固有風險—是否已加以辨認與評估？ 剩餘風險—是否已加以辨認與評估？ 緩和性控制、權變計畫，以及監控活動—是否連結到個別的事項與風險？ 風險登錄表—是否系統化、完整與正確？ 文件化—各項風險及作業是否被記錄？
此外，內部稽核人員協調其他的確認性提供者並考量依賴他們工作的可能性
