O método de investigação decorre do tipo de ato praticado, porque atos diferentes deixam vestígios diferentes.
Crimes contra a pessoa — agressão, homicídio, crimes sexuais. A prova é em grande parte física e médica, deteriora-se rapidamente, e as primeiras horas são mais importantes do que em qualquer outra categoria. Local do crime, corpo, exame médico, testemunhas.
Crimes contra a propriedade — furto por arrombamento, furto, dano. Os vestígios encontram-se no ponto de entrada e naquilo em que se mexeu. O volume é o problema, mais do que a complexidade: estes casos são tratados com triagem forense e com informação sobre séries, em vez de se analisar uma cena de cada vez.
Criminalidade financeira e económica — fraude, branqueamento de capitais, corrupção. A prova é documental e encontra-se em registos, contas e correspondência. Não se deteriora, mas é ocultada deliberadamente, e o trabalho é de reconstrução, não de recolha.
Criminalidade organizada — tráfico de pessoas, drogas ou armas de fogo. A infração é uma estrutura, e não um incidente, e é investigada como uma rede: quem transporta o quê, quem paga a quem, por qual passagem, qual empresa.
Criminalidade ciberdependente — intrusão, ransomware. A prova é volátil de uma forma que a prova física não é: muda quando é observada e pode ser destruída remotamente enquanto a investigação está em curso.
O que é igual em todas elas. Um relato do que aconteceu, testado contra material que existe independentemente desse relato. Cada categoria acima é uma resposta diferente à mesma pergunta: onde está o material que não depende da palavra de alguém?
Fonte. UNODC, Handbook on police accountability, oversight and integrity e Crime scene and physical evidence awareness; Europol, Serious and Organised Crime Threat Assessment, https://www.europol.europa.eu/