Obowiązuje tutaj podstawowa prosta zasada dzieląca kontrolę dostępu na:
1) kontrolę dostępu do osób (wg wpisów w infotypie 0001) – jeśli według zadanych kryteriów selekcji raportu są osoby, do których użytkownik nie ma dostępu, ich dane nie są wyświetlane a użytkownik dostaje komunikat o niepełnej liście numerów osobowych;
2) kontrolę dostępu do danych (infotypów) – jeśli system ma czytać dane, do których użytkownik (nawet częściowo) nie ma dostępu – raport nie jest wykonywany. Zatem, jeśli raport czyta dane z infotypów 0001, 0002, 0006 i 0009 a użytkownik nie ma uprawnień do jednego z tych infotypów, raport nie zostanie wykonany.
Istnieje sposób na uproszczenie kontroli dostępu – zainteresowanych odsyłamy do dokumentacji obiektu uprawnień P_ABAP.