İyi bir denetim bulgusu, yalnızca hatayı söylemez; beklenen durum ile mevcut durum arasındaki farkı, bu farkın neden önemli olduğunu ve nasıl giderilebileceğini açıklar.
Kriter
Beklenen durumdur. Politika, standart, mevzuat, sözleşme veya kurumun onaylı kontrol tasarımı kriter olabilir.
Mevcut durum
Denetimde gözlenen somut durumdur. Yorum yerine kanıtla desteklenen gerçekler yazılmalıdır.
Risk ve etki
Eksikliğin hangi güvenlik veya iş riskini artırdığı açıklanır. “Güvenlik riski vardır” gibi genel ifadeler yerine olası senaryo ve etkiler belirtilmelidir.
Kök neden
Eksikliğin neden oluştuğuna ilişkin doğrulanmış sebep yazılır. Süreç eksikliği, rol belirsizliği, teknik kısıt veya yetersiz izleme gibi nedenler olabilir.
Öneri ve yönetim aksiyonu
Öneri hedeflenen kontrol sonucunu tarif etmeli; yönetim aksiyonu ise kimin, neyi, hangi tarihe kadar yapacağını göstermelidir.