監査人はまず対象業務やシステムの概要を予備調査し、本調査の重点や手順を決めます。客観的な評価のための準備を自ら行う役割です。
業務ルールの整備や脆弱性の改善は被監査組織の責任です。監査報告書を受け取るのは依頼者などで、監査人は報告する側です。評価と実施の責任を分離します。