Ist doch ganz simpel:

Parameter werden entweder einfach per "?" oder in .NET auch mit @Name in den SQL eingebettet.
Per CreateParameter muss je "?" oder @Name ein Parameter an das Commandobjekt angehängt werden.

Zur Laufzeit kannst du dann die Parameter befüllen.
Steht aber alles im ADO.NET-Handbuch bzw. der Online-Hilfe.