Når revisor planlegger en risikovurdering, bør han først gjennomgå byråets anskaffelsespolitikk og -direktiv for å identifisere de organisasjonene og enkeltpersoner som er ansvarlige for godkjenning av oppkjøp.
Revisoren bør gjennomgå HR-politikken og -direktivene.