De acordo com a estrutura conceitual da análise de risco do tipo COSO, é imprescindível a existência de controles internos para o cumprimento das metas e objetivos da entidade. Caso se detecte potencial de risco na obtenção desses objetivos, poderá o controle interno atuar como a auditoria interna.
O uso da técnica de amostragem é facultativo para o auditor interno; entretanto, a realização de exames e investigações, como a verificação junto a terceiros sobre operações de grande vulto, as inspeções no capital financeiro e o registro de transações de recursos financeiros, é obrigatória. São esses resultados, denominados achados de auditoria, que irão fundamentar as conclusões do auditor.
Em um ambiente de processamento eletrônico de dados, o auditor deve proceder a avaliação dos riscos inerentes de controle nas demonstrações contábeis, dado que erros nessas demonstrações poderão ensejar aumento de fraudes, comprometendo a estrutura da empresa. Portanto, é competência do auditor cuidar para que isso não ocorra.
Considere que a União tenha repassado vultosa quantia a um estado da Federação, com objetivo de aquisição de maquinário para uma corporação militar daquele estado, e que, após determinação do Ministro do Planejamento, Orçamento e Gestão, foi realizada uma auditoria que constatou irregularidades na aplicação desses recursos federais da ordem de R$ 49 milhões. Foram detectados tanto vícios na dispensa de licitação quanto inadequação dos bens adquiridos. Nessa situação hipotética, a auditoria realizada é classificada como especial, de forma indireta compartilhada.
Em cada auditoria realizada, o auditor governamental deverá elaborar relatório que refletirá os resultados dos exames efetuados. Entretanto, nos relatórios de auditorias realizadas com base no processo de tomada e prestação de contas, nas quais se detectar desvio de bens públicos, a autoridade administrativa competente deverá comunicar imediatamente o resultdo ao TCU, para que este instaure processo de tomada de contas especiais.