De onderzoeksmethode volgt uit de aard van de handeling, omdat verschillende handelingen verschillende sporen nalaten.
Misdrijven tegen de persoon — mishandeling, levensdelicten, seksuele misdrijven. Het bewijs is grotendeels fysiek en medisch, het gaat snel achteruit en de eerste uren zijn belangrijker dan bij elke andere categorie. Plaats delict, lichaam, medisch onderzoek, getuigen.
Vermogensdelicten — woninginbraak, diefstal, vernieling. Sporen bevinden zich bij het punt van binnenkomst en op wat is aangeraakt. De omvang is eerder het probleem dan de complexiteit: hierbij wordt gewerkt met forensische triage en met inlichtingen over reeksen, in plaats van met één plaats delict tegelijk.
Financiële en economische criminaliteit — fraude, witwassen, corruptie. Het bewijs is documentair en bevindt zich in registers, rekeningen en correspondentie. Het gaat niet achteruit, maar wordt opzettelijk verhuld, en het werk bestaat uit reconstructie in plaats van verzameling.
Georganiseerde criminaliteit — mensenhandel en handel in drugs of vuurwapens. Het delict is een structuur en geen incident, en het wordt onderzocht als een netwerk: wie verplaatst wat, wie betaalt wie, welke grensovergang, welk bedrijf.
Cyberafhankelijke criminaliteit — computervredebreuk, ransomware. Bewijs is op een manier vluchtig waarop fysiek bewijs dat niet is: het verandert wanneer ernaar wordt gekeken en kan op afstand worden vernietigd terwijl het onderzoek loopt.
Wat bij al deze categorieën hetzelfde is. Een relaas van wat er is gebeurd, getoetst aan materiaal dat onafhankelijk van dat relaas bestaat. Elke bovenstaande categorie is een ander antwoord op één vraag: waar is het materiaal dat niet afhankelijk is van iemands woord?
Bron. UNODC, Handbook on police accountability, oversight and integrity en Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/