Это вполне нормально. Предположим, что там действительно была проведена некоторая проверка кода или функционала, и это не просто распил а пару десятков умных людей поработали. При первой сертификации. Так вот, я участвовал при сертификации системы (не для оборонки, но гостайна и коммерческая тайна была), несколько раз. Парни, когда пришли, докопались до криптографии и нашли пару потенциальных дыр (мало юзабельных). После изменений, через 9 месяцев, парни пришли с исходами от прошлой версии и новой версии, показали дифф, попросили объяснить пару мест и свалили. Потом снова пришли, заставили сбилдить код, получили хеши и сравнили с хешами файлов на проде. Дали ****** за то, что в одном месте уже впилили новую фичу, но в сертифицируемом релизе не отразили. Пару дней дали заключение аудита и пр. бумажки. Т.е. больно первый раз. Второй раз уже приятно.

[сообщение отредактировано модератором]