Zaměstnanec v pátek odevzdá notebook, rozloučí se a odejde. V pondělí se jeho účet v Microsoftu 365 přihlásí z neznámé IP adresy, mobilní Outlook dál stahuje firemní poštu a ve OneDrivu visí veřejné odkazy na nabídky pro klienty. Offboarding zaměstnance v Microsoft 365 je v malých firmách nejčastěji odbytý proces — a přitom jeden z nejdůležitějších. Tento článek ukazuje, jak odchod zaměstnance zvládnout bezpečně, bez ztráty dat a bez zbytečně placených licencí. Na konci najdete checklist, který můžete použít hned zítra.

Co je offboarding zaměstnance v Microsoft 365

Offboarding zaměstnance v Microsoft 365 je řízené ukončení všech přístupů odcházejícího člověka a předání jeho dat firmě. Netýká se jen zablokování účtu. Patří sem pošta, soubory ve OneDrivu, týmy v Teams, firemní zařízení, licence i aplikace, ke kterým se přihlašoval přes firemní účet.

V praxi jde o dva cíle, které stojí proti sobě:

• Bezpečnost — bývalý zaměstnanec nesmí mít k firemním datům přístup ani o minutu déle, než je nutné.
• Kontinuita — firma nesmí přijít o e-maily od klientů, rozpracované dokumenty ani historii komunikace.

Kdo tyto dva cíle neoddělí, udělá obvykle jednu ze dvou chyb. Buď účet nechá „pro jistotu“ běžet, nebo ho hned smaže a za měsíc zjistí, že zmizela pošta s klíčovým zákazníkem.

Proč na odchodu zaměstnance záleží víc, než se zdá

Nejde jen o zlé úmysly. Většina problémů po odchodu zaměstnance vzniká z nepozornosti: přihlášený telefon, synchronizovaný OneDrive na soukromém počítači nebo přeposílání pošty na osobní adresu, které si dotyčný kdysi nastavil a zapomněl na něj.

Americká agentura CISA řadí bývalé zaměstnance mezi typické zdroje takzvaných insider rizik a jako základní opatření doporučuje okamžité a úplné ukončení přístupů (CISA: Insider Threat Mitigation). Pro malou firmu je to navíc otázka GDPR. Osobní údaje klientů ve schránce bývalého zaměstnance jsou pořád vaší odpovědností jako správce — a dozorový Úřad pro ochranu osobních údajů se nebude ptát, jestli šlo o nedopatření.

Do třetice jsou tu peníze. Neaktivní účet s licencí Microsoft 365 Business Premium stojí firmu každý měsíc stejně jako aktivní kolega. Při běžné fluktuaci se tak snadno sejde několik „mrtvých“ licencí, za které se platí celé roky.

Offboarding ve 4 fázích: co udělat a kdy

Osvědčilo se rozdělit offboarding do čtyř fází podle času. První fáze je urgentní a měla by proběhnout v den odchodu, ideálně přesně v okamžiku, kdy zaměstnanec opouští kancelář. Ostatní fáze snesou odklad, ale ne zapomnění.

Fáze 1 – den odchodu: zamknout přístup

Cílem první fáze je, aby se bývalý zaměstnanec už nikam nepřihlásil. Všechny kroky uděláte v Microsoft 365 admin center (admin.microsoft.com) nebo v Microsoft Entra admin center (entra.microsoft.com).

1. Zablokujte přihlášení. V admin centru otevřete Uživatelé → Aktivní uživatelé, vyberte uživatele a zvolte Blokovat přihlášení. Účet zůstane zachovaný včetně dat, jen se do něj nikdo nepřihlásí.
2. Resetujte heslo. Nastavte nové náhodné heslo, které nikomu nesdělujete. Jde o pojistku pro případ, že by blokace byla omylem zrušena.
3. Odvolejte aktivní relace. V Entra ID u uživatele klikněte na Revoke sessions. Tím se zneplatní obnovovací tokeny, takže se odhlásí mobilní Outlook, Teams i synchronizační klient OneDrivu.
4. Odeberte metody MFA. V sekci Authentication methods smažte registrovaný telefon a aplikaci Authenticator. Účet tak nejde „oživit“ přes reset hesla na starém telefonu.

Důležitý detail: odvolání relací není okamžité do vteřiny. Už vydaný přístupový token může platit ještě přibližně hodinu. Aplikace podporující průběžné vyhodnocování přístupu (Exchange Online, SharePoint, Teams) ale reagují téměř hned. Microsoft popisuje celý postup v dokumentaci Revoke user access in Microsoft Entra ID.

Pokud máte jednotné přihlašování (SSO) do firemních aplikací, blokace v Entra ID zavře i přístup do CRM, účetního systému a dalších napojených služeb. To je jeden z nejsilnějších argumentů, proč SSO zavádět i v malé firmě.

Fáze 2 – do 24 hodin: předat poštu a soubory

Ve druhé fázi zajistíte, aby firma nepřišla o komunikaci a dokumenty. Zásadní je pořadí kroků.

