企業培訓做到一段時間後，常會出現一個原本沒規劃到的情況：
「這門課能不能也給外包、派遣或合作夥伴上？」
答案不是單純的可以或不可以。
企業要處理的是：
- 這些人是不是被授權的學習對象。
- 他們需要看到哪些內容。
- 是否和正職員工使用同一種席次。
- 誰負責名單正確性。
- 合作結束後誰負責停權。
- 他們的個資與學習紀錄要怎麼處理。
如果完全不分角色，外部人員很容易取得比工作需要更多的內容與資料，而且專案結束後還可能繼續登入。
先分清楚：外包、派遣、合作夥伴的關係不同
| 類型 | 常見關係 | 課程授權要注意 |
|---|---|---|
| 派遣人員 | 在企業內工作，但僱用關係可能屬於派遣公司 | 依實際工作角色決定必修與權限 |
| 外包人員 | 以專案或服務方式合作 | 只開放執行任務需要的內容 |
| 合作夥伴 | 經銷、代理、供應商或策略合作 | 可使用專屬夥伴課程，不一定能看內部課 |
| 臨時專案成員 | 短期加入特定任務 | 權限應和專案期限綁定 |
同樣都是「公司外的人」，實際需要差很多。
第一個原則：先看工作需要，不要先看身分標籤
授權最安全的思路是最小權限：只給完成工作所需要的內容。
例如：
- 外包設計師需要品牌規範，不代表需要看主管培訓。
- 派遣客服需要客服流程，但不一定需要看完整企業策略。
- 經銷夥伴需要產品知識與銷售教材，不代表能看內部人事文件。
所以課程分配應該從「角色需要什麼」開始，而不是「只要進公司合作就全部開」。
第二個原則：不要讓外部人員共用正職員工帳號
最省事但最危險的做法，是直接把某位員工帳密給外包商。
這會失去：
- 誰實際登入。
- 誰完成課程。
- 誰下載教材。
- 合作結束後誰還有權限。
比較好的做法是一人一帳號。
即使外部人員只使用一個月，也應該有自己的身份紀錄與到期規則。
帳號共用管理可以搭配 課程網站帳號可以共用嗎？裝置、登入、授權與異常存取怎麼管理。
第三個原則：外部席次可以和員工席次分開管理
如果企業常有合作夥伴培訓，可以設計不同席次池：
- 正式員工席次。
- 派遣席次。
- 合作夥伴席次。
- 短期專案席次。
這樣在報表上比較容易知道：
- 哪些名額屬於員工。
- 哪些是短期外部人員。
- 哪一類使用率高。
- 哪些席次到期後可以回收。
企業席次與帳號怎麼設計，可以延伸看 企業一次買多人線上課程怎麼賣？席次、帳號與團隊授權怎麼設計。
每一個外部帳號最好有一位企業內部「贊助人」
外部人員通常不在一般 HR 主資料裡，最容易出現「帳號還在，但已經沒人知道他是誰」的情況。因此除了外部公司的聯絡人，企業內部最好再指定一位贊助人或責任窗口。
這位窗口不一定負責技術設定，但要能回答：為什麼這個人需要權限、目前是否仍在合作、需要哪些課程、何時應該停權。若贊助人離職或轉調，外部帳號也要重新指定責任人。
沒有內部贊助人的外部帳號，最好不要無期限維持有效，因為企業已經失去對這筆存取的業務必要性確認。
第四個原則：外部帳號一定要有負責窗口
每一個外部帳號至少要知道：
- 哪一家公司或部門提出。
- 誰是企業內部負責窗口。
- 為什麼需要這個帳號。
- 預計使用到什麼時候。
沒有負責窗口的外部帳號，最容易變成「大家都以為別人會處理」。
專案結束後，帳號就被留在系統裡多年。
外部帳號即使有到期日，也要定期複查仍然需要嗎
有些合作案會一直延長，帳號到期日也跟著一延再延。若每次只是按「續 90 天」，久了就容易變成實質永久權限。
