Когда надо сделать отчёт по пентесту, первая проблема — не уйти в общий трёп. Тут реально важно чётко показать, что нашёл, как проверял, и какие есть риски. Я обычно делаю так: сначала кратко описываю цель теста и объекты. Потом сразу — найденные уязвимости с описанием, как воспроизвел, где именно в системе, и почему это проблема (например, данные могут слететь или сервис падать). С выводами не мудрю, пишу, что рекомендуют сделать, чтобы исправить — патчи, настройки, изменение конфигов.