Převeďte schránku na sdílenou. V Exchange admin centru otevřete Příjemci → Poštovní schránky, vyberte schránku a zvolte Převést na sdílenou poštovní schránku. Sdílená poštovní schránka do velikosti 50 GB nepotřebuje licenci, přitom zachová veškerou poštu i kalendář. Postup podrobně popisuje Microsoft Learn: Convert a user mailbox to a shared mailbox.

Dejte přístup nástupci. Přidělte kolegovi nebo vedoucímu oprávnění Full Access, případně Send As, pokud má z adresy dál odpovídat. Jak se jednotlivá oprávnění liší, vysvětlujeme v článku o delegaci poštovní schránky.

Nastavte automatickou odpověď. Krátká zpráva typu „Pan Novák již ve firmě nepůsobí, kontaktujte prosím kolegu Dvořáka“ ušetří klientům zmatek. Zkontrolujte zároveň, zda zaměstnanec neměl nastavené přeposílání na externí adresu — pokud ano, okamžitě ho zrušte.

Předejte OneDrive. V admin centru u uživatele zvolte v záložce OneDrive Získat přístup k souborům. Vedoucí dostane odkaz a může důležité soubory přesunout do SharePointu nebo do týmu v Teams. Výchozí doba uchování OneDrivu po smazání uživatele je 30 dní, v nastavení SharePointu ji lze prodloužit.

Převezměte vlastnictví v Teams. Pokud byl odcházející jediným vlastníkem týmu nebo skupiny, přidejte nového vlastníka. Jinak zůstane tým bez správce a nikdo do něj nebude moci přidávat lidi.

Fáze 3 – do 7 dnů: vyčistit zařízení a oprávnění

Třetí fáze řeší vše, co zůstalo „venku“. Zařízení, skupiny, role a sdílení.

• Firemní notebook. V Intune spusťte Wipe (obnovení do továrního nastavení) nebo Autopilot Reset, pokud zařízení předáte dalšímu kolegovi. S Windows Autopilot je notebook za hodinu připravený pro nového uživatele bez zásahu technika.
• Soukromý telefon (BYOD). Tady nepoužívejte Wipe, ale Retire. Smaže jen firemní data a aplikace, osobní fotky zůstanou. Pokud máte nastavené zásady ochrany aplikací (MAM), můžete firemní data z Outlooku a Teams vymazat selektivně. Rozdíly mezi akcemi popisuje Microsoft Learn: Remove devices by using wipe or retire.
• Skupiny a administrátorské role. Odeberte uživatele ze všech skupin zabezpečení, distribučních seznamů a hlavně z administrátorských rolí. Bývalý globální správce je noční můra každého auditora.
• Sdílené odkazy. V OneDrivu zkontrolujte odkazy typu „Kdokoli s odkazem“. Ty fungují i po zablokování účtu, dokud soubor existuje.
• Lokální účty a hesla. Změňte sdílená hesla k Wi-Fi, tiskárnám, routeru nebo účtům mimo Microsoft 365, která zaměstnanec znal.

Fáze 4 – do 30 dnů: licence a smazání účtu

Poslední fáze uzavírá proces a šetří peníze. Teprve když jsou data předaná, odeberte licenci. Pokud licence přiděluje skupinové licencování v Entra ID, stačí uživatele vyjmout ze skupiny.

Následně můžete účet smazat. Smazaný uživatel zůstává 30 dní v koši Entra ID a lze ho obnovit. Po této lhůtě je smazán trvale — i s poštou, pokud nebyla převedena na sdílenou schránku nebo chráněna zásadou uchovávání. Microsoft má pro tento postup samostatný průvodce Remove a former employee from Microsoft 365.

Před smazáním je dobré nahlédnout do auditního logu. Ukáže, jestli se zaměstnanec v posledních dnech nepokoušel hromadně stahovat soubory nebo přeposílat poštu. Jak audit zapnout a číst, popisujeme v článku Auditování aktivit v Microsoft 365.

Rychlá varianta přes PowerShell

Pokud offboarding děláte častěji, vyplatí se mít připravený skript. Základní kroky první a druhé fáze zvládnou tyto příkazy (moduly Microsoft Graph a Exchange Online):

Update-MgUser -UserId [email protected] -AccountEnabled:$false
Revoke-MgUserSignInSession -UserId [email protected]
Set-Mailbox [email protected] -Type Shared
Set-Mailbox [email protected] -ForwardingSmtpAddress $null -DeliverToMailboxAndForward $false
Add-MailboxPermission [email protected] -User [email protected] -AccessRights FullAccess

Skript ale nenahradí kontrolu. Zařízení, sdílené odkazy a hesla mimo Microsoft 365 musí vždy projít člověk podle checklistu.

