Při evidenci a inventarizaci kulturních předmětů, jako jsou mobiliární fondy, historické knihovny nebo archeologické nálezy, se NPÚ řídil podle svých vnitřních předpisů. V ČR totiž neexistuje speciální zákon, který by upravoval evidenci, inventarizaci a péči o kulturní předměty. Zvláštní zákon řeší jen sbírky muzejní povahy. NPÚ spravuje čtyři takové sbírky, ale ani jednu z nich neevidoval zcela správně a neprovedl u nich inventuru podle požadavků tohoto zákona. Při oceňování archeologických nálezů nepostupoval NPÚ jednotným způsobem. V letech 2018 a 2019 pak při inventarizaci nezjistil, že má ve své správě tři nově získané zámecké knihovny.

Kontroloři zjistili nedostatky také v účetnictví NPÚ. Nevedl v něm například dvě nemovité kulturní památky - karlínskou Invalidovnu a objekt v Liliové ulici v Praze - v pořizovací ceně více než 96 milionů korun. V účetnictví NPÚ zjistili kontroloři nedostatky také v odpisování a oceňování majetku nebo účtování v nesprávném časovém období. To vše mělo dopad na údaje v účetních závěrkách.

Při nákupu právních služeb nepostupoval NPÚ tak, jak by měl. Například u dvou smluv sjednal jejich zpětnou účinnost. Za služby, které využíval ještě před uzavřením těchto smluv, zaplatil celkem přes 145 tisíc korun. Navíc zaplatil advokátní kanceláři i za služby, na které mohl využít své vlastní zaměstnance. V dalším případě NPÚ zaplatil přes 240 tisíc korun za právní služby na základě smlouvy, která už vypršela nebo u ní byla vyčerpána maximální sjednaná částka k úhradě.

NPÚ také poskytoval několik let kulturní památku k bezúplatnému užívání bez smlouvy. Platnost původní smlouvy totiž skončila a další uzavřel až po čtyřech letech během kontroly NKÚ.

V několika případech NPÚ nepostupoval podle zákona o zadávání veřejných zakázek. Například v jeden den objednal několikrát od stejného dodavatele podobné plnění, pokaždé do 50 tisíc korun. Obešel tím zákon o zadávání veřejných zakázek i zákon o registru smluv. Celkem tak napřímo zadal zakázky za téměř 338 tisíc korun. V dalším případě zadal napřímo zakázku na IT a právní služby k GDPR v předpokládané hodnotě téměř 400 tisíc korun bez průzkumu trhu, jen na základě starší poptávky na podobné služby.

Kontroloři zjistili, že v NPÚ nefungoval vnitřní kontrolní systém správně. NPÚ například platil faktury po splatnosti, proplácel prostředky v rozporu se smlouvou nebo objednávkou. Při nákupech pak nedodržoval schvalovací postupy, uzavíral smlouvy bez předchozího schválení příslušnými zaměstnanci a bez předběžné kontroly před vznikem závazku.