Una valutazione volontaria è una revisione di sicurezza che un'organizzazione sceglie di richiedere o a cui scegliere di aderire, invece di una richiesta dalla legge o da una normativa. Può comportare scansioni esterne, revisione della configurazione, discussione del rischio o un test controllato dei servizi esposti. Poiché la partecipazione è facoltativa, spesso dipende dalla fiducia e da regole chiare su cosa verrà esaminato e su come i risultati saranno condivisi.
Nella sicurezza informatica, le valutazioni volontarie sono importanti perché aiutano a individuare le debolezze prima che lo faccia un attaccante. Possono evidenziare configurazioni errate, sistemi obsoleti, autenticazione debole o altri problemi che aumentano la superficie di attacco. Per chi difende, il valore principale è la visibilità precoce e la rimedio prioritizzato. Per gli attaccanti, le stesse debolezze rappresentano la via d'ingresso, ed è per questo che le organizzazioni usano revisioni volontarie per colmare le lacune prima che diventino incidenti. Questo modello è comune nelle infrastrutture critiche e in altri ambienti in cui gli operatori desiderano il parere di esperti senza trasformare il processo in un'attività di enforcement.