A responsabilidade por aspectos técnicos específicos de TI permanece com os dirigentes da organização e não pode ser delegada. Mas, a responsabilidade pelo uso e entrega aceitável, eficaz e eficiente da TI pela organização pode ser delegada aos gerentes.

Controle externo é uma ferramenta do gestor usada para prover razoável certeza de que os objetivos da Administração estão sendo alcançados.

O gestor e a alta Administração são responsáveis pelos controles da organização, mas os processos de gestão de risco são delegados e controlados pela equipe de TI.

Auditores são parte do modelo governamental de controle interno, mas eles não são responsáveis pela implementação dos procedimentos de controle em uma organização. Este trabalho é do gestor.

As etapas típicas de uma auditoria de TI são: Planejar; Organizar; Adquirir; Implementar; Entregar; Monitorar e Avaliar.