Bei vernünftiger Berechtigungsstruktur (kennt man ja aus anderen Beiträgen) sollte die Security mit 30 jeder Revision standhalten.
Es gibt keinen Grund zwingend auf 40 gehen zu müssen.

Mit MI-Programmen/Funktionen gehen wohl die wenigsten um. Compiler halten sich an die Regeln.
Programme, die von Anwendern entwickelt werden sind eher selten im "System"-Mode zumal die IBM das Verfahren wie dies zu erreichen ist nicht offen gelegt hat.
Solange alles per API gemacht wird gibt es keine Probleme mit der 40.