Bei der Risikobewertung wird für jede zu prüfende Aktivität Folgendes ermittelt: a) die Wahrscheinlichkeit, dass ein Ereignis oder Risiko eintreten könnte, ohne Berücksichtigung der Auswirkungen von Risikominderungsmaßnahmen und der Stärke der internen Kontrolle, b) die Folgen, die das Eintreten des Ereignisses oder Risikos für das Ansehen der Organisation, ihre finanzielle Lage oder die Erfüllung ihres Mandat hätte, c) das strategische und operative Restrisiko, das heißt das Risiko, das nach Berücksichtigung des risikomindernden Einflusses der Kontrollmechanismen und der Risikomanagementtechniken verbleibt.
The risk assessment determines, for each auditable activity: (a) the likelihood or probability that an event or risk could occur without considering the effect of risk mitigation actions and the strength of internal control; (b) the impact or the exposure to the entity from a reputation, financial or mandate perspective should the event or risk occur; and (c) the residual strategic and operational risk, that is, the risk remaining after considering the mitigating influence of the control environment and risk-management techniques.