Bij administratieve organisatie gaat het om opzet en bestaan van de interne beheersingsmaatregelen per proces. In de opzet worden de verschillende processen beschreven. Denk bijvoorbeeld aan inkoop, salarissen, verkoop & voorraadbeheer. Vanuit de procesbeschrijving per proces volgt een risico-inventarisatie (wat kan er allemaal fout gaan). Van belang is dat per handeling duidelijk is wie wat doet en registreert in welk bestand. Vervolgens worden interne beheersingsmaatregelen geïmplementeerd. Bij inkoop kan dit bijvoorbeeld functiescheiding tussen offerteaanvraag en gunning, een 3 way-match, factuurautorisatie en splitsing eerste en tweede handtekening internetbankieren betreffen. Het doel is om voor ieder proces een set aan interne beheersingsmaatregelen te implementeren die ervoor zorgen dat een organisatie zelf in staat is fouten en fraude te voorkomen. Vastlegging van het bestaan geschiedt bijvoorbeeld met een lijncontrole.

Interne controle is de verdiepende stap op de eerder uitgevoerde werkzaamheden met betrekking tot opzet en bestaan van de interne beheersingsmaatregelen bij de administratieve organisatie. Bij interne controle wordt allereerst de werking van de interne beheersingsmaatregelen gecontroleerd. Dit dient verspreid over het hele jaar te geschieden. Denk bijvoorbeeld aan een steekproef op autorisatie van facturen voordat deze betaald worden (zijn alle facturen geautoriseerd door de juiste persoon en met de juiste criteria voordat deze betaald zijn). Daar waar de administratieve organisatie uitgaat van de bestaande situatie, migreert interne controle de organisatie naar de gewenste situatie. Dit betekent cf. de plan-do-check-act-methodiek inclusief kans- en risicoberekening borgen van de kwaliteit en daar waar nodig verbeteren.

Het interne controleplan wordt los van de AO/IC uitgevoerd en beschrijft welke controles uitgevoerd worden om aan te tonen dat de organisatie in control is. Dit plan wordt – afhankelijk van de voor dat jaar geïdentificeerde risico’s – jaarlijks aangescherpt. Uit de conclusie van het interne controleplan volgt of de organisatie over de meetperiode in control is geweest.