Faiblesse du modèle actuel

À ce jour, le cadre réglementaire en vigueur laisse une trop grande latitude aux institutions financières dans l'évaluation discrétionnaire de leurs propres dispositifs de sécurité. Cette gouvernance passive engendre deux biais structurels majeurs :
Le conflit d’intérêt du contrôle interne : Les Responsables de la Sécurité des Systèmes d'Information (RSSI) internes se retrouvent structurellement juges et parties. Leurs rapports de conformité, soumis à de fortes contraintes budgétaires ou à des pressions hiérarchiques internes, ne reflètent pas systématiquement la réalité opérationnelle des vulnérabilités.
 

L’illusion de la sécurité « Groupe » : De nombreuses filiales locales d'institutions internationales se reposent quasi exclusivement sur les politiques globales de leur maison-mère basée à l'étranger. Cette posture omet les failles critiques intrinsèques à leurs infrastructures locales, à leurs réseaux de télécommunication nationaux
spécifiques et aux risques liés à leurs tiers et sous-traitants locaux.