Ну вот внутренние отчеты у меня в виде

что проверяли

тип уязвимости

PoC

как лечить.

Но руководство сказало, что для внешних отчетов такой формат не солиден потому, что маленький объем документа получается. Все зависит от того, для кого ты проводить тестирование.