比較好的做法，是續期前重新確認合作仍存在、工作內容沒有改變、原本授權範圍仍然必要，而且企業內部贊助人仍願意負責。若角色或專案已改變，就重新分配權限，而不是只延長日期。
定期複查可以依風險安排每月、每季或每半年；高權限、敏感內容與長期外包帳號應該更常檢查。
第五個原則：建立帳號時就先設定離場條件
不要等合作結束才想怎麼停。
建立帳號時就應記錄：
- 開始日期。
- 預計到期日。
- 專案結束日。
- 是否需要企業窗口續期。
常見的停權觸發事件包括：
- 派遣合約到期。
- 外包專案結束。
- 合作夥伴關係終止。
- 企業窗口通知離場。
- 超過約定使用期間未續期。
離場後先停止新的課程存取，再依資料保存規則處理歷史紀錄。
停權和刪除資料不要綁在一起
外部人員離場時，通常第一步是：
- 停止登入或課程權限。
- 停止下載教材。
- 停止加入新直播。
- 停止取得新的企業資料。
但歷史紀錄是否立即刪除，要再看：
- 企業是否需要稽核。
- 是否要保留完課證明。
- 是否有契約保存要求。
- 個資保存目的是否仍存在。
企業授權到期與資料保存的完整邏輯，可以看 企業課程授權到期後怎麼辦？續約、停權、資料保留與學習紀錄怎麼處理。
外部人員資料不要照搬整套員工欄位
派遣、外包與合作夥伴通常不需要把企業內部所有人事欄位都同步到課程平台。完成學習交付常見需要的可能只是姓名、公司、聯絡方式、角色、負責窗口、授權期間與必要群組。
像薪資、家庭資料、私人地址或和課程無關的 HR 欄位，不應因為「方便整合」就一起搬過來。資料越少，後續更新、刪除與外洩風險也越低。
如果要跨企業交換外部人員資料，還要先說清楚由誰提供、誰確認正確、資料錯誤怎麼改，以及合作結束後何時不再需要。
個資也要分清楚是誰提供、誰負責更新
外部人員可能不是由企業 HR 系統直接管理。
資料可能來自：
- 派遣公司。
- 供應商窗口。
- 合作夥伴公司。
- 企業專案負責人。
因此至少要知道：
- 誰提供姓名與聯絡方式。
- 誰有權要求新增或刪除。
- 誰負責通知合作已結束。
- 資料錯誤時由誰確認。
如果責任不清楚，課程平台通常不可能自己知道某位外包人員昨天已經離場。
企業內部課程不要自動開給所有外部人員
有些課程可能包含：
- 內部流程。
- 營運數據。
- 客戶案例。
- 未公開產品。
- 主管管理內容。
這些內容不一定適合外部人員。
比較好的做法是把內容分成：
- 外部可用：完成合作需要的知識。
- 企業內部：只限員工或指定角色。
- 敏感內容：僅限少數管理者。
權限不是只有「有課／沒課」兩種。
合作夥伴培訓可以獨立成一條學習路徑
如果企業有經銷商、代理商或供應商，長期用員工課程硬塞通常不理想。
可以做一條夥伴專屬路徑：
- 品牌與產品基礎。
- 合作流程。
- 銷售或服務標準。
- 必要法規。
- 更新版本。
這樣企業內部內容與夥伴需要的內容就能分開治理。
派遣人員如果做和正職相同工作，必修可能應該一致
某些訓練是因工作風險與流程而存在，而不是因僱用身分。
如果派遣人員和正職員工執行相同工作，企業應重新確認：
- 哪些流程課程是必要的。
- 哪些安全或法遵訓練應一致。
- 哪些內部內容因身分不同而不適用。
不要只因為「不是正式員工」就完全排除培訓。
外部人員的證書與完成紀錄要不要保留？
可以依用途設計。
例如：
- 專案要求完成特定訓練。
- 合作夥伴要通過產品認證。
- 供應商需要年度更新。
