Checklist Offboarding IT: Bàn Giao Khi Nhân Viên Nghỉ Việc

Trả lời nhanh: khi nhân viên nghỉ việc, hãy bàn giao IT theo thứ tự: đổi mật khẩu và đăng xuất mọi phiên, chuyển dữ liệu và hộp thư cho người kế nhiệm, gỡ license, và xóa tài khoản sau cùng. Microsoft ghi rõ rằng bước đầu tiên để ngăn truy cập trái phép là đặt lại mật khẩu của người đó.

Bài này viết cho chủ doanh nghiệp, kế toán hoặc người phụ trách nhân sự và IT kiêm nhiệm ở công ty khoảng 5 đến 100 người dùng Microsoft 365, có thêm phần Google Drive. Mọi điểm về hành vi của Microsoft và Google lấy từ trang tài liệu chính thức của họ, mở và kiểm tra ngày 04/11/2026 (danh sách nguồn ở cuối bài). Nhãn nút trong trang quản trị hay đổi, nên hãy đối chiếu với màn hình thực tế của bạn.

Vì sao thứ tự quan trọng hơn tốc độ khi bàn giao IT?

Một lần offboarding thường chỉ là vài cú nhấp chuột, nên rất dễ làm vội. Tại Tuan Phuong, công ty có 15 nhân viên, người nghỉ việc là nhân viên HelpDesk. Việc offboarding người dùng này mất khoảng 2 phút, và bước kiểm tra dữ liệu của người đó đã bị bỏ sót. Sau khi tài khoản bị khóa, công ty không truy cập được mã nguồn của một ứng dụng Power Apps tự xây, và phải mở khóa lại tài khoản để vào lại được, mất khoảng 10 phút (chi tiết ở phần ứng dụng bên dưới). Đây là một ví dụ của một công ty, không phải số liệu chung. Điều rút ra là: thao tác nhanh vẫn có thể thiếu một bước nếu không có danh sách để tick.

Lý do thứ tự quan trọng là vì mỗi thao tác chỉ làm một việc, và nhiều người tưởng nó làm nhiều hơn. Bảng dưới tóm tắt từng thao tác theo tài liệu Microsoft:

Thao tác	Tác dụng theo Microsoft	Điều thường bị hiểu nhầm
Đặt lại mật khẩu, đăng xuất mọi phiên	Bước đầu để ngăn truy cập trái phép. Người dùng bị yêu cầu đăng nhập lại trong vòng một giờ hoặc khi rời trang đang mở	Không xóa và không chuyển dữ liệu
Chặn đăng nhập (Block sign-in)	Chặn truy cập dịch vụ Microsoft 365, có thể mất tới 24 giờ mới có hiệu lực	Không bắt đầu việc dọn dẹp OneDrive
Gỡ license	Giải phóng license. Email, danh bạ và lịch được giữ 30 ngày rồi xóa vĩnh viễn	Gỡ license mà chưa xóa tài khoản thì OneDrive vẫn truy cập được sau 30 ngày
Xóa tài khoản	Dừng nhận email gửi tới tài khoản đó. OneDrive và Outlook được giữ 30 ngày, có thể khôi phục tài khoản trong thời gian này	Đây là bước cuối, không phải bước đầu

Microsoft liệt kê bảy bước cho một nhân viên đã rời đi, theo đúng trình tự: chặn đăng nhập, lưu hộp thư, xóa dữ liệu trên thiết bị di động, chuyển tiếp hoặc chuyển hộp thư thành hộp thư dùng chung, cấp quyền vào OneDrive và Outlook cho người khác, gỡ license, và xóa tài khoản. Chặn đăng nhập là bước 1 còn gỡ license là bước 6. Đó là hai việc riêng, và phần còn lại của bài đi theo thứ tự này.

Một điểm dễ nhầm khác nằm ở OneDrive. Trang về lưu giữ và xóa OneDrive của Microsoft nói rằng việc dọn OneDrive chỉ bắt đầu khi tài khoản bị xóa khỏi Microsoft Entra ID, và không hành động nào khác kích hoạt nó, kể cả chặn đăng nhập hay gỡ license. Nghĩa là khóa tài khoản không làm mất file của người nghỉ. Nhưng xóa tài khoản thì bắt đầu đếm ngược, nên dữ liệu phải được chuyển đi trước đó.

Cần chuẩn bị gì trước ngày làm việc cuối cùng?

