Как лучше обеспечить защиту приложения при работе с компаниями по разработке приложений?
1. Занимаются ли такие компании проверкой на уязвимости? - В теории - зависит от серьезности компании.  И денег, которые вы готовы вложить в разработку.
2. На каком этапе разработки лучше воспользоваться услугами на проверку на уязвимости -  Вопросами безопасности надо озабочиваться с момента решения начать разработку, т.е. с момента составления ТЗ на разработку. 
3. услугами на проверку на уязвимости в узконаправленной компании -  Всегда полезно сделать дополнительную проверку у независимого аудитора. 
4. сколько в среднем это будет стоить -  Серьезная проверка серьезного приложения - много. Как можно ответить "в среднем" даже не понимая, что вы там надумали разрабатывать.
5. нужно ли доплачивать за исправление уязвимостей? -  Как договоритесь с разработчиком.
Если в ТЗ изначально про безопасность ничего сказано не было, то да, придётся доплачивать.
Про уязвимости вам лучше всего расскажут ребята из Deep Web'а, найти можно на любом сайте по взлому.