Je stelt de doelstellingen zelf vast, afgestemd op risico’s en toepasselijke criteria. De auditor gebruikt deze als basis voor zijn toetsing.