Pytania kontrolne można podzielić na cztery główne kategorie: wstępne, procesowe, walidacyjne i ryzyko. Podstawowym celem audytu jest sprawdzenie poziomu zgodności z polityką organizacji i wszelkimi zobowiązaniami prawnymi. Chociaż większość ludzi myśli o badaniu w związku ze sprawozdaniami finansowymi, badanie można przeprowadzić w odniesieniu do każdego udokumentowanego procesu i obejmującego transakcje, które można przejrzeć. Prace audytowe są najskuteczniejszym sposobem identyfikacji luk w rzeczywistym przetwarzaniu, identyfikacji obszarów ryzyka w ramach operacji oraz zapewnienia, że przestrzegane są właściwe procedury.
Wstępne pytania audytowe koncentrują się na poznaniu struktury organizacyjnej, klientów, dostawców i podstawowych operacji biznesowych. Na tym etapie często zadawane pytania kierownictwu obejmują obszary zainteresowania, wszelkie oszukańcze lub podejrzane działania oraz główny cel audytu. Informacje te są niezbędne, aby audytor mógł określić, jakie procesy są objęte zakresem audytu i z kim się kontaktować w sprawie dostępu do plików.
We wstępnej fazie audytu bardzo często audytor prosi o dostęp do instrukcji operacyjnej, kopii polityk firmy oraz wszelkiej dokumentacji dotyczącej korzystania z różnych systemów lub procesów biznesowych. Zweryfikuje ten materiał pod kątem kompletności, dokładności i ogólnej jakości. Wykorzystując te informacje jako punkt odniesienia, audytor stworzy plan audytu, który koncentruje się na określeniu zgodności z określonymi procedurami.
Pytania kontrolne oparte na procesach są skierowane do pracowników odpowiedzialnych za ukończenie rzeczywistych procesów. Na przykład, urzędnik ds. rozrachunków z dostawcami zostanie zapytany, czy przeszedł jakiekolwiek szkolenie w zakresie zasad rachunkowości firmy, systemu informatycznego lub ogólnie rachunkowości. Urzędnik może zostać poproszony o wyjaśnienie, w jaki sposób przetworzyłby wniosek o płatność, która przekracza określoną wartość pieniężną. Inne pytania mogą dotyczyć procedur na koniec miesiąca i roku, kontroli bezpieczeństwa i harmonogramów płatności.
Po niezależnej ocenie przykładowych transakcji audytor będzie miał pytania na podstawie zebranych dowodów. Te pytania są bardzo szczegółowe, koncentrują się na konkretnej transakcji i służą do rozwiązywania wszelkich pytań dotyczących rzeczywistych praktyk biznesowych. Na przykład, jeśli zwrot kosztów został przetworzony bez podpisu kierownika pracownika, osoba, która go przetwarzała, zostanie poproszona o wyjaśnienie, w jaki sposób to się stało. Udzielona odpowiedź jest zawarta w aktach audytu i raporcie końcowym.
Pytania kontrolne dotyczące bezpieczeństwa dokumentów, materiałów i pracowników służą do oceny określonych zagrożeń. Inne pytania stosowane w celu podkreślenia ryzyka obejmują otwartość pracowników na polecenia przełożonych, stopień przestrzegania tych instrukcji oraz ogólne środowisko pracy. Kolejnym obszarem pytań wykorzystywanych do identyfikacji poziomu ryzyka jest poziom, do jakiego menedżerowie są zaangażowani w codzienne operacje.