Phần này là cách làm của chúng tôi, không trích từ Microsoft hay Google. Việc chuẩn bị mất ít thời gian nhưng quyết định việc ngày cuối có trơn tru hay không. Hãy lập một danh sách ngắn, mỗi dòng có một người chịu trách nhiệm:

1. Tài khoản công ty mà người đó đang giữ: email, OneDrive hoặc Google Drive, Teams, phần mềm kế toán, CRM, tài khoản quản trị của các dịch vụ web, tên miền, mạng xã hội của công ty.
2. Hộp thư dùng chung và nhóm mà người đó là chủ sở hữu. Nếu người nghỉ là chủ duy nhất, nhóm có thể không còn ai quản lý.
3. Ứng dụng và tự động hóa do người đó tạo, ví dụ ứng dụng Power Apps, luồng Power Automate, macro, bảng tính có kết nối dữ liệu. Phần sau có một ví dụ thực tế.
4. Thiết bị: laptop, điện thoại, thẻ ra vào, USB, khóa bảo mật.
5. Người kế nhiệm và người quản lý trực tiếp, vì họ là người nhận quyền vào dữ liệu.
6. Ngày giờ dự kiến làm từng bước, để HR, quản lý và IT không làm chồng chéo.

Người làm danh sách không nhất thiết là IT. Với công ty nhỏ, người phụ trách nhân sự thường biết ai nghỉ và khi nào, còn IT biết hệ thống nào tồn tại. Hai bên cần ngồi lại một lần để danh sách đầy đủ.

Trong ngày nghỉ việc: khóa quyền truy cập theo thứ tự nào?

Làm theo thứ tự của Microsoft đã nêu ở trên, và ghi lại giờ làm từng bước.

1. Đặt lại mật khẩu. Trong Microsoft 365 admin center vào Users, Active users, chọn người dùng rồi Reset password. Microsoft nêu đây là bước đầu để ngăn truy cập trái phép.
2. Đăng xuất mọi phiên. Cũng trên trang người dùng, tab Account, chọn Sign out of all sessions. Theo Microsoft, trong vòng một giờ hoặc khi người đó rời trang đang mở, họ sẽ bị yêu cầu đăng nhập lại, vì mã truy cập có hiệu lực một giờ. Nếu cần đăng xuất ngay, Microsoft chỉ dẫn dùng lệnh PowerShell Revoke-MgUserSignInSession.
3. Chặn đăng nhập. Chọn Block sign-in. Microsoft cảnh báo việc chặn có thể mất tới 24 giờ mới có hiệu lực, nên đừng thay bước đặt lại mật khẩu bằng bước này.
4. Trong Microsoft Entra: bỏ chọn Account enabled rồi chọn Revoke sessions trên trang tổng quan của người dùng, theo tài liệu thu hồi quyền truy cập của Microsoft Entra. Tài liệu này nêu "employee termination" là một trong các tình huống cần thu hồi mọi quyền truy cập.
5. Ứng dụng nằm ngoài Microsoft 365. Microsoft viết rằng người dùng bị vô hiệu hóa mất quyền khi mã truy cập hết hạn, nhưng với ứng dụng không hỗ trợ tự động gỡ người dùng, bạn cần có quy trình riêng để gỡ họ. Nghĩa là phần mềm kế toán, CRM hay trang quản trị riêng của công ty không tự khóa theo.
6. Thiết bị. Microsoft cho biết việc xóa dữ liệu chỉ chạy khi thiết bị kết nối internet, thiết bị ngoại tuyến vẫn giữ dữ liệu cục bộ. Vì vậy hãy thu hồi thiết bị vật lý sớm nhất có thể thay vì chỉ trông chờ xóa từ xa.

Quyền cần thiết: Microsoft nêu vai trò User Administrator hoặc Helpdesk Administrator là đủ để đăng xuất người dùng thường, còn đăng xuất một quản trị viên khác thì cần Global Administrator. Nghĩa là nếu người phụ trách chỉ có vai trò Helpdesk Administrator, họ làm được các bước trên cho người dùng thường, nhưng không đăng xuất được một quản trị viên khác.

Làm gì với email và dữ liệu trước khi xóa tài khoản?

Đây là bước dễ bị bỏ sót, như ở ví dụ Tuan Phuong phía trên. Hãy coi "kiểm tra dữ liệu của người nghỉ" là một dòng riêng trong danh sách, có người tick và ngày tick.

