确定相关风险因素

　　即在10类被审事项中，要确定哪些事项会给组织带来风险。在制定计划时风险因素不宜列得太多，以致失去重点;也不宜列得太少，以保证风险评估的全面性。在《标准》中列举的风险因素有14种：

　　(1)管理层对完成目标的道德观念和紧迫感。

　　(2)人员的胜任能力、恰当性和完整性。

　　(3)资产的规模、流动性或经济业务的数额。

　　(4)财务和经济状况。

　　(5)竞争条件。

　　(6)经营业务的复杂性和易变性。

　　(7)顾客、供应商和政府法规的变动。

　　(8)信息系统电算化程度和变化。

　　(9)经营活动的地理分布。

　　(10)内部控制系统的恰当性和有效性。

　　(11)组织、经营、技术或经济变化。

　　(12)管理层的判断和会计预测。

　　(13)对审计结果的认可和采取的纠正行动。

　　(14)上次审计的日期和结果。

　　第三阶段：对被审者进行排序

　　就是在第二阶段的基础上，进一步确定先审谁，后审谁，在工作日程表上排个先后顺序。《标准》提出比较相关风险的7项标准：

　　(1)上次审计日期及结果。上次审计间隔期长的，问题多的，应当先审。

　　(2)财务暴露的问题。涉及的金额大的先审。

　　(3)可能出现的损失和风险。可能出现的损失和风险大的先审。

　　(4)管理层的要求。管理层有要求的先审。

　　(5)经营、方案、制度和控制系统有重大变动的先审。

　　(6)获得经营效益的机会。能使审计机构获得较大审计效益的先审。

　　(7)审计人员的变动及工作能力。第1-6点是讲客观需要，此处则讲主观条件。看内审机构有没有能力来完成这么多任务。有就多安排，没有就少安排。在制定计划时要留有余地。

　　内审部门在制定工作日程表时应广泛听取各方面的意见。包括：董事会及各种管理人员的意见;外部审计师的意见;法律、法规的要求;对财务和经营情况的分析;审计前掌握的资料以及行业或经济发展的趋势。在此基础上对工作日程表作恰当的调整。

　　工作日程表制定出来之后，应定期进行评估，如果风险因素发生了重大变化，应作适当调整。

　　风险评估通常每年进行一次，根据情况变化，重新排列优先审计顺序。