Mangelfull risikovurdering og standardisert dokumentasjon uten reell tilpasning til oppdraget
Foretaket gjennomfører ikke tilstrekkelig, virksomhetsspesifikk risikovurdering i planleggingsfasen. Revisjonsprogrammer og konklusjoner kopieres fra foregående år eller fra maler beregnet på andre foretakstyper, uten reell tilpasning til klientens faktiske risikoprofil, virksomhetsmodell eller avdekkede lovbrudd. Kommunikasjon av kritiske funn skjer muntlig og ikke til rett mottaker, og fortsettelsesvurderinger mangler dokumentert grunnlag eller gjennomføres ikke tidsriktig.