Voorbeeld · HR
Offboarding automatiseren met n8n
Wie vertrekt, moet overal worden afgemeld, en liefst op de juiste dag. In de praktijk blijft er vaak toegang achter. Deze workflow regelt het op de laatste werkdag, op basis van je HR-systeem, en legt vast wat er is ingetrokken.
Laatst bijgewerkt 2 oktober 2026
Kort antwoord
Offboarding automatiseren betekent dat de toegang van een vertrekkende medewerker op de juiste dag en op elke plek wordt ingetrokken. In deze n8n-workflow leest n8n de einddatum uit je HR-systeem, blokkeert het account in Microsoft Entra ID, beëindigt actieve sessies, haalt de medewerker uit groepen en legt alles vast in een logboek.
In het kort
| Afdeling | HR |
|---|---|
| Systemen | Je HR-systeem (zoals AFAS of Nmbrs) en Microsoft 365 (Entra ID, Outlook en Teams) |
| Start | Een dagelijkse controle op einddatums in je HR-systeem |
| Rol van AI | Geen. Deze workflow volgt vaste regels. |
| Controle door een mens | HR bevestigt de einddatum, IT handelt uitzonderingen af |
| Werkt ook met | Google Workspace · Slack · HubSpot |
| Platform | n8n Cloud |
Waar het nu misgaat
- Accounts van oud-medewerkers blijven weken actief.
- Iemand is wel uit Microsoft 365 gehaald, maar niet uit het CRM of andere tools.
- Licenties lopen door voor mensen die er niet meer zijn.
- Achteraf is niet na te gaan wie wanneer welke toegang had.
Zo werkt de workflow
Een node is een stap in een workflow. De workflow start met een trigger, de gebeurtenis die een workflow start: hier een vast moment op de dag.
Een dagelijkse controle leest de einddatums uit het HR-systeem. Na bevestiging door HR blokkeert de workflow op de laatste werkdag het account in Microsoft 365, beëindigt de sessies, haalt de medewerker uit groepen en andere systemen en legt alles vast in een logboek. Is de datum gewijzigd of niet bevestigd, dan krijgen HR en IT een melding.
De stappen als tekst
- Dagelijkse controle
- Einddatums uit het HR-systeem
- Bevestiging door HR
- Account blokkeren
- Sessies beëindigen
- Groepen en andere systemen
- Logboek
Nee bij Bevestiging door HR: Datum gewijzigd of niet bevestigd → HR en IT
Schedule Trigger
Controleert elke dag welke medewerkers binnenkort uit dienst gaan.
HTTP Request (HR-systeem)
Haalt naam, einddatum, manager en afdeling op uit AFAS of Nmbrs.
Microsoft Outlook (wachten op akkoord)
Vraagt HR een paar dagen vooraf om de einddatum te bevestigen, en stuurt de manager een checklist voor laptop, pasjes en overdracht.
HTTP Request (Microsoft Graph)
Blokkeert op de laatste werkdag het aanmelden voor het account.
HTTP Request (Microsoft Graph)
Beëindigt alle actieve sessies, zodat de medewerker ook op telefoon en laptop opnieuw zou moeten inloggen.
Microsoft Entra ID
Haalt de medewerker uit de groepen. Werk je met licenties via groepen, dan vervallen die daarmee ook.
HTTP Request (Microsoft Graph)
Zet een afwezigheidsbericht met de naam van de opvolger.
HTTP Request en andere nodes
Deactiveert accounts in andere systemen met een API, zoals je CRM.
Google Sheets of je HR-systeem
Legt per medewerker vast wat er is ingetrokken en wanneer.
Wat heb je nodig?
- API-toegang tot je HR-systeem, met leesrechten op einddatums.
- Een app-registratie in Entra ID met alleen de rechten die nodig zijn: accounts blokkeren, sessies beëindigen (User.RevokeSessions.All), groepslidmaatschappen beheren en afwezigheidsberichten instellen.
- Een overzicht van de systemen per functie, zodat de workflow weet waar iemand uit moet.
