самое главное правило это чтобы расходы на аудит (пентест входит сюда) не превосходили потенциальные потери при вскрытии потенциальной проблемы. + нужно что после аудита найденные дыры сами собой не закроются для того чтоб избавиться от них нужны свои спецы (или придется снова обращаться к сторонней компание). после того как посчитаете расходы уже можно размышлять нужно ли вам это.