(1)稽核計劃。稽核計劃包括綜合風險分析，目的在於從眾多的業務品種中找出風險最大的作為本次稽核的對象；業務流程檢查，即在選定稽核對象後了解所選定的對象的業務操作流程和相應的風險控制設置；個別風險分析，指稽核人員依據業務流程圖，針對所有風險點評估內部控制是否有效、足夠和合適。
(2)現場檢查。現場檢查是獲取各個風險點內部控制可靠性證據的階段。獲取證據的方法可以分為遵從性測試和實質性測試兩種。現場檢查的最後壹個環節是將檢查中發現的問題與被稽核單位的有關人員進行交流，這實際上也是對稽核發現的問題進行最後壹次核證。
(3)稽核報告。稽核報告階段是對稽核發現的問題進行評估並形成稽核意見和建議的過程，其最終結果是稽核報告。稽核報告應在稽核結束後盡快發出，以免影響稽核的時效性。
(4)跟進。跟進階段是為了檢查稽核建議是否得到有效落實，並評估該建議實施的效果，保證稽核建議能夠成為內部控制的具體措施，確保稽核能夠發揮真正的作用。