Bei der Risikobewertung wird für jede zu prüfende Aktivität Folgendes ermittelt: a) die Wahrscheinlichkeit, dass ein Ereignis oder Risiko eintreten könnte, ohne Berücksichtigung der Auswirkungen von Risikominderungsmaßnahmen und der Stärke der internen Kontrolle, b) die Folgen, die das Eintreten des Ereignisses oder Risikos für das Ansehen der Organisation, ihre finanzielle Lage oder die Erfüllung ihres Mandat hätte, c) das strategische und operative Restrisiko, das heißt das Risiko, das nach Berücksichtigung des risikomindernden Einflusses der Kontrollmechanismen und der Risikomanagementtechniken verbleibt.
7. 风险评估在每一个应审计活动中确定：(a) 在未考虑到降低风险行动以及加强内部控制的效果的情况下，一事件或风险可能发生的可能性或概率；(b) 一旦该事件或风险发生，声誉、经济或任务方面对实体有何影响或风险；以及(c) 余留的战略和业务风险，即考虑了降低控制环境以及风险管理技术的影响后，依然余留的风险。