Por se tratar de assunto afeto à segurança de operações e de sistemas, as ações de prevenção contra fraudes não são consideradas nos controles internos das organizações.

Se uma organização adotar ações destinadas a melhorar sua produtividade e seus resultados financeiros, segundo o COSO, a citada organização estará buscando alcançar seus objetivos operacionais.

Controles internos podem ser corretamente conceituados como um processo desenvolvido pelas organizações com o objetivo de garantir com total certeza que os objetivos organizacionais sejam alcançados.

Na execução do trabalho da auditoria, o auditor interno deve analisar e documentar informação: necessária — o mínimo para dar certeza sobre a suspeita; apropriada — obtida sem o concurso dos responsáveis pelas operações; material — contendo a maior parte dos valores; e consistente — que é recorrente.

A avaliação do alinhamento dos objetivos de uma organização à sua missão se insere no gerenciamento de riscos, o que se constitui em uma norma de desempenho relativa à natureza do trabalho.

Na comunicação dos resultados, considera-se que ela deve preencher alguns requisitos, entre os quais se destacam: concisão — que seja curta; completa — que não omita nenhum detalhe; tempestiva — que evite a ocorrência do erro; objetiva — que se refira apenas a fatos e não a pessoas.

No caso de obrigação legal ou profissional, os auditores internos devem divulgar as informações a que têm acesso, mesmo sem a autorização de seus superiores hierárquicos.

Entre as chamadas normas de atributos estabelecidas pelo IIA (Institute of Internal Auditors), destaca-se como associada à independência da função de auditoria interna a de que o responsável pela auditoria deve ter acesso direto e irrestrito tanto à alta administração como ao órgão de deliberação superior da entidade (duplo reporte).

Caso o responsável pela auditoria não concorde com o nível de risco residual assumido pela alta administração, o assunto deve ser levado aos escalões superiores, como, por exemplo, o conselho de administração em uma sociedade anônima.

A divulgação de não conformidade às normas não deve limitar-se à sua identificação e às razões da falta de conformidade; é preciso divulgar o impacto desse descumprimento.