Bei der Risikobewertung wird für jede zu prüfende Aktivität Folgendes ermittelt: a) die Wahrscheinlichkeit, dass ein Ereignis oder Risiko eintreten könnte, ohne Berücksichtigung der Auswirkungen von Risikominderungsmaßnahmen und der Stärke der internen Kontrolle, b) die Folgen, die das Eintreten des Ereignisses oder Risikos für das Ansehen der Organisation, ihre finanzielle Lage oder die Erfüllung ihres Mandat hätte, c) das strategische und operative Restrisiko, das heißt das Risiko, das nach Berücksichtigung des risikomindernden Einflusses der Kontrollmechanismen und der Risikomanagementtechniken verbleibt.
La evaluación del riesgo determina, para cada actividad sujeta a auditoría: a) la posibilidad o probabilidad de que pueda ocurrir un acontecimiento o riesgo sin considerar el efecto de las medidas de mitigación del riesgo y la robustez de los controles internos; b) el efecto o la exposición de la entidad desde una perspectiva de la reputación, financiera o del mandato si se produce el acontecimiento o riesgo; y c) la estrategia residual y el riesgo operacional, es decir, el riesgo que persiste tras la consideración de la influencia de mitigación del entorno de supervisión y las técnicas de gestión del riesgo.