Comment évaluer le coût du recours à l'expertise externe ?

Je suis en train de mettre en place une structure RSI (gestion des risques SI) en dehors de la DSI. J'envisage de constituer une équipe bipolaire (accompagnement MOA / Sécurité Systèmes & Réseaux). Mais, comme préalable à l'affectation de ressources que je souhaite "récupérer" à la DSI, la Direction me demande d'évaluer le coût du recours à l'expertise externe pour ce qui ne relève pas de l'activité récurrente :
- élaboration d'un cadre de gestion des risques des SI (stratégie, méthodologie, outils bases de connaissance...)
- classification des actifs informationnels et élaboration d'une cartographie des risques.
- mise à jour de la Politique de Sécurité des Systèmes d'Information et élaboration du plan de sécurité du système d'information.
- conception de tableaux de bord.
- conception et mise en œuvre d'actions de sensibilisation.
- construction d'un SMSI et certification ISO 27001.
 
Question : comment faire une évaluation pertinente sans s'engager vis à vis d'un prestataire ?