Hộp thư

• Chuyển tiếp hoặc chuyển thành hộp thư dùng chung. Microsoft cho biết có thể giữ địa chỉ email của người cũ hoạt động, để khách hàng và đối tác vẫn gửi được, và chuyển tiếp giúp thư đến tay người kế nhiệm.
• Chuyển thành hộp thư dùng chung cần license trước. Tài liệu của Microsoft nói hộp thư người dùng phải có license thì mới thấy tùy chọn chuyển đổi. Nếu đã gỡ license, hãy gán lại để chuyển, rồi gỡ sau. Không có license, hộp thư dùng chung bị giới hạn 50 GB.
• Đừng xóa tài khoản người cũ. Microsoft viết rằng tài khoản này cần thiết để "neo" hộp thư dùng chung.
• Chuyển hộp thư không tự khóa người nghỉ. Microsoft nhắc rằng với nhân viên đang rời công ty, bạn cần làm thêm các bước để họ không đăng nhập được nữa.

OneDrive

• Theo mặc định, khi người dùng bị xóa, quản lý trực tiếp của họ tự động được cấp quyền vào OneDrive của người đó. Nếu tắt ủy quyền truy cập hoặc không có quản lý lẫn chủ sở hữu phụ, Microsoft cho biết không ai có quyền tự động và không ai được cảnh báo rằng OneDrive sắp bị xóa. Hãy chỉ định thêm một chủ sở hữu phụ.
• Người được cấp quyền có 30 ngày mặc định để vào và tải file cần giữ. Chi tiết khôi phục, ngày hết hạn và lệnh PowerShell nằm trong bài khôi phục file OneDrive bị xóa của công ty. Bài này không lặp lại các bước đó.
• Nhớ rằng OneDrive không phải bản sao lưu. Xem thêm OneDrive có phải là backup không.

Gỡ license và xóa tài khoản: khi nào mới an toàn?

Chỉ làm sau khi dữ liệu đã chuyển xong và người kế nhiệm xác nhận mở được file. Có hai điều Microsoft nêu mà bạn cần biết cùng lúc:

• Trang hướng dẫn xóa nhân viên cũ viết rằng khi gỡ hoặc xóa license, email, danh bạ và lịch được giữ 30 ngày rồi xóa vĩnh viễn. Nếu chỉ gỡ license mà chưa xóa tài khoản, nội dung OneDrive vẫn truy cập được sau 30 ngày.
• Trang về lưu giữ OneDrive thì ghi rằng mọi tài khoản OneDrive không có license hợp lệ sẽ tự động được lưu trữ (archive) vào ngày không license thứ 93.

Hai câu này nhấn mạnh hai khía cạnh khác nhau, và chúng tôi chưa thử cụ thể trên một tenant. Vì vậy, đừng gỡ license hàng loạt khi chưa đọc trang lưu giữ OneDrive cho tình huống của bạn. Về chi phí license theo vai trò và cách rà soát hằng quý, xem chọn Microsoft 365 Basic, Standard hay Premium theo nhân viên.

Khi xóa tài khoản, Microsoft cho biết nội dung OneDrive và Outlook được giữ 30 ngày và trong thời gian này bạn có thể khôi phục tài khoản. Nếu tài khoản được đồng bộ từ Active Directory tại chỗ, bạn phải xóa và khôi phục nó trong Active Directory chứ không làm được trên Microsoft 365.

Nếu công ty dùng Google Workspace: chuyển file Drive thế nào?

Phần này chỉ nói về Google Drive. Chúng tôi chưa mở các trang của Google về Gmail hay xuất dữ liệu Lịch, nên không hướng dẫn hai phần đó.

Google Admin Help viết rằng quản trị viên có thể đổi chủ sở hữu file khi cả chủ cũ và chủ mới đều nằm trong tổ chức, và đưa đúng ví dụ này: nếu ai đó rời công ty, bạn có thể chuyển file họ sở hữu cho người khác, nhờ vậy lưu được file trước khi xóa tài khoản. Các điểm cần nhớ theo trang đó:

• Cần đặc quyền quản trị Drive & Docs để chuyển quyền sở hữu trong Admin console.
• Tạm ngưng (suspend) tài khoản chủ cũ trước khi chuyển hàng loạt, để họ không tạo hay di chuyển nội dung trong lúc chuyển.
• File trong thùng rác không được chuyển. Nếu bạn xóa người dùng, các file chưa chuyển trong thùng rác cũng bị xóa theo. Muốn giữ thì đưa chúng ra khỏi thùng rác trước.
• Chuyển quá 36 giờ là thất bại và dừng lại, bạn phải làm lại.
• Chủ mới nhận một thư mục chuyển giao trong My Drive. Việc chuyển quyền sở hữu không thay đổi ai có quyền truy cập file.

