El desarrollo práctico de la metodología de trabajo podría contener los siguientes aspectos:

- Fase Planeamiento: Se iniciar con la comprensión integral de la materia a auditar,

preferentemente debe ser con un alcance similar al utilizado en los resultados de la
evaluación de riesgos (procesos).
La medición de la madurez de la gestión de riesgos comprende la validación de
cumplimiento de la metodología de evaluación de riesgos; comprensión del resultados de
evaluación de riesgos y tratamiento de mitigación; identificación de posibles riesgos de
fraude, etc.
La elaboración de la matriz de controles y riesgos se recoge datos actualizados que atañen a
la materia auditada que facilite la lluvia de ideas y permita lograr consenso sobre posibles
controles críticos sobre los cuales generar pruebas de auditoría. Cuando los reportes de
evaluación de riesgos estén desfasados emplear los talleres de autoevaluación de riesgos y
controles. Al término de esta fase se concluye con la elaboración del programa de auditoría.