devem concentrar-se na identificação e correção dos desvios detectados por auditorias de conformidade, não havendo integração necessária com atividades preventivas de avaliação de riscos.

se realizadas em sistemas de informação, devem contemplar aspectos tecnológicos, como segurança lógica e física, dispensando a avaliação dos processos administrativos associados ao uso dessas tecnologias.

a implantação de controles internos resume-se aos processos financeiros e orçamentários, não sendo aplicáveis às atividades de natureza operacional ou patrimonial.

controles corretivos são preferenciais aos preventivos, uma vez que permitem reação pronta às irregularidades, garantindo maior eficiência operacional e financeira.

uma adequada integração com a avaliação de riscos pressupõe a utilização simultânea de controles preventivos e detectivos, de forma a reduzir a probabilidade e o impacto dos riscos identificados.