Bei der Risikobewertung wird für jede zu prüfende Aktivität Folgendes ermittelt: a) die Wahrscheinlichkeit, dass ein Ereignis oder Risiko eintreten könnte, ohne Berücksichtigung der Auswirkungen von Risikominderungsmaßnahmen und der Stärke der internen Kontrolle, b) die Folgen, die das Eintreten des Ereignisses oder Risikos für das Ansehen der Organisation, ihre finanzielle Lage oder die Erfüllung ihres Mandat hätte, c) das strategische und operative Restrisiko, das heißt das Risiko, das nach Berücksichtigung des risikomindernden Einflusses der Kontrollmechanismen und der Risikomanagementtechniken verbleibt.
L'évaluation des risques sert à établir, pour chaque activité soumise à l'audit : a) quelle est la probabilité ou la possibilité qu'un événement se produise ou qu'un risque se matérialise (abstraction faite de l'effet des mesures prises pour limiter les risques et de la qualité du dispositif de contrôle interne); b) les conséquences que subirait l'entité ou les risques qu'elle courrait, du point de vue de sa réputation, de sa situation financière ou de l'exécution de son mandat, si l'événement se produisait ou si le risque se matérialisait; et c) quels sont les risques résiduels, c'est-à-dire ceux qui subsistent, sur les plans stratégique et opérationnel, une fois prise en compte l'incidence du dispositif de contrôle et des techniques de gestion des risques.