De duurste medewerker is degene die al weg is

Iemand vertrekt op de 31e. HR sluit het dossier, de leidinggevende regelt het afscheid, IT blokkeert het account zodra de melding binnenkomt. Over de licenties bij Salesforce, Adobe, Autodesk en Atlassian hoort niemand iets. Die lopen door tot de volgende verlenging, of tot iemand toevallig kijkt.

Dat is geen nalatigheid. Het is een proces dat bij drie afdelingen begint en bij geen enkele eindigt.

Waarom blijven licenties van vertrokken medewerkers doorlopen?

Omdat uitdiensttreding een HR-gebeurtenis is, accountbeheer een IT-taak en de licentie een regel op een factuur die bij inkoop of finance ligt. De melding van HR bereikt IT meestal wel. IT blokkeert het aanmelden en denkt daarmee klaar te zijn. De licentie zit dan nog op het account, en de andere leveranciers weten van niets.

Drie plekken waar het stokt:

• HR meldt de vertrekdatum aan IT per mail of ticket, niet als veld in een systeem dat iets in gang zet. Wie op vakantie is, mist de melding.
• IT werkt met één checklist voor Microsoft 365. De andere pakketten hebben eigen beheerders, vaak in de vakafdeling: de Salesforce-beheerder zit bij sales, de Autodesk-beheerder bij engineering.
• Niemand krijgt een seintje als een licentie een maand niet is gebruikt. De factuur is een totaalbedrag, de leverancier heeft geen belang bij het melden en de verlenging gaat uit van het aantal van vorig jaar.

Het gevolg is dat de kosten van een vertrekker niet stoppen op de vertrekdatum, maar op het moment dat iemand kijkt. Dat moment ligt gemiddeld maanden later, en bij pakketten met een jaarabonnement pas bij de verlenging.

Wat kost een vertrokken medewerker per maand?

Wat je per maand aan software voor die persoon betaalde, maal het aantal maanden tot iemand het opmerkt. Alleen Microsoft 365 E3 is al € 37,78 per maand; met de gebruikelijke tweede en derde laag aan pakketten zit een kantoormedewerker in de meeste sectoren tussen € 150 en € 250 per maand.

Een voorbeeld met de cijfers van een middelgroot bedrijf:

• 340 medewerkers, 8 procent verloop per jaar: 27 vertrekkers.
• Gemiddelde vertraging tussen vertrek en het weghalen van de laatste licentie: 90 dagen. Dat is niet somber gekozen; zonder vaste checklist is een kwartaal eerder regel dan uitzondering.
• Softwarekosten per medewerker: € 2.500 per jaar, ruim € 208 per maand. Dat is Microsoft 365 plus de vakpakketten, gemiddeld over de organisatie.

Per vertrekker loopt er dan 3 × € 208 = € 625 door. Over 27 vertrekkers is dat € 16.875 per jaar. Tel je alleen de Microsoft-licentie, dan is het 27 × 3 × € 37,78 = € 3.060; de rest zit in de pakketten waar IT niet over gaat.

Twee dingen maken het in werkelijkheid groter. Bij een jaarabonnement betaal je de licentie toch tot de verlenging; de winst zit dan in het hergebruiken van de vrijgekomen licentie voor een nieuwe collega, zodat je er geen bijkoopt. En 90 dagen is het gemiddelde bij wie het redelijk doet. Bij wie nooit kijkt, loopt de vertraging op tot jaren.

Welke stappen hoort een offboarding-checklist per platform te bevatten?

Per platform twee stappen: de toegang dichtzetten en de licentie vrijmaken. Dat zijn in bijna elk beheerportaal aparte handelingen, en de tweede wordt het vaakst vergeten. Hieronder staan de handelingen per platform met de route in het portaal, in de menunamen die de leverancier zelf gebruikt.

Platform	Handeling	Effect op de rekening
Microsoft 365	Aanmelden blokkeren; mailbox omzetten naar gedeeld; licentie weghalen	Licentie komt vrij na weghalen, niet na blokkeren
Salesforce	Gebruiker deactiveren (vinkje Active uit)	Licentie direct herbruikbaar
Atlassian	Beheerd account deactiveren	Facturering stopt
Adobe	Gebruiker uit productprofielen halen of verwijderen	Licentie terug in de pool
Autodesk	Producttoewijzing opheffen (Unassign)	Licentie opnieuw toewijsbaar

