Offboarding Agent

78.000 antiguos empleados siguen con credenciales activas - y ese es el problema real del offboarding

Este agente sigue el principio del Decision Layer: cada decisión está basada en reglas, asistida por IA o asignada explícitamente a una persona.

Según un análisis de Veza, 78.000 antiguos empleados conservan credenciales activas - un 3 por ciento de todos los usuarios en el proveedor de identidad. En el 38 por ciento de las cuentas marcadas como inactivas persisten permisos vivos en aplicaciones críticas. Y más del 30 por ciento de las empresas necesita más de tres días para bloquear todos los accesos de sistema tras una baja. Algunas no lo consiguen nunca por completo.

Esto no es un problema menor. Es la puerta de entrada para cualquier atacante que prefiera credenciales válidas antes que atravesar cortafuegos.

Cinco corrientes, ningún director

Un proceso de offboarding afecta al menos a cinco áreas de responsabilidad simultáneamente. Ninguna espera a las demás. Todas tienen sus propios plazos, sus propios sistemas y sus propios puntos ciegos.

Baja / extinción del contrato
    |
    +-- RRHH: cerrar expediente, notificaciones, certificado de empresa
    +-- IT: devolver hardware, revocar accesos, liberar licencias
    +-- Área de negocio: transferencia de conocimiento, traspaso de proyectos
    +-- Responsable: entrevista de salida, documentar feedback
    +-- Protección de datos: iniciar plazos de supresión, comprobar obligaciones
    |
Último día (todo debe estar hecho)
    |
Fase posterior: certificado, supresión RGPD, seguimiento boomerang

En la práctica, RRHH coordina todo esto con una lista de verificación y correos de recordatorio. Con tres bajas por trimestre funciona. Con treinta, colapsa - y lo hace en silencio. Nadie se da cuenta del acceso VPN que sigue activo dos meses. Nadie pregunta por la carpeta de SharePoint con datos de clientes a la que el antiguo empleado sigue pudiendo acceder.

Por qué el offboarding es más caro de lo que parece

Los costes visibles de una salida mal gestionada son asumibles: un portátil olvidado, una baja tardía. Los invisibles, no.

El 41,6 por ciento de los responsables de RRHH estima que un offboarding inconsistente cuesta a su empresa hasta 500.000 EUR (550.000 USD) anuales - por pérdida de conocimiento, riesgos de seguridad y sobrecostes de cobertura. Sólo el 37 por ciento de las empresas garantiza una transferencia de conocimiento adecuada al salir. El 42 por ciento del conocimiento especializado de una posición existe exclusivamente en la cabeza de quien la ocupa y no puede trasladarse sin más a un sustituto.

Tres factores de coste pesan especialmente:

Riesgo de seguridad. Las cuentas huérfanas son el vector de ataque más sencillo. Sin fuerza bruta, sin phishing - las credenciales siguen existiendo. En un mundo en el que una empresa media opera 275 aplicaciones SaaS, el desaprovisionamiento manual es una ilusión.

Pérdida de conocimiento. El coste de perder a un experto en la materia puede equivaler a veinte veces los costes habituales de selección e incorporación. No porque la persona sea insustituible, sino porque lo es su conocimiento no documentado.

Potencial boomerang. El 35 por ciento de las nuevas contrataciones son ya retornos. Su tasa de retención es un 44 por ciento superior a la de empleados completamente nuevos. Una salida caótica destruye exactamente la relación que habría permitido una recontratación.

Tres ventanas de tiempo, tres problemas distintos

El offboarding no es un evento único. Se descompone en tres fases con exigencias radicalmente distintas.

Antes del último día: organizar la transferencia de conocimiento, traspasar proyectos, preparar al sucesor. Aquí decide el responsable qué conocimiento es crítico - ninguna regla puede automatizarlo, porque requiere contexto sobre la dinámica del equipo y las dependencias entre proyectos.

El último día: devolución de hardware, bloqueo de accesos, recogida de tarjeta. Esto es totalmente basado en reglas. Qué dispositivos deben devolverse figura en la lista de dotación del onboarding. Qué accesos se bloquean se deriva del perfil de permisos. Momento y orden siguen un plan de desactivación - sistemas críticos al instante, reenvío de correo tras un plazo de transición definido.

