Ustalenie ma znaczenie wyłącznie w odniesieniu do określonych kryteriów. Zanim zbierzemy dowody, audyt musi ustalić, względem czego mierzy — przepisu, normy, umowy albo udokumentowanego wymagania wewnętrznego — oraz co mieści się w granicach badania. Oceny pomijające ten krok dają obserwacje, których nie da się ani podważyć, ani wykorzystać, ponieważ nikt wcześniej nie uzgodnił, jak wygląda stan pożądany.
ISO 19011:2018 ustanawia siedem zasad audytowania systemów zarządzania, a dwie z nich wykonują większość pracy. Podejście oparte na dowodach oznacza, że wniosek musi dać się wywieść z czegoś weryfikowalnego — zapisu, konfiguracji, obserwacji, wyniku testu — a nie z zapewnienia złożonego na spotkaniu. Rzetelna prezentacja oznacza, że raport opisuje stan faktyczny wraz z przeszkodami, rozbieżnościami stanowisk i tym, do czego audyt nie zdołał dotrzeć.
Norma rozróżnia również trzy typy audytu, a rozróżnienie ma wymiar zarówno techniczny, jak i handlowy. Audyty pierwszej strony są wewnętrzne, prowadzone przez organizację lub na jej rzecz. Audyty drugiej strony dotyczą dostawców albo prowadzą je klienci. Audyty trzeciej strony przeprowadza niezależna jednostka na potrzeby certyfikacji. Up Secure działa w dwóch pierwszych kategoriach: audyt wewnętrzny w imieniu klienta i audyty jego dostawców. Certyfikacja pozostaje po stronie akredytowanej jednostki.
Ten rozdział nie jest kwestią preferencji. Zgodnie z pkt 5.2.7 normy ISO/IEC 17021-1 jednostka certyfikująca nie może certyfikować systemu zarządzania, w którym świadczyła doradztwo, przez co najmniej dwa lata od zakończenia tego doradztwa. Wybór podmiotu przygotowującego i podmiotu certyfikującego jest więc decyzją o kolejności, którą warto podjąć wcześnie, ponieważ błąd może opóźnić certyfikat o dwa lata.
