A potencial perda para uma organização, que traga descrédito ou possa afetar negativamente seus objetivos, caracteriza-se como risco. Conforme descreve o Manual de Auditoria do Município de São Gonçalo, bem como conceitua a Estrutura Conceitual COSO, o risco de não haver um bom sistema de controles internos que previna ou detecte, em tempo hábil, erros ou irregularidades relevantes, relacionando-se à vulnerabilidade, define-se como risco: