Comece pela finalidade
A empresa deve conseguir explicar por que o acesso é necessário e quais documentos busca organizar. A finalidade não pode ser genérica nem incompatível com a informação dada às pessoas envolvidas.
Minimize acesso e retenção
Avalie quais permissões são realmente necessárias, por quanto tempo os dados ficam disponíveis e como a exclusão é tratada. Não confunda organização documental com autorização para qualquer uso do e-mail.
Documente decisões e controles
Políticas, avisos internos, contratos e revisão jurídica podem ser necessários conforme o contexto. Registre também como usuários revogam conexões e solicitam esclarecimentos.