Когато планира оценка на риска, одиторът трябва първо да прегледа политиките и директивите на агенцията за придобиване, за да идентифицира организациите и лицата, отговорни за одобряването на поръчките.
Одиторът не трябва да преглежда политики и директиви.