O problema ocorre em testes de controller, onde não há necessidade de logar no sistema, aí não existe um Security Manager disponível. Posso colocar para exibir a mensagem, agora possivelmente irá interferir nesse tipo de teste. Do jeito que estava antes, havia um trecho de código no Domain que era chamado pelo _form (selectedMembers), mas estava com o problema que citei anteriormente, do salvamento. Como só era chamado pelo _form, era executado apenas em testes de GUI. Da forma que estava, não acho que é uma boa prática, pois além de acessar o security manager direto pelo Domain, o momento em que era chamado não era só na criação, mas também na atualização de um Publication.