Khi nhân viên nghỉ việc, công ty nhỏ cần thu hồi đủ ba thứ trong ngày làm việc cuối: quyền vào mọi tài khoản (kể cả tài khoản dùng chung mà họ biết mật khẩu), thiết bị và dữ liệu công ty trên thiết bị cá nhân, và vai trò quản trị trên các trang mạng xã hội hay công cụ trực tuyến. Muốn làm được trong một ngày, công ty phải biết từ trước người đó đang có quyền vào những đâu.
Phần lớn rủi ro không đến từ người nghỉ việc có ý xấu. Nó đến từ những quyền bị quên: một tài khoản quảng cáo vẫn gắn thẻ của công ty, một thư mục chia sẻ vẫn mở cho email cá nhân, một nhóm nhắn tin khách hàng vẫn có người cũ. Mấy tháng sau, tài khoản của người cũ bị chiếm, và kẻ gian bước vào công ty bạn qua đúng cánh cửa đó. Bài này đưa ra cách làm gọn cho văn phòng không có IT.
Rủi ro thật nằm ở những thứ không ai nhớ ra
Ở công ty lớn, phòng IT khoá tài khoản email và mạng nội bộ là xong phần lớn việc. Ở công ty nhỏ, quyền truy cập rải khắp nơi: hộp thư theo tên miền công ty, ổ lưu trữ trực tuyến, phần mềm bán hàng, trang quản trị website, tài khoản sàn thương mại điện tử, fanpage, nhóm nhắn tin với khách, tài khoản ngân hàng điện tử, ứng dụng chấm công, và giờ thêm các công cụ AI. Mỗi thứ do một người tạo vào một thời điểm, không ai giữ danh sách đầy đủ.
Thêm vào đó là những mật khẩu dùng chung. Một nhân viên bán hàng nghỉ việc vẫn nhớ mật khẩu tài khoản sàn mà cả nhóm dùng. Người đó có thể không bao giờ đăng nhập lại, nhưng nếu họ lưu mật khẩu trong một ghi chú trên điện thoại cá nhân, và điện thoại đó bị mất hoặc nhiễm mã độc, thì mật khẩu của công ty cũng đi theo.
Ví dụ giả định: một cửa hàng mỹ phẩm nhỏ có nhân viên phụ trách quảng cáo nghỉ việc. Không ai nhớ gỡ quyền của bạn ấy trên tài khoản quảng cáo. Nửa năm sau, tài khoản cá nhân của bạn ấy bị chiếm qua một tin nhắn giả mạo, kẻ gian dùng quyền còn sót để chạy quảng cáo bằng thẻ của cửa hàng. Người cũ không có lỗi gì; lỗ hổng nằm ở quy trình.
Lập sổ tài khoản theo người ngay từ ngày nhận việc
Việc thu hồi nhanh hay chậm phụ thuộc gần hoàn toàn vào việc ghi chép lúc cấp quyền. Một bảng tính đơn giản, mỗi nhân viên một dòng cho mỗi hệ thống, cập nhật mỗi lần cấp hay gỡ quyền, là đủ cho công ty dưới năm mươi người.
| Nhóm | Ví dụ | Ghi chú khi cấp quyền |
|---|---|---|
| Tài khoản riêng theo người | Email công ty, ổ lưu trữ, phần mềm kế toán, ứng dụng chấm công | Ghi ngày cấp, cấp ở mức nào, ai cấp |
| Vai trò trên tài khoản của công ty | Quản trị fanpage, quản lý quảng cáo, nhân viên trên sàn thương mại điện tử | Ghi vai trò cụ thể, ưu tiên mời bằng tài khoản công ty cấp |
| Mật khẩu dùng chung đã biết | Wi-Fi văn phòng, máy tính quầy, tài khoản giao hàng | Ghi người đó biết mật khẩu nào để đổi khi họ nghỉ |
| Thiết bị | Laptop, điện thoại công ty, khoá cửa, thẻ ra vào, khoá bảo mật | Ghi số máy, ngày giao, tình trạng |
| Công cụ AI và tiện ích | Tài khoản AI công ty cấp, tiện ích đã được duyệt cài | Ghi tài khoản, gói, quyền kết nối email hay ổ lưu trữ |
Nếu công ty chưa có sổ này, ngày một nhân viên báo nghỉ là dịp tốt để bắt đầu: ngồi với người đó liệt kê mọi thứ họ đang dùng, rồi dùng chính danh sách đó làm khung cho mọi nhân viên còn lại.
Trước ngày cuối: bàn giao mà không cần nghi ngờ ai
Khoảng thời gian từ lúc báo nghỉ đến ngày cuối là lúc bàn giao. Làm đúng, người nghỉ không cảm thấy bị nghi ngờ, còn công ty không mất dữ liệu.