- Afspraken over het moment: aan het einde van de laatste werkdag, of direct bij vertrek op staande voet.
- Een vaste contactpersoon bij IT voor uitzonderingen.
Uitzonderingen en foutafhandeling
| Situatie | Wat de workflow doet |
|---|---|
| Einddatum gewijzigd of ingetrokken | De workflow controleert de datum op de dag zelf opnieuw. Zonder bevestiging van HR blokkeert hij niets. |
| Vertrek op staande voet | HR start de workflow met de hand, zodat de toegang direct wordt ingetrokken. |
| Beheerdersaccount of serviceaccount | Niet automatisch. Melding aan IT, die het met de hand afhandelt. |
| Intrekken mislukt in een systeem | Directe melding aan IT, met het systeem en de medewerker erbij. Toegang die openblijft, is een beveiligingsrisico. |
| Medewerker komt terug of blijft langer | Het account is alleen geblokkeerd, niet verwijderd. IT zet het weer aan. |
| Mailbox moet bewaard blijven | De licentie gaat pas weg nadat IT de mailbox heeft omgezet naar een gedeelde mailbox. Zonder licentie bewaart Microsoft de mailbox maar 30 dagen. |
Wat levert het op?
- Toegang stopt op de juiste dag, in elk systeem waar de workflow bij kan.
- Licenties komen eerder vrij.
- Een logboek van wie wanneer welke toegang verloor, handig bij audits.
- HR en IT hoeven niet meer achter elkaar aan.
Rekenvoorbeeld: bij 6 vertrekkers per maand en 2 uur handwerk per vertrek bij HR en IT gaat het om 12 uur per maand. Minstens zo belangrijk is het risico van toegang die blijft openstaan. Reken het na met je eigen cijfers.
Bereken wat automatisering oplevertDeze workflow voor jouw organisatie
Dit is een voorbeeld van wat we in n8n bouwen. We stemmen de stappen af op jouw systemen, regels en controles, en leveren de workflow op met foutafhandeling en documentatie.
Veelgestelde vragen
Wat als de einddatum verkeerd is ingevoerd?
Daarom vraagt de workflow HR vooraf om bevestiging en controleert hij de datum op de dag zelf opnieuw. Het account wordt alleen geblokkeerd, niet verwijderd, dus een fout is snel hersteld.
Worden de gegevens van de medewerker verwijderd?
Niet door de workflow: die trekt toegang in. Let wel op de licentie. Zonder licentie bewaart Microsoft de mailbox 30 dagen, daarna wordt hij verwijderd, behalve wat onder een bewaarbeleid valt. Wil je de mailbox houden, zet hem dan eerst om naar een gedeelde mailbox. Hoe lang je gegevens bewaart, beslis je zelf.
Is iemand na het blokkeren direct overal uitgelogd?
Bijna. Volgens Microsoft kan het een paar minuten duren voordat het beëindigen van sessies overal is doorgevoerd. Daarom blokkeert de workflow eerst het account en beëindigt hij daarna de sessies.
Helpt dit bij de Cyberbeveiligingswet?
Toegangsbeheer hoort bij de zorgplicht uit de Cyberbeveiligingswet. Deze workflow zorgt dat toegang op tijd stopt en legt vast wat er is gebeurd. Dat is een onderdeel van je maatregelen, geen volledige invulling van de wet.
Bronnen
- Microsoft Learn: revokeSignInSessions (learn.microsoft.com, oktober 2026)
- Microsoft Learn: licenties weghalen bij gebruikers, wat er met de gegevens gebeurt (learn.microsoft.com, oktober 2026)
- n8n Docs: Microsoft Entra ID-node (docs.n8n.io, september 2026)
- Rijksoverheid en NCSC: Cyberbeveiligingswet (september 2026)
Weet je zeker dat oud-collega's nergens meer in kunnen?
We brengen in kaart in welke systemen een medewerker zit en laten zien welke stappen bij vertrek vanzelf kunnen.