Arriskuaren ebaluazioa planifikatzean, ikuskatzaileak erakundea erosteko politikak eta jarraibideak berrikusi behar ditu lehenik, erosketak onartzeko ardura duten erakundeak eta pertsonak identifikatzeko.
Ikuskatzaileak ez ditu politikak eta zuzentarauak berrikusi behar.