Microsoft 365. Volg de zeven stappen van Microsoft (opent in een nieuw tabblad) (Microsoft Learn, Engels): eerst aanmelden blokkeren, dan mail veiligstellen, dan de mailbox omzetten of doorsturen, dan de licentie weghalen, dan het account verwijderen. De volgorde luistert nauw. Een mailbox omzetten naar gedeeld doe je via Gebruikers > Actieve gebruikers > de gebruiker > tabblad Mail > Converteren naar gedeelde mailbox, en dat lukt alleen zolang de licentie er nog op zit (uitleg (opent in een nieuw tabblad), Microsoft Learn, Engels). Daarna kan de licentie weg als de mailbox onder de 50 GB blijft. Verwijder het account niet; de gedeelde mailbox heeft het als anker nodig. En blokkeer het aanmelden expliciet: na de omzetting werkt het oude wachtwoord anders gewoon door.

Salesforce. Setup > Users > Users > Edit bij de gebruiker > vinkje Active uit > Save (stappen (opent in een nieuw tabblad), Salesforce Help, Engels). Gedeactiveerde gebruikers tellen niet meer mee voor de licenties. Lukt deactiveren niet, dan is de gebruiker nog standaard-eigenaar van leads, cases of een automatisering; wijs die eerst opnieuw toe (aandachtspunten (opent in een nieuw tabblad), Salesforce Help, Engels). Freeze is een tussenstap en houdt de licentie vast.

Atlassian. In admin.atlassian.com ga je naar Directory > Users, filtert op Account type: Managed accounts, opent de gebruiker en kiest bij de drie puntjes Deactivate account (stappen (opent in een nieuw tabblad), Atlassian Support, Engels). Atlassian stopt dan met factureren voor dat account. Voor accounts die niet beheerd zijn, haal je de producttoegang weg.

Adobe. In de Admin Console (opent in een nieuw tabblad) (Adobe, Engels) open je de gebruiker onder Users en verwijdert de productprofielen, of verwijdert de gebruiker helemaal. De licentie valt terug in de pool zodra het profiel eraf is. Adobe laat per gebruiker geen gebruik zien, alleen de toewijzing; het enige signaal dat een licentie vrij kan, is dus de vertreklijst van HR.

Autodesk. In Autodesk Account onder User Management > By User open je de gebruiker en heft per product de toewijzing op (Unassign). De licentie is daarna direct opnieuw toewijsbaar. Onder Reporting staat het gebruiksrapport waarin je ziet wanneer iemand een product voor het laatst opende; handig als de vertreklijst niet klopt.

Zet deze vijf blokken in één document, met per platform de naam van de beheerder. Dat document is de checklist. De HR-melding gaat naar iedereen die erop staat, niet alleen naar IT.

Hoe automatiseer je offboarding met Entra Lifecycle Workflows?

Door de vertrekdatum in Entra vast te leggen en daar een workflow aan te koppelen. Entra ID Governance heeft kant-en-klare sjablonen voor vertrekkers: op de laatste werkdag schakelen ze het account uit, daarna halen ze alle licenties weg. Je vult alleen nog de datum in, en die komt bij voorkeur uit het HR-systeem.

De sjablonen (opent in een nieuw tabblad) (Microsoft Learn, Engels) die je nodig hebt:

• “Offboard an employee”: start op de datum in het veld employeeLeaveDateTime. Standaardtaken: Disable User Account, Remove user from all groups, Remove user from all Teams.
• “Post-Offboarding of an employee”: een instelbaar aantal dagen na die datum. Standaardtaken: Remove all licenses for user, Remove user from all Teams, Delete User Account.
• “Real-time employee termination”: op verzoek, voor een vertrek dat vandaag ingaat.

Je vindt ze in het Microsoft Entra-beheercentrum onder ID Governance > Lifecycle workflows > Workflows. De volledige lijst met taken (opent in een nieuw tabblad) (Microsoft Learn, Engels) bevat ook Send email to manager before user’s last day en Revoke all refresh tokens for user; die tweede voeg je toe, zodat een open sessie op een telefoon ook stopt.

Twee voorwaarden. Het veld employeeLeaveDateTime moet gevuld zijn; zonder koppeling met het HR-systeem doet iemand dat met de hand, en dan ben je terug bij de mail die gemist wordt. En Lifecycle Workflows vereisen een Microsoft Entra ID Governance- of Entra Suite-licentie. Die zit niet in E3 of E5. Zonder die licentie kun je een deel bereiken met licenties op groepen: valt het account uit de groep, dan gaat de Microsoft-licentie mee.

Hoe zorg je dat de andere platformen meegaan?

