Для проведения классического аудита, т.е. верификации ситуации между требованиями и текущей ситуацией, внутреннему аудитору необходимы следующие вещи
- компетенции (знания, опыт, квалификация)
- информация о требованиях
- информация о текущем состоянии
- банальная логика для сравнения двух последних дефисов
В принципе, для проведения классического аудита достаточно и трех последних составляющих. Аудитор, он ведь что видит, то и поет. Видит круглое, а в требованиях - квадратное, сравнил круглое с квадратным, не подходит, значит несоответствие

. Другое дело, что классической верификации, бизнесам давно уже не достаточно [а вот аудиту 3-й стороны этого вполне достаточно, чтобы выдать свою бумажку],
им нужна аналитика по результатам проведенной верификации и поиск потенциала для улучшений, а для этих вещей, которые принципиально важнее, чем банальная верификация, необходимы компетенции.
Ответ на вопрос простой, для проведения верификации - классического аудита, внутреннему аудитору достаточно трех последних дефисов. Проблема в том, что классически аудит не является ныне той ценностью, какая выводит их на конкурентные позиции с потенциальными конкурентами.