Сравнением с эталонной поставкой. Дистрибутивы систем управления содержимым и модулей публикуются с указанием версий, поэтому эксперт определяет версию установленной системы, берёт официальный дистрибутив той же версии и сопоставляет с ним каталог сайта пофайлово.
Получаются три группы. Совпавшие с поставкой — не работа подрядчика; сравнение при этом ведут с приведением к единому виду, иначе разница в переводах строк после выкладки по FTP завысит долю подрядчика. Файлы поставки, изменённые на площадке, требуют разбора: правка могла быть согласованной доработкой, а могла быть вмешательством в файлы самой системы, которое её документация запрещает и которое ломает обновления; согласовывались такие работы или нет, устанавливает суд. Файлы, отсутствующие в поставке, — кандидаты в собственный код, но среди них попадаются и скопированные в проект чужие библиотеки.
Такое разделение даёт цифру, и оспаривают обычно её. Поэтому в заключении указывают версию дистрибутива, источник его получения и признаки, по которым файл отнесён к той или иной группе.