Cuando alguien se va de una empresa grande, hay un área que en una mañana le cierra todo. En una pyme, lo normal es que el día de la salida alguien cambie la clave del correo y dé el tema por cerrado. Seis meses después aparece que la exempleada seguía entrando al Drive, que la página de Facebook del negocio está a su nombre o que el token del banco quedó configurado en su celular.
Casi nunca es mala fe. Es que nadie sabía que ese acceso existía.
El orden correcto: antes, el día y después
Antes: la lista que nadie tiene
La herramienta más efectiva para esto no es tecnológica: es una hoja por persona donde se anota cada acceso en el momento en que se entrega. Correo, carpetas, programa contable, banca empresarial, portal de la DIAN, redes sociales, proveedor de hosting, alarma, llaves. Una línea por acceso, con la fecha.
Si ya hay gente trabajando sin esa listaNo intentes reconstruirla de memoria. Siéntate con cada persona quince minutos y pídele que te muestre a qué entra en un día normal de trabajo, abriendo las aplicaciones. Vas a descubrir accesos que tú mismo habías olvidado que diste.
El día de la salida, en orden
| Acceso | Qué hacer | Error común |
|---|---|---|
| Correo corporativo | Suspender el acceso y redirigir los mensajes a quien asume sus funciones | Borrar la cuenta y perder años de correos con clientes |
| Archivos en la nube | Transferir la propiedad de sus documentos a otra cuenta de la empresa | Borrar la cuenta y que los archivos se borren con ella |
| Banca y portales tributarios | Retirar su usuario y revisar tokens o firmas en su celular | Cambiar la clave pero dejar el token activo en su teléfono |
| Claves compartidas | Cambiar todas las que esa persona conocía | Cambiar solo la del correo |
| Equipos de la empresa | Recibirlos el mismo día y revisar qué datos tienen | Dejar que «lo traiga la otra semana» |
| Accesos físicos | Llaves, tarjetas y código de la alarma | Recuperar la llave y no cambiar el código |
El momento ideal para suspender no es el último día: es el momento en que se comunica la salida, sobre todo si no es en buenos términos. En salidas cordiales puedes darte el lujo de un empalme; en las tensas, el empalme se hace sin acceso a los sistemas.
El riesgo de verdad: lo que está a su nombre
Esto no se arregla cambiando una claveSi la página del negocio en redes, el dominio de la web, la cuenta de publicidad, el perfil del negocio en Google o el WhatsApp Business se crearon con el correo o el celular personal de un empleado, no son de la empresa: son de esa persona. Cambiar la clave no sirve, porque ella puede recuperarla con su correo o su teléfono. Y recuperar esas cuentas después de una salida conflictiva puede tomar semanas o no lograrse. Revísalo hoy, mientras la persona todavía está y la relación es buena.
La regla para todo lo que se cree de aquí en adelante: las cuentas del negocio se crean con un correo del negocio, idealmente uno genérico como administracion@ y no el nombre de una persona, y la empresa tiene al menos dos administradores. Esto es exactamente lo que resuelve tener correo con tu propio dominio.
Las claves compartidas
Toda clave que esa persona conocía hay que asumirla como conocida para siempre. El wifi, la cuenta compartida del proveedor, el acceso al software de facturación que usaban tres personas con el mismo usuario. Esto se vuelve una tarea de minutos —y no de una tarde de adivinar— si la empresa usa un gestor de contraseñas: ahí está la lista exacta de lo que la persona tenía compartido.
Revisa también el doble factor. Si el código de verificación de una cuenta de la empresa llegaba al celular personal de quien se va, cambiar la clave no basta: hay que cambiar también a dónde llega ese código.
Herramientas gratis para esto
- Generador de contraseñas: para cambiar en minutos las claves compartidas que conocía la persona que se fue.
Preguntas frecuentes
¿Puedo revisar el correo de la persona que se fue?
Es una cuenta de la empresa, pero puede contener información personal, y eso tiene implicaciones de protección de datos. Lo prudente es que el contrato o el reglamento interno digan desde el inicio que las herramientas son de uso laboral y pueden ser revisadas, y que consultes con tu abogado antes de abrir buzones. Redirigir los correos nuevos es mucho menos delicado que leer los viejos.
¿Cuánto tiempo mantengo la cuenta suspendida?
Lo suficiente para que clientes y proveedores se enteren del cambio de contacto: unos meses suele bastar. Después puedes archivar el contenido y liberar la licencia, que de paso es plata que dejas de pagar.
¿Y si usaba su propio computador o celular?
Entonces la información de la empresa puede quedarse en un equipo que no controlas. No hay una solución técnica perfecta para eso después de los hechos; la solución es antes: que la información viva en la nube de la empresa y no en el disco del equipo, para que cerrar la cuenta corte el acceso.
¿Esto aplica a contratistas y practicantes?
Aplica más. Son los que más rotan, los que menos se registran y a quienes más fácil se les olvida quitar el acceso, porque su salida no pasa por un proceso formal.
La conclusión, sin rodeos
Cerrar accesos es fácil cuando sabes cuáles hay, y casi imposible cuando no. La lista por persona, mantenida desde el primer día, vale más que cualquier procedimiento de salida que diseñes después.
Y la revisión que deberías hacer esta semana, no cuando alguien renuncie: qué cuentas importantes del negocio están hoy a nombre de una persona.
¿No sabes cuántas cuentas de tu negocio están a nombre de un empleado?
Te ayudo a hacer el inventario de accesos y a pasar a nombre de la empresa lo que hoy depende de una persona. Respondo personalmente.
Hagamos el inventario