Насколько я понимаю, то есть понятие "внешний/активный аудит". А вот уже в рамках этого, есть доп. условие/соглашение о проведении
пен-теста. Без подписания соглашения о конфиденциальности, договора об оказании услуг, можно легко попасть потом в нежелательную ситуацию.

Сама постановка вопроса тоже не очень верна. По крайней мере, примерно, можно предполагать масштабы организации: все в кампусе, распределенная структура, используемые интернет-сервисы ну и т.п. То есть хотя бы рамочно (ибо "в рамках рамочного договора") прийти к каким-то выводам.

А сумма? Ну, вот тут, одни другим предлагали 600 тысяч за аудит заплатить. Не заплатили.  
Но это же не показатель.