Ein Audit ohne Umsetzung ist verlorene Zeit für beide Seiten. Empfehlungen als Aufgaben mit Status, Verantwortlichem und Datum geführt, sieht man, was hängt — und woran es hängt.
Die Umsetzung liegt meist bei fremden Entwicklern. Wer den Stand je Empfehlung dokumentiert, kann nach drei Monaten belegen, warum sich nichts bewegt hat, ohne jemanden anzugreifen.
Server, Deployments und Messwerkzeuge liegen bei Ihnen, nicht beim Kunden. Wer dokumentiert, welche Rechte er wo hält, kann sie am letzten Tag in zehn Minuten zurückgeben — und wird deshalb weiterempfohlen.