O auditor deve determinar se, com base no trabalho de auditoria executado, ele identificou uma ou mais deficiências de controle interno.

Se o auditor identificou uma ou mais deficiências de controle interno, deve determinar, com base no trabalho de auditoria executado, se elas constituem, individualmente ou em conjunto, deficiência significativa.

O auditor deve comunicar, tempestivamente, por escrito, as deficiências significativas de controle interno, identificadas durante a auditoria, aos responsáveis pela governança.

Uma cópia das comunicações deve fazer parte da documentação da auditoria e deve ser elaborada no prazo de até 30 dias da data de emissão do relatório.