアカウント悪用が起きる典型的な入口は、高度な攻撃ではなく「辞めた人のIDが生きたまま放置されていた」という単純な見落としである。ここでは専任のIT担当がいない会社でも回せるよう、退職前・当日・後1週間のタイムラインとチェックリストを、費用目安つきで整理する。

入社時の手続きは「使えるようにする」作業なので、動かなければすぐ気づく。一方で退職時の手続きは「使えなくする」作業であり、やり忘れても誰も困らない。この非対称性が、オフボーディングが後回しにされる最大の理由である。さらに中小企業では、退職の決定から最終出社日までの期間が短く、引き継ぎ資料の作成に追われてIT手続きが最後に残りやすい。

- 生きたままのアカウント: 退職後もメールやクラウドストレージにアクセスできる状態が続く
- 貸与機器の未回収: PC・スマホの中に顧客データや認証情報が残ったまま私物として扱われる
- 業務のブラックボックス化: 個人アカウントで契約していたSaaSやパスワードが誰にも引き継がれない
- SaaSライセンスの払い続け: アカウントだけ残り、月額課金が誰にも気づかれず続く

アカウント管理そのものの基本は会社のアカウント・パスワード管理と多要素認証で扱っているので、オフボーディングの前提としてあわせて確認しておきたい。クラウドサービス側のアクセス権に絞った基本は退職者のクラウドアカウント、消していますかで整理している。

回収漏れが起きやすいのは、日常的に目に触れないものである。まず「何を貸与しているか」を一覧化していないと、そもそも回収すべきものが把握できない。この一覧は普段のIT資産管理の台帳と連動させておくと、退職のたびに一から洗い出す手間がなくなる。

回収した機器は、初期化せずに再貸与すると前任者のデータが残ったまま次の担当者に渡ってしまう。回収→初期化→動作確認→保管（または再配布）の順を必ず守り、初期化の実施日を台帳に記録する。

退職が決まってから最終出社日までの間は、顧客リストや設計データなどの持ち出しリスクが最も高まる期間である。性善説だけに頼らず、最低限の仕組みで防止と記録を両立させたい。

- クラウドストレージの共有リンク一覧を確認する: 退職予定者が発行した外部共有リンクを洗い出し、業務に不要なものは無効化する
- 大量ダウンロード・大量印刷の履歴を確認する: クラウドサービスの管理画面やファイルサーバーのログで、退職決定後の異常な操作がないか確認する
- 私物USBメモリ・私物クラウドの利用を制限する: 会社支給端末での外部ストレージ接続や個人クラウドへのアップロードを、退職が決まった時点で一時的に制限する
- 退職合意書・秘密保持の再確認を書面で残す: 「何を持ち出してはいけないか」を口頭ではなく書面で確認し、双方の署名を残す

これらの操作ログを確認できる状態にしておくこと自体が、不正持ち出しに対する抑止力になる。監視を強めるというより、「見ている」ことが分かっている状態を作るのが目的である。過度な監視は従業員との信頼関係を損なうため、対象は退職予定者に限定し、必要以上に踏み込まない。

アカウントを即座に削除すると、進行中の取引先とのメールや、共有ドライブ上のファイルの所有権が一緒に失われることがある。削除ではなく、まず引き継ぎを済ませてから停止する順序を徹底したい。

メールアカウントは即削除ではなく一定期間の凍結が実務上扱いやすい。凍結期間中はログインを禁止しつつ、後任者が中身を確認できる状態にしておき、確認が済んだ時点で削除するとデータ紛失のリスクを避けられる。

オフボーディングは支出を削減できる数少ない機会でもある。個人にひもづくSaaSライセンスは、退職の翌月も自動更新され続けることが多い。契約中のサービスを一覧化していない会社では、この解約漏れが積み重なって年間数十万円規模の無駄になっているケースも珍しくない。

- 退職者が使っていたSaaSライセンスを一覧化し、解約・ダウングレード・他メンバーへの引き継ぎのいずれかを決める
- 年間契約のSaaSは、解約手続きの期限（更新の何日前までに申請が必要か）を事前に確認する
- 部署共有のツールでシート数課金の場合、席替えのタイミングでシート数を見直す
- 業務委託先に付与していたゲストアカウントも同時に棚卸の対象に含める

契約中のSaaSを普段から一覧化できていない場合は、SaaSサブスクの棚卸しの手順で一度整理しておくと、退職のたびに慌てて確認する必要がなくなる。

正社員の退職と同じ、あるいはそれ以上に見落とされやすいのが、業務委託先や派遣スタッフに付与したアクセス権である。契約期間が明確でも、システム側のアカウント停止は別のタスクとして管理しないと自動では止まらない。

- 契約終了日をIT担当のカレンダーにも登録し、人事・総務だけの管理にしない
- 制作会社・保守委託先に渡したサーバー・管理画面のIDは、契約終了と同時に停止するか、パスワードを変更する
- 派遣スタッフが個人端末で業務を行っていた場合は、共有ファイルや業務用チャットからの退出を確認する
- 契約更新の可能性がある相手には、停止ではなく一時的なアクセス制限（閲覧のみ等）を検討する

委託先アカウントは社内の従業員名簿に載らないため、棚卸の対象から漏れやすい。IT資産管理の台帳に「社外協力者」の区分を設けておくと、契約終了のたびに探し回らずに済む。

重要なのは、アカウントの完全削除を退職当日に急がないことである。当日はログイン禁止とパスワード変更で「使えない」状態にとどめ、引き継ぎ内容の確認が済んでから1週間ほどかけて段階的に削除・解約していく方が、データ紛失のリスクを避けられる。

アカウントが多いサービスに分散している会社では、退職者一人あたりの停止作業が10か所以上に及ぶこともある。IDaaS（複数サービスのログインを一元管理する仕組み）やMDM（モバイル端末管理）を導入すると、この作業を大幅に減らせる。

従業員数が少なく、使っているクラウドサービスも数種類程度であれば、ツールを入れずにチェックリストと台帳運用で十分に回せる。目安として、SaaSの契約数が10件を超える、または退職者一人あたりの停止作業に半日以上かかっている場合は、IDaaS導入の検討時期といえる。

- 貸与しているPC・スマホ・SIM・入館カード・鍵の一覧を作成しているか
- 退職予定が決まった時点で、社外共有リンクや異常操作ログを確認する体制があるか
- メール・クラウドストレージのデータを、削除前に後任者へ引き継いでいるか
- 承認フローや業務システムの担当者設定が退職者のままになっていないか確認したか
- 退職者が使っていたSaaSライセンスを解約・引き継ぎのいずれかに振り分けたか
- 業務委託先・派遣スタッフのアカウントも同じ手順で棚卸の対象にしているか
- 退職当日にログイン禁止・パスワード変更を実施したか
- 回収機器を初期化してから再貸与・保管しているか
- 退職後1週間以内に全アカウントの停止完了を台帳と突き合わせたか
- 次回以降のために、今回の抜け漏れを手順に反映したか

オフボーディングは、退職者を疑うための手続きではなく、「誰が辞めても同じ手順で確実に止められる」状態を作るための仕組みである。貸与物の回収、データの引き継ぎ、アカウントの段階的な停止、SaaSの解約という4つの流れを、退職前・当日・後1週間のタイムラインに沿ってチェックリスト化しておけば、専任のIT担当がいなくても運用できる。セキュリティ対策全体の優先順位は中小企業のIT リスク対策ガイドで整理しているので、あわせて確認しておきたい。