Aktive MFA auf M365 jederzeit sicherstellen

Hallo

Wie kann ich auf dem M365 Tenant sicherstellen, dass insbesonders bei neu erstellten MA eine MFA jederzeit auf diesem Konto aktiviert ist?

Anforderung: Ein M365-Konto muss ab Erstellung jederzeit durch MFA geschützt sein.
Normalerweise wird die MFA bei Arbeitsbeginn des Benutzers auf seinem Handy im Microsoft Authenticator eingerichtet.
Was aber in der Zeit ab Erstellung des Kontos, teilweise Monate im voraus bis zum aktuellen Arbeitsbeginn?
Und wenn die MFA-Einrichtung bei Arbeitsbeginn aus irgendeinem Grund nicht eingerichtet wird?

Was sind hier die best practices?