Som nevnt i forrige avsnitt om risikoanalyse, fungerte de sentrale sikkerhetsgruppene hovedsakelig som rådgivere eller konsulenter for forretningsenhetene, og de hadde derfor generelt ikke mulighet til å diktere informasjonssikkerhetspraksis uavhengig.
Det er i forrige avsnitt forklart at sentrale sikkerhetsgrupper fungerer som konsulenter eller rådgivere for forretningsenheter.