Al planificar una evaluación del riesgo, el auditor debe revisar primero las políticas y directivas de adquisición de la agencia para identificar a las organizaciones y personas responsables de aprobar adquisiciones.
El auditor debería revisar las políticas y directrices de derechos humanos.