Google cũng cho biết chủ cũ vẫn sửa được file đã chuyển cho đến khi bạn xóa tài khoản hoặc đổi quyền của họ. Vì vậy thứ tự giống bên Microsoft: khóa truy cập, chuyển dữ liệu, kiểm tra, rồi mới xóa. Các bước và nhãn nút có thể đổi, hãy đối chiếu với trang trợ giúp hiện tại.

Ứng dụng và tự động hóa do người nghỉ tạo: một ví dụ thực tế

Danh sách ở trên có dòng "ứng dụng do người đó tạo". Đây là dòng dễ bị quên nhất, vì nó không nằm trong hộp thư hay OneDrive.

Tuan Phuong: người nghỉ việc là nhân viên HelpDesk. Công ty có 15 nhân viên. Việc offboarding mất khoảng 2 phút, và bước kiểm tra dữ liệu của người đó bị bỏ sót. Sau khi tài khoản bị khóa, công ty không truy cập được mã nguồn của một ứng dụng Power Apps tự xây. Họ mở khóa lại tài khoản để vào lại được mã nguồn, mất khoảng 10 phút.

Đây là một công ty, một lần. Chúng tôi hiểu ứng dụng đó là một phần dữ liệu mà bước kiểm tra lẽ ra phải phát hiện, nhưng đó là cách đọc của chúng tôi, không phải kết luận kỹ thuật. Chúng tôi không biết chắc vì sao ứng dụng gắn với tài khoản đó, nên không khẳng định Power Apps luôn hành xử như vậy, và không có thông tin về thiệt hại nào ngoài khoảng 10 phút để lấy lại quyền truy cập. Điều rút ra là dòng "kiểm tra dữ liệu" phải nằm trong danh sách và phải có người tick.

Hai điều từ tài liệu Microsoft có thể giúp phòng trường hợp này:

• Ứng dụng canvas có chủ sở hữu và đồng sở hữu. Microsoft ghi đồng sở hữu (Co-Owner) có thể dùng, sửa và chia sẻ ứng dụng nhưng không xóa hay đổi chủ sở hữu. Nên thêm một đồng sở hữu ngay khi ứng dụng được tạo.
• Quản trị viên có lệnh Set-AdminPowerAppOwner để đặt người đăng nhập làm chủ sở hữu ứng dụng canvas, và người chủ cũ trở thành quyền xem. Trang tài liệu này là tài liệu tham chiếu lệnh, nó không nói gì về chuyện xảy ra với ứng dụng khi tài khoản chủ bị vô hiệu hóa hay xóa, nên đừng suy ra điều đó từ nó.

Cách làm của chúng tôi: trước ngày cuối, liệt kê mọi ứng dụng, luồng tự động và tài liệu có kết nối dữ liệu mà người nghỉ là chủ, và gán người kế nhiệm làm đồng sở hữu hoặc chủ mới trước khi khóa tài khoản.

Bảng checklist offboarding: ai làm, khi nào, giữ bằng chứng gì

Bảng này do Vietify tổng hợp từ các bước ở trên, không phải bảng của Microsoft hay Google. Bạn có thể chép vào Excel hoặc tải sẵn mẫu biểu IT miễn phí, nơi có file checklist này. Hãy sửa cột người phụ trách cho đúng công ty bạn.

#	Việc	Người phụ trách	Khi nào	Bằng chứng nên giữ
1	Lập danh sách tài khoản, ứng dụng, thiết bị người đó giữ	HR + IT	Trước ngày cuối	Danh sách có chữ ký của quản lý
2	Chỉ định người kế nhiệm và đồng sở hữu ứng dụng	Quản lý	Trước ngày cuối	Tên người nhận
3	Đặt lại mật khẩu, đăng xuất mọi phiên	IT	Ngày cuối	Giờ thực hiện
4	Chặn đăng nhập, vô hiệu hóa tài khoản, thu hồi phiên	IT	Ngày cuối	Ảnh chụp trạng thái tài khoản
5	Gỡ người dùng khỏi ứng dụng ngoài Microsoft 365	IT	Ngày cuối	Danh sách ứng dụng đã gỡ
6	Thu hồi thiết bị, xóa dữ liệu công ty trên điện thoại	IT + quản lý	Ngày cuối	Biên bản bàn giao thiết bị
7	Kiểm tra dữ liệu của người nghỉ (OneDrive, hộp thư, file chia sẻ, ứng dụng)	Quản lý + IT	Trước khi gỡ license	Ngày kiểm tra và tên người tick
8	Chuyển tiếp hoặc chuyển hộp thư thành hộp thư dùng chung	IT	Ngày cuối	Tên hộp thư và người nhận
9	Người kế nhiệm xác nhận mở được file	Người kế nhiệm	Trong 30 ngày	Xác nhận bằng email
10	Gỡ license	IT	Sau dòng 7 và 9	Ngày gỡ
11	Xóa tài khoản	IT	Cuối cùng	Ngày xóa, người duyệt

Dòng 7 được in đậm vì đó là dòng đã bị bỏ sót ở ví dụ Tuan Phuong.

