Una carta di lavoro documenta le procedure svolte durante un audit, le evidenze esaminate e le conclusioni raggiunte. Dovrebbe consentire a un revisore qualificato di comprendere che cosa è stato verificato, in che modo le evidenze supportano il risultato e chi ha esaminato o approvato il lavoro. Le carte di lavoro possono essere registrazioni digitali conservate in una piattaforma di audit, anziché documenti cartacei.
Nella sicurezza informatica e nella governance, le carte di lavoro supportano verifiche ripetibili dei controlli e forniscono una traccia di audit per i rilievi e le decisioni. Possono anche contenere evidenze sensibili, quindi le organizzazioni dovrebbero proteggerle con controlli di accesso adeguati, tracciamento delle versioni, approvazioni delle revisioni e regole di conservazione. Negli audit reali, il software può organizzare le carte di lavoro e registrare le note di revisione, ma non può stabilire se una verifica sia stata progettata correttamente o se le evidenze siano sufficienti; tali valutazioni richiedono una revisione professionale.