A documentação de auditoria fornece (i) evidência da base do auditor para uma conclusão quanto ao cumprimento do seu objetivo global e (i) evidência de que a auditoria foi planejada e executada em conformidade com as normas de auditoria e exigências legais e regulamentares aplicáveis.

A documentação de auditoria serve para varias finalidades adicionais, que incluem assistir a equipe de trabalho no planejamento e execução da auditoria, permitir que a equipe de trabalho possa ser responsabilizada por seu trabalho e manter um registro de assuntos de importância recorrente para auditorias futuras. 

O auditor deve preparar documentação de auditoria que seja suficiente para permitir que um auditor experiente, sem nenhum envolvimento anterior com a auditoria, entenda a natureza, a época e a extensão dos procedimentos de auditoria executados para cumprir com as normas de auditoria e exigências legais e regulamentares aplicáveis.

A documentação de auditoria se limita aos registros elaborados pelo auditor e inclui copias de documentos constantes da contabilidade da entidade, não devendo incluir evidências subjetivas como minutas de reuniões elaboradas pelo pessoal da entidade, mesmo que acordadas com o auditor. 

Se o auditor tem duvidas quanto a confiabilidade das informações a serem utilizadas como evidência de auditoria, ele deve determinar quais modificações ou acréscimos aos procedimentos de auditoria são necessários para solucionar o assunto e deve considerar o efeito desse assunto, se houver, sobre outros aspectos da auditoria. 

A quantidade da evidência de auditoria necessária é afetada pela avaliação do auditor dos riscos de distorção (quanto mais elevados os riscos avaliados, maior a probabilidade de que seja exigida mais evidência de auditoria) e também pela qualidade de tal evidência de auditoria (quanto maior a qualidade, menos evidência pode ser exigida). 

O auditor deve utilizar como evidências de auditoria medidas de desempenho da entidade para fins de procedimentos analíticos, bem como deve utilizar informações da entidade apresentadas para atividades de monitoramento, tais como relatórios de auditoria interna, pois essas evidências são suficientemente precisas e detalhadas. 

A suficiência e adequação da evidência de auditoria estão inter-relacionadas. A suficiência é a medida da quantidade de evidência de auditoria. Adequação é a medida da qualidade da evidência de auditoria, isto é, sua relevância e sua confiabilidade para fornecer suporte as conclusões em que se fundamenta a opinião do auditor. 

Se o auditor planeja usar a evidência de auditoria da auditoria anterior a respeito da efetividade operacional de controles específicos, ele deve estabelecer se essa evidência continua relevante mediante a obtenção de evidência de auditoria quanto à ocorrência ou não de alterações significativas nesses controles após a auditoria anterior. O auditor deve obter essa evidência mediante indagação, juntamente com observação ou inspeção, para confirmar o entendimento desses controles específicos. 

Ao avaliar a efetividade operacional dos controles relevantes, o auditor deve avaliar se as distorções que foram detectadas pelos procedimentos de controle internos indicam que os procedimentos substantivos não estão operando efetivamente. A ausência de detecção de distorções por meio de procedimentos de controle interno, entretanto, não fornecem evidência de auditoria de que os controles relacionados com a afirmação que esta sendo testada são eficientes.  

Se o auditor determinar que um risco identificado de distorção relevante no nível de afirmações é significativo, ele deve executar testes de controle interno que respondem especificamente a esse risco. Quando a abordagem a um risco significativo consiste somente em testes de controle, esses testes devem incluir também testes de detalhes e procedimentos de monitoração continua de atividades operacionais, durante alguns períodos de averiguação para fins de auditoria.

O auditor deve planejar e realizar procedimentos substantivos para obter evidência de auditoria apropriada e suficiente quanto a efetividade operacional dos controles relevantes se a avaliação de riscos de distorção relevante no nível das afirmações pelo auditor inclui a expectativa de que os procedimentos de auditoria estão operando efetivamente ou os testes de controle isoladamente não fornecem evidência de auditoria apropriada e suficiente no nível de afirmações.