Para expressar uma opinião de forma positiva, o auditor deve executar procedimentos relacionados aos riscos identificados, sendo esses procedimentos uma combinação de testes ou sua reexecução, procedimentos analíticos, indagação e(ou) testes de eficácia operacional de controle.