Doradztwo istnieje po to, by zamknąć lukę między wymaganiem sformułowanym ogólnie a decyzją, którą trzeba podjąć wobec konkretnego systemu. Przepisy i normy pisze się tak, aby obowiązywały w każdym sektorze, więc rzadko odpowiadają na faktycznie zadane pytanie: czy to przetwarzanie wymaga oceny skutków, czy to wdrożenie czyni nas dostawcą, czy to zabezpieczenie jest proporcjonalne do tego ryzyka. Praca polega na przełożeniu ogółu na konkret.
Większość projektów obejmuje więcej niż jedną ramę odniesienia, ponieważ obejmują ją same obowiązki. Jeden system może podlegać obowiązkom RODO w zakresie danych osobowych, obowiązkom NIS 2 w zakresie infrastruktury, obowiązkom aktu o AI w zakresie modelu oraz wymaganiom dowodowym ISO 27001 lub SOC 2. Zmapowane raz, wspólne dowody obsługują każdy reżim; mapowane osobno, system zyskuje cztery opisy i czterech właścicieli, z których każdy zakłada, że zajmuje się tym ktoś inny.
Granica ma znaczenie nie mniejsze niż sama porada. Doradcy analizują wymagania, weryfikują założenia, przedstawiają warianty wraz z ich konsekwencjami i rekomendują sposób postępowania. Akceptacja ryzyka, zaangażowanie budżetu i zatwierdzenie zestawu zabezpieczeń są decyzjami kierownictwa i pozostają przy imiennie wskazanych właścicielach wewnętrznych. Projekt zacierający tę granicę kończy się planem, którego nikt w organizacji faktycznie nie posiada, a taki plan upada przy pierwszym audycie wewnętrznym.
Istnieje też twarde ograniczenie co do tego, kto może później co zrobić. Zgodnie z pkt 5.2.7 normy ISO/IEC 17021-1 jednostka certyfikująca nie może certyfikować systemu zarządzania, w którym świadczyła doradztwo, przez co najmniej dwa lata. Wsparcie doradcze i certyfikacja muszą więc pochodzić od różnych organizacji, a kolejność warto ustalić na początku, zamiast odkrywać ją w chwili, gdy jednostka certyfikująca zapyta, kto sporządził Deklarację Stosowania.
