Se o auditor planeja usar a evidência de auditoria da auditoria anterior a respeito da efetividade operacional de controles específicos, ele deve estabelecer se essa evidência continua relevante mediante a obtenção de evidência de auditoria quanto à ocorrência ou não de alterações significativas nesses controles após a auditoria anterior. O auditor deve obter essa evidência mediante indagação, juntamente com observação ou inspeção, para confirmar o entendimento desses controles específicos.

Ao avaliar a efetividade operacional dos controles relevantes, o auditor deve avaliar se as distorções que foram detectadas pelos procedimentos de controle internos indicam que os procedimentos substantivos não estão operando efetivamente. A ausência de detecção de distorções por meio de procedimentos de controle interno, entretanto, não fornecem evidência de auditoria de que os controles relacionados com a afirmação que está sendo testada são eficientes.

Se o auditor determinar que um risco identificado de distorção relevante no nível de afirmações é significativo, ele deve executar testes de controle interno que respondem especificamente a esse risco. Quando a abordagem a um risco significativo consiste somente em testes de controle, esses testes devem incluir também testes de detalhes e procedimentos de monitoração contínua de atividades operacionais, durante alguns períodos de averiguação para fins de auditoria.

O auditor deve planejar e realizar procedimentos substantivos para obter evidência de auditoria apropriada e suficiente quanto à efetividade operacional dos controles relevantes se a avaliação de riscos de distorção relevante no nível das afirmações pelo auditor inclui a expectativa de que os procedimentos de auditoria estão operando efetivamente ou os testes de controle isoladamente não fornecem evidência de auditoria apropriada e suficiente no nível de afirmações.