- Cùng người nghỉ rà sổ tài khoản, bổ sung những gì còn thiếu. Hỏi thẳng: còn tài khoản, nhóm, công cụ nào bạn đang dùng cho việc công ty mà chưa có trong danh sách không.
- Chuyển quyền sở hữu tài liệu, thư mục chia sẻ, bảng tính do người đó tạo sang tài khoản của người kế nhiệm hoặc của quản lý.
- Chuyển các nhóm nhắn tin với khách hàng, nhà cung cấp: thêm người kế nhiệm làm trưởng nhóm, thông báo với khách về người phụ trách mới.
- Xác định dữ liệu công ty nằm trên thiết bị cá nhân của người đó, như ảnh chụp chứng từ, danh bạ khách, tệp tải về, và thống nhất cách xoá.
- Thống nhất ngày giờ khoá tài khoản để người đó chủ động lưu những thứ cá nhân như phiếu lương, thư từ cá nhân lẫn trong hộp thư công ty.
Cách làm minh bạch như vậy giữ được quan hệ tốt, và người nghỉ thường chủ động nhắc những quyền mà công ty quên. Nhiều người còn quay lại làm việc hoặc giới thiệu khách sau này.
Ngày cuối: thứ tự khoá và đổi
Thứ tự có ý nghĩa: khoá các thứ đụng đến tiền và dữ liệu khách trước, rồi mới tới những thứ ít nhạy cảm.
- Gỡ quyền trên ngân hàng điện tử, ví điện tử, cổng thanh toán và tài khoản quảng cáo có gắn thẻ.
- Khoá hoặc đổi mật khẩu email công ty, thiết lập trả lời tự động báo người phụ trách mới; giữ hộp thư một thời gian thay vì xoá ngay để không mất thư khách gửi tới.
- Gỡ vai trò trên fanpage, sàn thương mại điện tử, website, phần mềm bán hàng, phần mềm kế toán.
- Gỡ khỏi ổ lưu trữ chung, nhóm nhắn tin nội bộ, lịch chung.
- Đổi mọi mật khẩu dùng chung mà người đó biết, gồm cả Wi-Fi văn phòng nếu cần, và báo mật khẩu mới cho những người còn lại qua kênh an toàn.
- Thu thiết bị, khoá cửa, thẻ ra vào; với laptop công ty, đăng xuất mọi tài khoản cá nhân và lưu lại ổ đĩa trước khi cài lại máy cho người khác.
Ghi vào sổ tài khoản ngày giờ gỡ từng quyền và người làm. Bản ghi này hữu ích nếu sau này có chuyện cần chứng minh người cũ đã không còn quyền từ ngày nào.
Tài khoản AI, tiện ích và lịch sử trò chuyện của người nghỉ
Lịch sử trò chuyện là dữ liệu công ty. Nếu nhân viên dùng tài khoản AI do công ty cấp, lịch sử trò chuyện có thể chứa bản nháp hợp đồng, thư khách, số liệu kinh doanh. Khi gỡ người dùng khỏi gói của tổ chức, hãy kiểm hướng dẫn hiện hành của công cụ xem lịch sử được giữ, chuyển hay xoá, và quyết định theo quy định nội bộ.
Tài khoản AI cá nhân dùng cho việc công ty là vùng mù. Nếu trước đây công ty để nhân viên dùng tài khoản cá nhân, bạn không thể thu hồi gì. Điều làm được là đề nghị người nghỉ tự xoá các cuộc trò chuyện liên quan đến công việc, và rút kinh nghiệm để cấp tài khoản công ty cho người mới.
Kết nối mà AI đã được cấp. Một số công cụ AI được nối vào hộp thư, lịch, ổ lưu trữ của công ty để đọc và tóm tắt. Những kết nối này thường gắn với tài khoản của người đã tạo. Khi người đó nghỉ, hãy gỡ kết nối trong phần quản lý ứng dụng bên thứ ba của email và ổ lưu trữ.
Tiện ích trình duyệt trên máy công ty. Laptop thu về có thể còn tiện ích AI người cũ tự cài, vẫn đăng nhập tài khoản cá nhân của họ. Gỡ hết trước khi giao máy cho người khác, nếu không người mới sẽ vô tình đưa dữ liệu công ty vào tài khoản của người cũ.
Trường hợp nghỉ không vui vẻ
Khi việc chấm dứt hợp đồng có căng thẳng, thứ tự làm việc thay đổi: quyền truy cập nên được gỡ ngay trước hoặc cùng lúc với buổi thông báo, không phải sau đó. Đây không phải là đối xử tệ với người lao động mà là cách bảo vệ cả hai bên; nếu có sự cố trong những ngày đó, người cũ cũng không bị nghi oan.
