2FA обязательна для всех и включается автоматически при первом входе — привязка аутентификатора (QR-код) запрашивается прямо на странице входа, отключить её самостоятельно нельзя. Если сотрудник потерял телефон — сбросьте его привязку в списке пользователей ниже, при следующем входе он привяжет аутентификатор заново.