เมื่อ วางแผน การประเมิน ความเสี่ยง ผู้   auditor   ควร ตรวจสอบ นโยบาย การ เข้า ใช้ ของ หน่วยงาน และ คำสั่ง เพื่อ ระบุ องค์กร และ บุคคล ที่ รับผิดชอบ ใน การอนุมัติ   procurements
ผู้   auditor   ควร ตรวจสอบ นโยบาย และ คำสั่ง