Tutkimusmenetelmä määräytyy sen mukaan, millaisesta teosta oli kyse, koska eri teot jättävät erilaisia jälkiä.
Henkilöön kohdistuvat rikokset — pahoinpitely, henkirikos, seksuaalirikokset. Näyttö on pääosin fyysistä ja lääketieteellistä, se häviää nopeasti, ja ensimmäiset tunnit ovat tärkeämpiä kuin missään muussa luokassa. Tapahtumapaikka, ruumis, lääkärintutkimus, todistajat.
Omaisuusrikokset — murtautumisrikos, varkaus, vahingonteko. Jälkiä on sisääntulokohdassa ja siinä, mihin on koskettu. Ongelma on määrä eikä monimutkaisuus: näitä käsitellään rikosteknisellä priorisoinnilla ja rikossarjoja koskevalla tiedustelutiedolla sen sijaan, että käsiteltäisiin yksi tapahtumapaikka kerrallaan.
Taloudelliset rikokset — petos, rahanpesu, korruptio. Näyttö perustuu asiakirjoihin ja on rekistereissä, tileillä ja kirjeenvaihdossa. Se ei häviä, mutta se on tarkoituksellisesti peitetty, ja työssä on kyse tapahtumien rekonstruoinnista eikä keräämisestä.
Järjestäytynyt rikollisuus — ihmisten, huumeiden tai ampuma-aseiden kauppa. Rik os on rakenteena eikä yksittäisenä tapahtumana, ja sitä tutkitaan verkostona: kuka siirtää mitä, kuka maksaa kenelle, mikä rajanylityspaikka, mikä yritys.
Kyberriippuvainen rikollisuus — tunkeutuminen, kiristyshaittaohjelma. Näyttö on haihtuvaa tavalla, jolla fyysinen näyttö ei ole: se muuttuu, kun sitä tarkastellaan, ja se voidaan tuhota etänä tutkinnan ollessa käynnissä.
Mikä on samaa kaikissa. Kertomus tapahtuneesta, jota verrataan aineistoon, joka on olemassa siitä kertomuksesta riippumatta. Jokainen edellä mainittu luokka on erilainen vastaus yhteen kysymykseen: missä on aineisto, joka ei riipu jonkun sanasta?
Lähde. UNODC, Handbook on police accountability, oversight and integrity ja Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/