На хабре много историй, когда этот процесс занимал месяц, а то и два. Компания может уведомить потребителя, что продукт дырявый, вон новый троян может стянуть у вас базы и типа вы можете не юзать продукт или юзать на свой риск.
Действительно боль, но заказчики уже меняются, нормоконтроля все меньше и меньше и это радует, хотя вот сегодня в соседнем чате жаловались, что требуют букву ё везде проставить)