In vielen Organisationen hat sich IAM eher organisch als strategisch entwickelt. Im Laufe der Zeit kamen neue Anwendungen hinzu, Cloud-Dienste wurden neben bestehenden On-Premises-Systemen eingeführt, und die Zugriffsanforderungen wurden auf Partner, Berater und externe Nutzer ausgeweitet. Das Ergebnis ist oft eine fragmentierte IAM-Landschaft, die zwar funktioniert, aber nur mit wenigen automatisierten Prozessen, erheblichem manuellem Aufwand, Ausnahmen und Workarounds.
Gleichzeitig haben sich die Erwartungen verschoben. Verordnungen wie NIS2 und DORA stellen klarere Anforderungen an Zugriffskontrolle, Rechenschaftspflicht und Überprüfbarkeit. Von Security Teams wird erwartet, dass sie nachweisen, wer Zugriff auf was hat, warum dieser Zugriff besteht und wie er über den gesamten Identitätslebenszyklus hinweg verwaltet wird. Dies in einer hybriden, komplexen Umgebung zu erreichen, ist selten einfach.