Необходимо уточнить: охвачен ли весь ИТ-ландшафт системой учёта, как организована группировка прав в бизнес-роли, интегрирована ли система с кадровыми данными для автоматического обновления статусов сотрудников, как происходит заказ доступов для новых работников, предусмотрена ли возможность выбора прав на основе примера коллеги, как часто проводятся проверки выданных прав и как устраняются выявленные несоответствия. Например, если организация не может ответить, как отражаются в системе изменения должности сотрудника, это указывает на риски избыточного доступа.