Organizacije bi trebale moći odgovoriti na četiri pitanja: tko ima pristup, čemu može pristupiti, koja mu je razina ovlasti potrebna i postoji li još uvijek poslovno opravdanje za taj pristup