Chuẩn bị trước danh sách quyền cần gỡ, phân công người làm và kiểm tra kết quả ngay sau buổi nói chuyện. Thu thiết bị trong buổi gặp, lập biên bản có chữ ký hai bên ghi rõ những gì đã nhận lại. Các vấn đề về hợp đồng lao động, bồi thường, thoả thuận bảo mật thì nên hỏi người có chuyên môn pháp lý, không xử lý bằng cảm tính.
Một điểm hay bị bỏ qua: người nghỉ trong tình huống căng thẳng có thể vẫn ở trong các nhóm nhắn tin với khách hàng. Hãy chuyển quyền trưởng nhóm và thông báo với khách về đầu mối mới ngay trong ngày, bằng giọng trung tính, không bình luận về người cũ.
Sau một tháng: kiểm lại
Một tháng sau ngày nghỉ, dành mười lăm phút kiểm lại. Thường sẽ có ít nhất một thứ bị sót.
- Mở danh sách thành viên của fanpage, tài khoản quảng cáo, sàn thương mại điện tử, xem còn tên người cũ không.
- Xem nhật ký đăng nhập của email công ty và ổ lưu trữ nếu công cụ có tính năng này, tìm đăng nhập bất thường.
- Kiểm các tệp và thư mục còn chia sẻ ra địa chỉ email cá nhân của người cũ.
- Hỏi người kế nhiệm có gặp tài khoản nào bị khoá, công việc nào bị kẹt vì quyền chưa chuyển không.
- Cập nhật sổ tài khoản, đánh dấu đã đóng hồ sơ truy cập của người nghỉ.
Đợt kiểm này cũng là lúc xem lại các khoản phí định kỳ đứng tên người cũ: gói lưu trữ, gói công cụ thiết kế, gói AI mà họ đăng ký bằng thẻ công ty rồi được hoàn tiền. Nhiều khoản như vậy vẫn tự gia hạn hằng tháng sau khi người dùng đã đi, vừa tốn tiền vừa giữ một tài khoản chứa dữ liệu công ty mà không ai trông.
Nếu đợt kiểm phát hiện thứ bị sót, đừng chỉ gỡ nó rồi thôi. Thêm dòng đó vào mẫu sổ tài khoản để lần sau có sẵn trong danh sách, quy trình sẽ tốt dần lên sau mỗi lần có người nghỉ.
Câu hỏi thường gặp
Nên khoá email của nhân viên nghỉ việc ngay hay giữ lại?
Nên đổi mật khẩu hoặc khoá quyền đăng nhập của người nghỉ ngay ngày cuối, nhưng giữ hộp thư thêm một thời gian và cài trả lời tự động báo người phụ trách mới. Như vậy công ty không mất thư khách gửi tới địa chỉ cũ.
Có cần đổi mật khẩu Wi-Fi văn phòng mỗi khi có người nghỉ không?
Nên đổi nếu mạng Wi-Fi đó cho vào được máy in, đầu ghi camera hay máy chủ chia sẻ tệp. Nếu đã tách mạng khách riêng và mạng nội bộ dùng mật khẩu ít người biết, có thể cân nhắc theo mức độ.
Nhân viên dùng điện thoại cá nhân cho việc công ty thì thu hồi dữ liệu thế nào?
Không thể thu điện thoại cá nhân, nên cần thống nhất trước: đăng xuất ứng dụng của công ty, xoá các tệp, ảnh chứng từ, danh bạ khách liên quan công việc. Về lâu dài, nên có quy định rõ những dữ liệu nào được phép lưu trên máy cá nhân.
Làm sao biết người nghỉ đang có quyền vào những tài khoản nào?
Cách chắc nhất là sổ tài khoản theo người được cập nhật từ ngày nhận việc. Nếu chưa có, hãy ngồi với người nghỉ liệt kê, rồi tự rà danh sách thành viên trên từng công cụ chính của công ty.
Lịch sử trò chuyện với AI của nhân viên có phải bàn giao không?
Nếu là tài khoản AI do công ty cấp, lịch sử đó có thể chứa dữ liệu công việc và nên được xử lý theo quy định nội bộ. Kiểm hướng dẫn hiện hành của công cụ về việc giữ hay xoá lịch sử khi gỡ người dùng.
Ai trong công ty nhỏ nên làm việc thu hồi quyền?
Thường là quản lý trực tiếp kết hợp với người giữ sổ tài khoản, có thể là hành chính hoặc chủ doanh nghiệp. Quan trọng là một người chịu trách nhiệm kiểm cuối cùng và ký vào sổ.