Menilai risiko proses dan menyusun prioritas audit

SPI tidak bisa mengaudit semua proses setiap tahun, jadi rencananya disusun berbasis risiko. SKKNI unit P.84GIA00.020.1 meminta tujuan, proses bisnis, dan masalah utama organisasi dianalisis, lalu risiko inheren, risiko pengendalian, dan risiko residual dipetakan untuk menentukan prioritas area pengawasan. Green Book (7.03) mendefinisikan risiko inheren sebagai risiko bila manajemen tidak meresponsnya, dan risiko residual sebagai sisanya setelah respons. Signifikansi risiko dinilai dari besaran dampak, kemungkinan terjadi, dan sifatnya, misalnya apakah melibatkan kecurangan (7.08).

Kelas ini memakai skema sederhana yang selalu ditulis lengkap di soal: dampak dan kemungkinan masing-masing berskala 1–5; skor inheren = dampak × kemungkinan; mutu pengendalian yang sudah diketahui diberi faktor, misalnya 0,3 untuk kuat, 0,6 untuk sedang, dan 1,0 untuk lemah atau belum dinilai; skor residual = skor inheren × faktor. Proses dengan skor residual tertinggi diaudit lebih dulu. Skala dan faktornya berbeda di tiap organisasi, karena itu tidak dihafal. Konsep inheren dan residual sendiri dibahas lebih rinci di kelas Manajemen Risiko (mr-l11).