[Maar noch SOX noch PCI-DSS schrijven het voor; er wordt alleen een "adequate internal control" geëist, en vendors en consultants roepen in koor dat RBAC in allerlei subsmaken de enige manier is.] Klopt, het ligt dus ook genuanceerder, RBAC is niet in alle gevallen noodzakelijk maar biedt in sommige gevallen een oplossing om de control in adequaat in te vullen, de oplossing moet in verhouding staan tot het doel van de control, en het totale concept (het kan voordelig zijn indien meerdere controls met een beperkt aantal oplossingen worden afgedekt). [Het idee dat verschillende mensen dezelfde rol hebben en dus gelijk zijn, is een misvatting] Medewerkers kunnen prima dezelfde rol hebben en tegelijkertijd niet "gelijk" zijn, je wilt juist af van (zeker in grote ondernemingen) persoonsgebonden autorisaties waardoor het geheel onbeheersbaar en ondoorzichtig wordt. Een rolexplosie door uit te gaan van inrichting van rollen op basis van de minste rechten levert daarom onvoldoende voordeel en rechtvaardiging ...