Etter tredje ledd fremgr at internkontroll mat dokumentasjon av internkontrollen vil variere internkontroll og etter virksomhetens art, aktiviteter, risiko og strrelse. Noen virksomheter vil utarbeide grundige analyser av risiko, mens andre kan nye seg med en enkel dokumentasjon.