Les roms ne sont pas modifiées. Samsung développe énormément son offre pour professionnel et tout les téléphones Samsung peuvent intégrer une flotte d'entreprise. C'est le but de Samsung Knox.
Je ne connais pas assez les détails mais dans mon entreprise ça fonctionne ainsi : les téléphones que l'on achète sont enregistré dans une console d'administration de notre opérateur et sont identifiés par leur numéro IMEI, puis cette liste est fournie à une autre console d'administration, Samsung cette fois. Au boot, le téléphone lance une vérification pour voir si il doit appliquer une règle via Knox. Knox se connecte aux serveurs Samsung, est reconnu et reçoit l'agent MDM (Mobile Device Management, en l'occurence VMware pour toi) à installer avec les droits d'administration. C'est ensuite cet agent qui fera le lien entre le téléphone et la console de gestion de flotte. Il n'y a pas d'autres processus en fond (les smartphones sont très compartimentés, une app ne lance pas 36 processus à gauche à droite qui iront se cacher. Seul le système d'exploitation reste en partie caché par sécurité).