Аудит отвечает на вопрос, насколько система защищена сейчас и что улучшить. Экспертиза корпоративной информационной системы (КИС) отвечает на конкретные вопросы о фактах: что произошло в системе, в каком состоянии она была на определённую дату, соответствует ли она требованиям договора. Аудит включает проверку фактов и рекомендации по защите. Экспертное исследование отвечает на определённые вопросы с описанием оснований и ограничений; выводы обеих работ должны быть проверяемыми.
Различается и назначение результата. Отчёт аудитора обычно используют для решений о защите; само название документа не определяет его доказательственную силу. Судебное заключение готовят в установленном для дела порядке. Внесудебное исследование может понадобиться и до спора — например, для проверки задания перед внедрением. Если результат планируют представить в суд, формат и порядок работы согласуют с учётом этой цели; автора могут вызвать для разъяснений.
Если спора нет и задача — оценить защищённость, проводят аудит информационной безопасности с рекомендациями по защите. Если ущерб уже причинён и предстоит претензия или суд, на экспертизу ставят вопросы о конкретных событиях.