Zoals in de vorige sectie over risicoanalyse werd besproken, waren de centrale veiligheidsgroepen voornamelijk adviseurs of consultants voor de bedrijfsonderdelen en hadden zij dus over het algemeen niet de mogelijkheid om onafhankelijk de informatiebeveiligingspraktijken te dicteren.
In het vorige gedeelte werd uitgelegd dat centrale veiligheidsgroepen als adviseurs of adviseurs van bedrijfsonderdelen optreden.