Metoda prowadzenia dochodzenia wynika z tego, jakiego rodzaju był to czyn, ponieważ różne czyny pozostawiają różne ślady.
Przestępstwa przeciwko osobie — napaść, zabójstwo, przestępstwa seksualne. Dowody mają w dużej mierze charakter fizyczny i medyczny, szybko ulegają zniszczeniu, a pierwsze godziny mają większe znaczenie niż w jakiejkolwiek innej kategorii. Miejsce zdarzenia, ciało, badanie lekarskie, świadkowie.
Przestępstwa przeciwko mieniu — włamanie, kradzież, uszkodzenie mienia. Ślady znajdują się w miejscu wejścia i na przedmiotach, z którymi się obchodzono. Problemem jest raczej skala niż złożoność: zajmują się nimi, stosując triage kryminalistyczny oraz informacje operacyjne dotyczące serii, a nie jedno miejsce zdarzenia za każdym razem.
Przestępczość finansowa i gospodarcza — oszustwo, pranie pieniędzy, korupcja. Dowody mają charakter dokumentacyjny i znajdują się w rejestrach, księgach rachunkowych oraz korespondencji. Nie ulegają zniszczeniu, lecz są celowo ukrywane, a praca polega na rekonstrukcji, a nie na zbieraniu.
Przestępczość zorganizowana — handel ludźmi, narkotykami lub bronią palną. Przestępstwo jest strukturą, a nie zdarzeniem, i prowadzi się jego dochodzenie jako dotyczące sieci: kto przewozi co, kto komu płaci, które przejście graniczne, która firma.
Przestępczość zależna od cyberprzestrzeni — włamanie, ransomware. Dowody są ulotne w sposób, w jaki dowody fizyczne nie są: zmieniają się, gdy się im przygląda, i mogą zostać zniszczone zdalnie w czasie trwania dochodzenia.
Co jest takie samo we wszystkich tych kategoriach. Relacja z tego, co się wydarzyło, sprawdzona w zestawieniu z materiałem istniejącym niezależnie od tej relacji. Każda z powyższych kategorii jest inną odpowiedzią na jedno pytanie: gdzie znajduje się materiał, który nie zależy od czyjegoś słowa?
Źródło. UNODC, Handbook on police accountability, oversight and integrity oraz Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/