„Alte Mitarbeiter" im Review behandeln — die Aufräumrunde

Beim ersten Review findest du 8 Accounts von Leuten, die schon seit Jahren weg sind. Das ist kein Problem — das ist Fortschritt. Wie du damit umgehst, ohne dass es eine Schuldzuweisung wird.

Der erste echte Access-Review legt unweigerlich alte Fehler offen: Ex-Mitarbeiter mit noch aktiven Accounts. Behandle das als Frühjahrsputz, nicht als Vorwurf.

Befunde kategorisieren

• Wirklich inaktiv: kein Login > 180 Tage, Person nicht mehr in HR. Sofort deaktivieren + 30-Tage-Regel anwenden.
• Kürzlich ausgeschieden: < 90 Tage weg, Offboarding teilweise durchgeführt. Lücken schließen.
• Unklar: Person steht noch in HR, hat sich aber lange nicht eingeloggt. Mit dem Vorgesetzten klären.

Prozess gleichzeitig verbessern

Jeder Ex-Account, den du findest, ist ein Signal, dass dein Offboarding-Prozess etwas übersehen hat. Nutze die Befunde zur Prozessverbesserung — nicht um den früheren Verantwortlichen an den Pranger zu stellen.

Für das Audit dokumentieren

„Bei diesem Review haben wir 12 verwaiste Accounts gefunden und offgeboardet" ist eine gute Aussage für den Auditor — sie zeigt, dass dein Review-Prozess funktioniert. Das wird dir nicht negativ angerechnet, solange du nachweist, wie du eine Wiederholung verhinderst.

Siehe auch: verwaiste Accounts aufspüren, Review-Pillar.