Etterforskningsmetoden følger av hva slags handling det var, fordi ulike handlinger etterlater ulike spor.
Forbrytelser mot personer — vold, drap, seksualforbrytelser. Bevisene er i stor grad fysiske og medisinske, de forringes raskt, og de første timene er viktigere enn i noen annen kategori. Åsted, kropp, medisinsk undersøkelse, vitner.
Forbrytelser mot eiendom — innbrudd, tyveri, skadeverk. Sporene finnes ved innbruddsstedet og på det som ble håndtert. Mengden er problemet snarere enn kompleksiteten: dette håndteres med kriminalteknisk prioritering og med etterretning om serier, snarere enn én åstedssak om gangen.
Økonomisk kriminalitet — bedrageri, hvitvasking, korrupsjon. Bevisene er dokumentbaserte og finnes i registre, regnskaper og korrespondanse. De forringes ikke, men de skjules bevisst, og arbeidet består i rekonstruksjon snarere enn innsamling.
Organisert kriminalitet — menneskehandel, narkotikahandel eller handel med skytevåpen. Lovbruddet er en struktur snarere enn en hendelse, og det etterforskes som et nettverk: hvem flytter hva, hvem betaler hvem, hvilken grenseovergang, hvilket selskap.
Cyberavhengig kriminalitet — inntrenging, løsepengevirus. Bevisene er flyktige på en måte fysiske bevis ikke er: de endres når man ser på dem, og de kan ødelegges eksternt mens etterforskningen pågår.
Hva som er likt i alle. En redegjørelse for hva som skjedde, prøvd mot materiale som eksisterer uavhengig av denne redegjørelsen. Hver kategori over er et annet svar på ett spørsmål: hvor finnes materialet som ikke er avhengig av noens ord?
Kilde. UNODC, Handbook on police accountability, oversight and integrity og Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/