Cunoaştere şi înţelegere:

• ce înseamnă pentru o oganizaţie strategii, politici, standarde şi/sau proceduri operaţionale; ce cuprind acestea;
• care sînt cadrele de lucru în cazul guvernării IT (guvernarea IT este componentă a guvernării organizaţiei: OECD Principles of Corporate Governance ). În afară de COBIT a se vedea şi Board Briefing on IT Governance, 2nd Edition  , ISO/IEC 38500: Corporate Governance in ICT şi ITIL, ISO/IEC 20000, Microsoft Operation Framework)
• cunoaşterea proceselor pentru dezvoltarea, implementarea şi întreţinerea strategiilor, politicilor şi procedurilor IT (de exemplu, auditorul trebuie să ştie să analizeze responsabilităţile unui Steering Committee)
• managementul calităţii (ISO 9001 este un bun început)
• structuri organizaţionale, roluri şi responsabilităţi (interesează în principal abilitatea de a identifica sarcinile de serviciu ce trebuie separate între roluri)
• Standarde şi ghiduri IT general acceptate 
• arhitecturi organizaţionale (cum ar fi cunoscutul framework Zachman, sau arhitecturi pentru securitate – SABSA)
• metodologii şi instrumente pentru evaluarea riscurilor (Risk IT, de exemplu)
• cadre de control (COBIT)
• evaluarea maturităţii proceselor (pe lîngă COBIT şi CMMI, Team Software Process, Personal Software Process, SPICE)
• practici pentru managementul contractelor (cum ar trebui să arate o cerere/ofertă şi ce trebuie revizuit, ce cerinţe trebuie să satisfacă în cadrulor ganizaţiei…Calitatea serviciilor?)
• monitorizarea şi raportarea performanţelor din IT (indicatori de perfomanţă, dashboard….)
• legislaţia aplicabilă domeniului (nu doar IT! Unul din obiectivele auditorului este şi identificarea fraudelor!)
• managementul resurselor umane
• managementul protofoliului de proiecte, realizarea investiţiilor, alocarea costurilor (ValIT)….

UPDATE:

• Analiză de impact în realizarea planului de continuitate
• standarde și proceduri pentru realizarea, întreținerea și testarea BCP.

(N.B. Linkurile sînt ilustrative, minimale. Un subiect nu poate fi înţeles doar dintr-o singură sursă. În funcţie de natura clientului şi specificul misiunii auditorul trebuie să aibă lecţiile învăţate şi temele făcute….)