Как лучше обеспечить защиту приложения при работе с компаниями по разработке приложений?

1. Занимаются ли такие компании проверкой на уязвимости? - В теории - зависит от серьезности компании. И денег, которые вы готовы вложить в разработку.
2. На каком этапе разработки лучше воспользоваться услугами на проверку на уязвимости - Вопросами безопасности надо озабочиваться с момента решения начать разработку, т.е. с момента составления ТЗ на разработку.
3. услугами на проверку на уязвимости в узконаправленной компании - Всегда полезно сделать дополнительную проверку у независимого аудитора.
4. сколько в среднем это будет стоить - Серьезная проверка серьезного приложения - много. Как можно ответить "в среднем" даже не понимая, что вы там надумали разрабатывать.
5. нужно ли доплачивать за исправление уязвимостей? - Как договоритесь с разработчиком.

Если в ТЗ изначально про безопасность ничего сказано не было, то да, придётся доплачивать.
Про уязвимости вам лучше всего расскажут ребята из Deep Web'а, найти можно на любом сайте по взлому.