這些情況保存完成紀錄會有實際用途。
但如果只是短期導覽，而且合作已結束，就沒有必要無期限保存全部學習行為。
外部人員轉成正職，要不要重新建帳號？
不一定。
如果身份可以安全轉換，可以：
- 保留原學習紀錄。
- 把角色改成員工。
- 重新分配必修。
- 移除原外部人員限制。
但要重新檢查權限，不要因為「升成正職」就自動取得所有課程。
正職離職後變合作夥伴，也不能直接保留原權限
這是最容易忽略的情況。
一位原本是員工的人，離職後改成外部顧問。
他的工作關係變了，原本的內部課程權限也應該重新評估。
更好的做法是：
- 先終止舊員工角色。
- 再依新的合作身份重新授權。
- 只保留新工作需要的內容。
不要把舊權限原封不動延續。
專案或合約結束時，要能一次找出所有相關外部帳號
如果一個外包專案有 30 位成員，合作結束時不應靠管理員逐一回想誰需要停權。外部帳號最好和專案、供應商或合作關係綁定，讓企業能在專案結束時一次列出所有相關使用者。
批次離場時可以依序處理：停止登入、撤銷管理或敏感權限、回收席次、停止通知、保留必要歷史，再依保存政策處理個資。若其中有人轉到另一個有效專案，再重新授權，而不是直接保留舊專案全部權限。
這樣每次合作結束，都能形成可驗證的離場清單，不會留下多年沒人負責的殭屍帳號。
企業可以建立一張外部人員授權表
| 欄位 | 用途 |
|---|---|
| 姓名／識別碼 | 確認使用者 |
| 合作類型 | 派遣、外包、夥伴 |
| 企業負責窗口 | 內部負責人 |
| 允許課程 | 授權範圍 |
| 開始日 | 何時生效 |
| 到期日 | 何時停權 |
| 狀態 | 有效、待停權、已停權 |
企業不一定要用複雜系統，但至少要有可追蹤名單。
常見問題
外包人員可以和員工用同一種帳號嗎？
技術上可以用同一套會員系統，但角色與權限最好分開。外包人員只應取得完成工作所需內容，而且要有到期與停權規則。
派遣人員算不算企業席次？
要看你的企業方案如何定義。可以納入一般企業席次，也可以獨立成外部人員席次，重點是採購與使用範圍要清楚。
合作夥伴可以看內部課程嗎？
不應一概而論。應依合作內容與必要性分配，敏感或內部管理內容不應因「是夥伴」就自動開放。
合作結束後一定要刪帳號嗎？
通常應先停止存取。歷史資料是否刪除或保留，要再依蒐集目的、保存期限、契約與合法必要性判斷。
外部人員離場，誰負責通知平台？
最好事前指定企業內部負責窗口。課程平台通常無法自行知道外包或派遣關係何時結束。
外部人員能保留完課證書嗎？
可以依證書用途與企業規則設計。若證書代表特定期間資格，還要另外定義有效期與續證。
結論：外部人員不是不能上課，而是不能用「永久員工權限」管理
企業培訓對象越來越多元，外包、派遣與合作夥伴本來就可能需要學習。
重點不是把他們全部排除，而是從工作需要出發，用最小權限分配課程，一人一帳號，明確指定企業負責窗口，並在建立帳號時就設定到期與離場條件。
這樣企業才能同時保留培訓彈性，也避免專案結束後仍留下不必要的存取權限與資料風險。
參考資料：
OWASP Cheat Sheet Series｜Authorization Cheat Sheet。
OWASP｜Access Control。
OWASP Cheat Sheet Series｜CI/CD Security Cheat Sheet：Identity Lifecycle Management。
個人資料保護委員會籌備處｜個人資料保護法與施行細則。