La première étape de l’évaluation du contrôle interne est la description des procédures de l'entreprise. Cette étape est réalisée par l'intermédiaire d'entretiens avec les responsables et le personnel des différents services de l’entreprise, ainsi que par l’étude de sa documentation interne afin d'obtenir une description des tâches et de la circulation des documents. La description des procédures peut se faire soit de manière non guidée, soit à l'aide guides opératoires ou de questionnaires dont l'objet est double : il s'agit d'une part de servir de support aux entretiens et d'autre part de s'assurer de ne pas avoir oublié d'élément important. Comme tous les instruments formalisés de ce type, ils peuvent être vécus comme des aides, comme des carcans ou comme des moyens de se couvrir en justifiant son travail par le respect de documents standardisés (Francis 1994).
Après la description des procédures, la deuxième étape consiste en la réalisation de tests de conformité qui doivent montrer que les procédures décrites sont effectivement mises en oeuvre dans l'entreprise. Concrètement, l'auditeur va suivre quelques transactions tout au long d’une procédure et s'assurer que les contrôles et processus décrits sont effectivement réalisés. Il va ainsi pouvoir approfondir sa connaissance de la procédure et vérifier sa bonne compréhension des systèmes. Par exemple, lors de la réalisation de tests de conformité sur le cycle ventes d’une entreprise, l'auditeur va partir de ventes prises au hasard dans le journal des ventes et vérifier la facturation, la sortie de stock, l'établissement du bon de livraison, la commande, le règlement du client et tout autre élément pertinent dans le contexte de la société auditée.
Une fois les deux premières étapes réalisées, il est possible de se livrer à l’évaluation du contrôle interne. Là encore, outre son bon sens et son expérience, l'auditeur dispose d'outils méthodologiques pour effectuer ce travail, tels que les