Nejčastější chyby malých firem při odchodu zaměstnance

Z praxe správy IT pro malé firmy se opakuje pět chyb:

1. Smazání účtu hned první den. Vypadá to bezpečně, ale po 30 dnech nenávratně zmizí pošta i OneDrive. Správně je nejdřív blokovat, předat a teprve pak mazat.
2. Odebrání licence před převodem schránky. Bez licence se schránka po 30 dnech smaže. Pořadí „převést na sdílenou → odebrat licenci“ je klíčové.
3. Zapomenuté přihlášené mobily. Blokace účtu bez odvolání relací nechá mobilní aplikace ještě nějakou dobu fungovat.
4. Účet „pro nástupce“. Předávat přihlašovací údaje bývalého zaměstnance novému kolegovi je bezpečnostní i licenční problém. Nástupce má mít vlastní účet a delegovaný přístup.
5. Žádný záznam. Bez checklistu se za půl roku nikdo nedozví, co se s účtem stalo. Pro GDPR i případný spor je užitečné mít zapsáno, kdo a kdy co udělal.

Checklist: offboarding zaměstnance v Microsoft 365

Tento seznam si zkopírujte do interní dokumentace a projděte ho při každém odchodu:

• ☐ Blokace přihlášení a reset hesla (den odchodu)
• ☐ Odvolání relací a smazání metod MFA (den odchodu)
• ☐ Kontrola a zrušení přeposílání pošty (den odchodu)
• ☐ Převod schránky na sdílenou a delegace nástupci (do 24 h)
• ☐ Automatická odpověď s kontaktem na nástupce (do 24 h)
• ☐ Předání OneDrivu a vlastnictví týmů v Teams (do 24 h)
• ☐ Wipe / Autopilot Reset firemního notebooku, Retire u BYOD (do 7 dnů)
• ☐ Odebrání ze skupin, rolí a externích aplikací (do 7 dnů)
• ☐ Revize sdílených odkazů a změna sdílených hesel (do 7 dnů)
• ☐ Kontrola auditního logu (do 30 dnů)
• ☐ Odebrání licence a smazání účtu (do 30 dnů)
• ☐ Zápis do evidence: datum, kdo provedl, kam se přesunula data

Kolik to stojí a co je potřeba

Základní offboarding zvládnete s jakoukoli licencí Microsoft 365 Business — blokace účtu, odvolání relací, převod schránky i předání OneDrivu jsou součástí všech plánů. Neplatíte nic navíc, naopak ušetříte za uvolněné licence.

Pro správu zařízení na dálku (Wipe, Retire, Autopilot Reset) potřebujete Microsoft Intune, který je součástí Microsoft 365 Business Premium. Pokud máte povinnost uchovávat poštu delší dobu, pomohou zásady uchovávání a archivace e-mailů — schránka pak po smazání účtu zůstane jako neaktivní a dohledatelná.

Časová náročnost v praxi: ruční offboarding podle checklistu zabere zkušenému správci 45–90 minut, se skriptem a nastaveným Intune kolem 20 minut.

Časté dotazy

Mám účet bývalého zaměstnance smazat, nebo jen zablokovat?

Nejdřív zablokovat, data předat a teprve potom smazat. Okamžité smazání znamená, že po 30 dnech nenávratně zmizí pošta i soubory. Zablokovaný účet s převedenou sdílenou schránkou přitom licenci nepotřebuje.

Platí se licence za sdílenou schránku bývalého zaměstnance?

Ne, pokud je schránka menší než 50 GB a nepotřebujete online archiv ani soudní blokaci (litigation hold). Pro větší schránky nebo právní povinnosti uchování je licence nutná.

Jak rychle se bývalý zaměstnanec odhlásí z mobilu?

Po zablokování účtu a odvolání relací se většina aplikací Microsoftu odhlásí během minut. Už vydaný přístupový token může v některých aplikacích platit až zhruba hodinu, proto je důležité udělat oba kroky hned v den odchodu.

Co s firemními daty na soukromém telefonu zaměstnance?

Použijte v Intune akci Retire nebo selektivní vymazání přes zásady ochrany aplikací. Smažou jen firemní účty a data, osobní obsah telefonu zůstane nedotčený. Úplný Wipe na soukromém zařízení nepoužívejte.

Může nástupce používat e-mailovou adresu bývalého kolegy?

Může — buď přes delegovaný přístup ke sdílené schránce, nebo tak, že adresu přidáte jako alias do jeho vlastní schránky. Přihlašovat se pod účtem bývalého zaměstnance ale nesmí.

Závěr: offboarding zaměstnance jako rutina, ne improvizace

Offboarding zaměstnance v Microsoft 365 nemusí být složitý. Stačí dodržet pořadí — zamknout, předat, vyčistit, uzavřít — a mít ho sepsaný jako checklist. Firma pak nepřijde o data, bývalý kolega nemá kudy se vrátit a za licence se neplatí zbytečně.

Nejvíc pomáhá připravenost předem. Skupinové licencování, Intune a SSO zkrátí odchod zaměstnance z půldenní práce na dvacet minut.

Odchází vám zaměstnanec a nechcete nic opomenout? V rámci správy firemního IT za vás offboarding provedeme podle ověřeného checklistu, předáme data nástupci a uvolníme licence. Nastavíme také postup, aby příští odchod zvládla firma sama. Ozvěte se nám.