Tras la salida: emitir certificado, cumplir plazos de supresión, cerrar liquidación. En España el certificado de empresa para el SEPE debe emitirse en los 10 días siguientes a la baja, la liquidación y finiquito (Seguridad Social, AEAT) acompañan al cese. La obligación de supresión del RGPD corre en paralelo a las obligaciones mercantiles y fiscales de conservación, de seis a diez años - un campo de tensión que sin una dirección clara conduce regularmente a incumplimientos.

Fase              Error habitual                    Consecuencia
──────────────    ──────────────────────────────    ──────────────────────
Antes de baja     Sin plan de transferencia         42% del conocimiento se va
Último día        VPN/nube no bloqueados            Riesgo de seguridad
Fase posterior    Certificado a los 4 meses         Reclamación judicial
Fase posterior    Supresión RGPD olvidada           Multa hasta 20 M EUR

Lo que el agente realmente dirige

El Offboarding Agent es el espejo del Onboarding Workflow Agent. El mismo motor de orquestación, la misma arquitectura de plantillas, reparto de tareas y control de plazos - sólo que en sentido inverso.

En cuanto se registra una baja en el sistema de RRHH, ocurren tres cosas a la vez: el motor de reglas determina el tipo de offboarding según el motivo de salida - baja voluntaria, despido, acuerdo de extinción y jubilación generan listas distintas. La lista completa de tareas se genera a partir de la plantilla y se distribuye a las instancias responsables. Desde ese momento el agente supervisa plazos y escala en caso de retraso.

La arquitectura de decisión es deliberadamente restrictiva. De diez pasos del proceso, seis son basados en reglas, uno asistido por IA y tres permanecen en manos humanas. La IA sólo interviene en el borrador del certificado - donde a partir de la descripción del puesto, la duración del empleo y la evaluación de desempeño se genera un texto. Si el certificado se aprueba, si se realiza la entrevista de salida y qué conocimiento se considera crítico son decisiones personales del responsable y de RRHH.

La supresión según el RGPD como problema arquitectónico

La mayoría de las empresas trata las obligaciones de supresión como una tarea del delegado de protección de datos. Funciona mientras alguien se acuerda. Con 50 bajas al año repartidas entre sistemas sin rutina de supresión centralizada, en algún momento ya nadie se acuerda.

El campo de tensión es real: las nóminas deben conservarse entre seis y diez años. Los currículos de candidatos deben suprimirse, como máximo, a los seis meses. Los expedientes de personal caen bajo los plazos de prescripción laborales. En caso de incumplimiento, la AEPD puede imponer sanciones - abiertas por arriba hasta 20 millones de EUR (22 millones USD) o el 4 por ciento del volumen de negocio anual mundial.

Un Offboarding Agent no lo resuelve mediante supresión, sino mediante gestión de plazos. Cada registro recibe al salir una categoría de conservación con fecha de supresión concreta. El agente supervisa los plazos y escala cuando una fecha se aproxima. La supresión propiamente dicha sigue siendo un paso manual con principio de doble validación - pero el recordatorio es sistemático en lugar de aleatorio.

Valor de infraestructura: el motor de onboarding en reversa

La palanca económica más potente de este agente no reside en la automatización del proceso en sí, sino en la reutilización. El motor de listas de verificación, el reparto de tareas, el control de plazos y la lógica de escalado son idénticos a los del Onboarding Workflow Agent. Quien ha construido uno obtiene el otro como configuración, no como proyecto.

Además, la lógica de desactivación de sistemas sienta las bases para la gestión de accesos a lo largo de todas las fases del ciclo de vida - del traslado al permiso parental, del regreso tras excedencia a la recontratación. Y el patrón de generación de certificados se reutiliza por el HR Document Management Agent para cartas de servicios, confirmaciones y referencias.

Cada ejecución de offboarding genera un registro de auditoría completo: qué tarea se completó cuándo, qué plazo se cumplió o se superó, quién escaló. A partir de 100 ejecuciones documentadas surge un cuadro de dónde falla sistemáticamente el proceso - no porque alguien haya pedido un informe, sino porque la arquitectura genera esos datos como subproducto.