>無関係と言い切れる理由は？
一方的な押し売りでなく、適正な契約の下で実施
するセキュリティ監査の場合は、一連の作業内容の明確化
と顧客との合意書、個人情報アクセスに対するNDA、
要件によっては当該cgiを別環境に設置して検証する、などの
いくつもの線引きがされるので、それを遵守する限り係争に発展
することはまずない、とういうことです。

そのような合意がなされていないならばそれは
あなたの業務上「無関係なサイト」といって差し支えないかと。

>なんの契約でなんの監査？
客→うちのサイトにセキュリティ上の脆弱性があるかも
　　　しれんからチェックしてくれないか？
監査側→ではこのような条件でこういう監査を致しましょう。
ま、自治体なんかだとこのパターン最近多いですけど
そんな案件があること自体ご存知ないわけありますまい。
質問の意図がべつにおありですか？

>あたりまえ。
なぜあたりまえと？私が書いたコードで動いてるわけじゃ
ないですし、他部門とはいえ無償奉仕をあなたに強要
されるいわれなんかないと思いますが。