Met provisioning vanuit Entra naar de pakketten, via SCIM. Dan is het uitschakelen van het account in Entra ook het signaal naar Salesforce, Atlassian of Adobe om de gebruiker daar uit te zetten. De Entra-galerie heeft voor de meeste grote leveranciers een connector; je koppelt een groep aan de app en Entra houdt de gebruikerslijst aan beide kanten gelijk.

Wat Entra precies stuurt, staat in de beschrijving van provisioning (opent in een nieuw tabblad) (Microsoft Learn, Engels). Wordt een gebruiker in Entra uitgeschakeld, verwijderd of uit de gekoppelde groep gehaald, dan stuurt Entra in de volgende cyclus een update waarmee de gebruiker in de app op inactief komt te staan. Dertig dagen na een verwijdering in Entra volgt een definitieve verwijdering in de app.

Wat je per leverancier moet controleren: of “inactief” daar ook betekent dat de licentie niet meer telt. Bij Salesforce en Atlassian is dat zo. Bij Adobe hangt de licentie aan het productprofiel, dus die moet via de groepskoppeling meegaan. Test het bij de eerste vertrekker na het inrichten en kijk een week later op de factuur of in het licentieoverzicht.

Zonder SCIM werkt de checklist uit de vorige paragraaf net zo goed, alleen hangt hij dan af van mensen in plaats van een automatische trigger.

Hoe vind je de vertrokken medewerkers die er nu al zijn?

Met de vertreklijst van HR over de laatste 24 maanden naast de gebruikerslijst van elk platform. Vergelijk op e-mailadres. Iedereen op de HR-lijst die in een platform nog actief staat of nog een licentie heeft, is een kandidaat. Dit is een uur werk per platform en het levert direct geld op.

De snelste plek om te beginnen is Microsoft 365. Onder Gebruikers > Actieve gebruikers filter je op gebruikers met geblokkeerde aanmelding. Iedereen in die lijst met een licentie is iemand bij wie de eerste stap wel is gezet en de tweede niet. Dat zijn vaak tientallen accounts.

Bij de andere platformen exporteer je de gebruikerslijst uit het beheerportaal en leg je die naast de HR-lijst. Salesforce toont bovendien de laatste aanmelding per gebruiker onder Setup > Users; Atlassian geeft per product een laatste activiteitsdatum; Autodesk heeft het gebruiksrapport. Wie op geen van de lijsten voorkomt maar al maanden niets doet, leg je voor aan de leidinggevende in plaats van op de opzeglijst te zetten.

Wat zien de beheerportalen niet?

Ze zien alleen hun eigen pakket, en ze zien toewijzing scherper dan gebruik. Geen enkel portaal weet dat de persoon uit dienst is; dat weet alleen HR. En de signalen die de portalen wel geven, betekenen niet altijd wat je denkt.

• Adobe toont per gebruiker welke producten zijn toegewezen, geen gebruik. Een vertrokken collega is daar niet te onderscheiden van iemand die Photoshop gewoon niet vaak nodig heeft.
• Atlassian telt iemand als actief zodra die twee seconden een productpagina bekijkt, en de datum kan tot 24 uur achterlopen (definitie (opent in een nieuw tabblad), Atlassian Developer, Engels). Een open tabblad telt.
• Salesforce kent het vinkje Active en de laatste aanmelding, maar niet of iemand na het aanmelden iets deed.
• Microsoft 365 laat een geblokkeerde gebruiker de licentie houden tot iemand die apart weghaalt. Blokkeren is geen opzeggen.
• Externen, inhuur en stagiairs staan vaak niet op de HR-vertreklijst, maar wel in elk portaal.

Wat overblijft is de vraag die geen portaal beantwoordt: welke licenties hangen er aan deze persoon, bij alle leveranciers samen, en wanneer is elk daarvan voor het laatst gebruikt? Dat is precies wat wij bij License Lean per medewerker in beeld brengen, maandenlang en voor alle platformen tegelijk.

Waar begin je?

Met de HR-vertreklijst van de laatste twee jaar en het filter op geblokkeerde gebruikers in Microsoft 365. Dat kost een uur en levert de eerste tientallen licenties op die weg kunnen. Zet daarna de checklist per platform op papier, met een naam per pakket, en laat HR de vertrekmelding naar die namen sturen in plaats van alleen naar IT.

Bij een installatiebedrijf van 340 mensen dat wij doorlichtten, stond € 91.000 per jaar aan licenties op collega’s die al weg waren. Niemand had dat expres laten lopen; de melding was gewoon nooit bij vijf beheerders tegelijk aangekomen. Wil je dat iemand die lijst voor alle platformen tegelijk maakt? Dat is ons werk, en je betaalt alleen als er iets afgaat.