Прежде всего фиксируют, что именно утрачено: исходный файл, часть разговора, контекст публикации, устройство записи или сравнительные образцы. Затем проверяют независимые заменяющие источники — резервную копию, нативный экспорт у другого участника, протокол осмотра, данные сервиса, черновики или бесспорные материалы из подтверждённого источника.
Замена не становится равноценной исходнику автоматически. Скриншот иногда позволяет исследовать видимый смысл, но не историю аккаунта; копия аудио — часть содержания, но не все признаки исходной записи. Короткого текста может хватить для анализа формы, но его объём может оказаться недостаточным для установления авторства. Эксперт ограничивает вопросы и описывает влияние утраты. Если существенный пробел исключает надёжный ответ, формулируют невозможность решения, а не предположение в пользу стороны.