首次內部審計令人失望的最常見原因，並非測試不足，而是範圍取決於方便而非風險：審計落在負責人剛好有空的流程上，產生負責人早已得悉的審計發現，且不會重複進行。
對中型市場集團——即擁有多個實體、精簡財務職能且沒有專責審計團隊的集團——而言，首次審查除了得出審查結果外，還有第二項任務：它必須向董事會及擁有人證明，該職能值得設立。
先從實際可能出錯的地方入手
在撰寫範圍之前，先與管理層及董事會進行簡短對話，並提出一個問題：損失在哪裡造成的痛楚最大？不是抽象地問「我們的風險是甚麼」，而是以下哪一項會在一年內對業務造成重大損害——由一人從頭到尾掌控的現金處理流程、跨境預付款的供應商、在試算表上確認的收入來源、實際上無人綜合入賬的實體。將它們排序。
然後，要誠實面對中型市場集團所面對的一項限制：如果同一個小型團隊執行 該流程，並會就此接受審計，審計的獨立性取決於其匯報方式，而非組織架構圖。直接向董事會或擁有人匯報，並在職權範圍中列明此事。
按流程，而非按部門，界定範圍
部門是政治界線；流程則跨越這些界線。「訂單至收款」或「採購至付款」 讓你有一個可端到端走一遍的範圍，這亦是唯一能看出控制措施在 交接處重複或缺失的方法。將範圍寫成流程清單，並明確說明其界線 — 每項流程從何處開始、何處結束，以及刻意排除甚麼。
以書面訂立排除清單並取得批准。首次審計出現範圍蔓延，通常是源於未有記錄的排除事項，正是它令六星期的審核變成四個月的審核。
先設計測試，後運作
就每項關鍵控制措施，須分別提出兩個問題。該控制措施的設計，是用以預防還是偵測 其理應應對的風險？而它實際上是否如此運作——每次皆是，且你能證明 嗎？許多首次審計會將這兩者混為一談，最終只是描述政策，而非實際做法。 就運作成效而言，須在開始前界定樣本量，並從完整總體中抽取樣本，而非從最容易取得的資料中挑選。
撰寫可供他人據以採取行動的調查結果
沒有成因的發現會變成投訴。每次均採用相同的四部分結構： 觀察（你觀察到甚麼，並附上證據）、風險（可能發生甚麼，以及大約有多嚴重）、 建議（應做甚麼），以及管理層回應，並註明負責人及日期。按嚴重程度排序， 而非按你碰巧測試事項的次序。
報告的用語應與證據相稱。審計報告若以描述控制失效的相同措辭來描述輕微 文件記錄缺漏，會令讀者對嚴重程度評級 一概忽略。
將跟進工作納入範圍
在規劃階段達成共識，訂明管理層行動何時會被追蹤，以及董事會如何獲悉 逾期未完成的行動。首次審核後不作出跟進，會令組織以為這項工作屬 可有可無，而第二次審核的起點會較第一次更為不利。
可贏得第二年續約的服務範圍
若首次檢視只聚焦兩至三個高風險流程，分開測試設計與運作，並以一致格式匯報，附上負責人及日期，結果就是董事會能看清自上次以來有何變化。這就是第二年檢視的理據—而這理據是由第一年的報告所建立，並非來自職權範圍。