För att varje användare ska få rätt behörighet måste verksamheten först ha genomfört behovs- och riskanalyser .