Kontrol minimum RKAT: rencana harus terdokumentasi, berbasis risiko, selaras dengan strategi dan profil risiko bank, mencakup area berisiko tinggi serta kewajiban regulasi, mempertimbangkan kecukupan kompetensi dan anggaran waktu, menjaga independensi SKAI, memperoleh persetujuan sesuai tata kelola, dan dievaluasi secara berkala. Deviasi, penundaan, audit yang dibatalkan, penggunaan contingency reserve, dan perubahan cakupan harus memiliki alasan, dampak risiko, serta persetujuan yang dapat ditelusuri.

Standar isi minimum working paper: identitas penugasan dan indeks; tujuan dan ruang lingkup; risiko serta kontrol yang diuji; sumber data dan populasi; metode sampling; prosedur yang dilakukan; hasil pengujian dan exception; bukti pendukung; pertimbangan profesional; kesimpulan; referensi silang ke temuan/laporan; nama dan waktu penyusun, reviewer, serta sign-off. Implementasi produksi perlu mengenkripsi dokumen, menyimpan hash/integrity check, menerapkan MFA, pembatasan unduh, backup, disaster recovery, dan audit trail yang tidak mudah diubah.

Prinsip pelaporan: laporan kepada Direksi dan Dewan Komisaris harus ringkas namun memadai, menonjolkan risiko material, akar masalah, dampak, rekomendasi, pihak bertanggung jawab, tenggat, status verifikasi, serta keputusan atau risk acceptance. Hak akses Direksi, Komisaris, Komite Audit, dan SKAI perlu dipisahkan; setiap perubahan, persetujuan, komentar, dan distribusi laporan wajib tercatat dalam audit trail.