Câu hỏi thường gặp

Nên khóa tài khoản hay xóa tài khoản khi nhân viên nghỉ việc?

Khóa trước, xóa sau cùng. Theo Microsoft, xóa tài khoản dừng việc nhận email gửi đến tài khoản đó và bắt đầu thời hạn giữ OneDrive. Khóa đăng nhập thì không bắt đầu việc dọn OneDrive.

Gỡ license có mất email của người nghỉ không?

Microsoft ghi email, danh bạ và lịch được giữ 30 ngày sau khi gỡ license rồi xóa vĩnh viễn. Nếu cần giữ lâu hơn, chuyển hộp thư thành hộp thư dùng chung trước khi gỡ license.

Offboarding một người mất bao lâu?

Ở Tuan Phuong, một lần offboarding mất khoảng 2 phút, nhưng bước kiểm tra dữ liệu bị bỏ sót và sau đó phải mất khoảng 10 phút để lấy lại quyền vào mã nguồn một ứng dụng Power Apps. Đó là một ví dụ của một công ty. Nhanh không có nghĩa là đủ bước. Hãy đo thời gian của chính công ty bạn và dùng danh sách để không bỏ bước.

Ai trong công ty nên làm việc này?

Microsoft nêu vai trò User Administrator hoặc Helpdesk Administrator là đủ cho người dùng thường. Quản lý trực tiếp nên là người xác nhận dữ liệu cần giữ.

Nguồn và ngày kiểm tra

Tất cả mở và kiểm tra ngày 04/11/2026. Nếu có khác biệt, trang gốc là chuẩn:

• Microsoft Learn: Remove a former employee và Step 1 - Prevent user sign-in and block access (cập nhật 05/01/2026).
• Microsoft Learn: Convert a user mailbox to a shared mailbox (cập nhật 02/02/2026).
• Microsoft Learn: OneDrive retention and deletion (cập nhật 23/06/2026).
• Microsoft Learn: Revoke user access in Microsoft Entra ID (cập nhật 19/06/2026).
• Microsoft Learn: Share a canvas app with your organization và PowerShell support for Power Apps and Power Automate.
• Google Workspace Admin Help: Transfer Drive files to a new owner as an admin.

Chưa kiểm chứng trong bài này:

• Cách hai trang Microsoft về license và OneDrive áp dụng cùng lúc trên một tenant cụ thể, chúng tôi chưa thử.
• Vì sao mã nguồn Power Apps bị khóa khi tài khoản bị khóa (ứng dụng thuộc sở hữu của tài khoản đó, hay do kết nối): chúng tôi không biết nguyên nhân kỹ thuật.
• Thiệt hại nào ngoài khoảng 10 phút lấy lại quyền truy cập, sau khi bước kiểm tra dữ liệu bị bỏ sót ở Tuan Phuong.
• Gmail và Lịch của Google Workspace.
• Nhãn nút chính xác trên màn hình quản trị hiện tại.

Là nhận định của chúng tôi, không trích từ nhà cung cấp: danh sách chuẩn bị trước ngày cuối, bảng 11 dòng, thứ tự "khóa trước, chuyển dữ liệu, kiểm tra, xóa sau cùng" như một quy tắc, lời khuyên thêm đồng sở hữu cho ứng dụng, và cách đọc rằng ứng dụng Power Apps ở Tuan Phuong là dữ liệu mà bước kiểm tra lẽ ra phải phát hiện.

Bước tiếp theo

Nếu bạn muốn Vietify rà soát quy trình bàn giao IT, quyền của quản trị viên và danh sách tài khoản của công ty, hãy nhận đánh giá IT miễn phí hoặc liên hệ Vietify. Xem thêm dịch vụ Microsoft 365 và Cloud và IT Helpdesk.

Vietify IT Services — Đối tác IT cho doanh nghiệp tại Đà Nẵng. Cập nhật: 04/11/2026.