И если он по шаблону всё проверил, то и спрашивать нечего, за остальное он не отвечает
Возможно нужно формировать наработки аудиторов, т.е. накопление базы данных по выявленным ранее уязвимостям. Эта база может быть коммерческим секретом до определённого времени.