Quando presentes os atributos necessários para utilização do cadastro de riscos da unidade auditada, a unidade de auditoria interna governamental deverá providenciar a vinculação dos riscos aos objetos estabelecidos no universo de auditoria.

E vedada a seleção dos trabalhos com base na avaliação de riscos realizada pela unidade auditada.

Se houver segurança razoável de que o processo de gerenciamento de riscos da unidade auditada apresenta alto nível de maturidade, o plano de auditoria interna ficará limitado aos riscos identificados e mensurados pela organização.

Para que o resultado do processo de levantamento e de avaliação dos riscos seja condizente com a realidade e útil, e vedada a interação da unidade de auditoria interna governamental com a alta administração no decorrer de seu desenvolvimento.

Quando a própria unidade de auditoria interna governamental promove a identificação dos riscos, a lista de riscos identificados constitui uma lista de riscos de controle, ou seja, os riscos próprios da atividade, considerando-se que não houvesse controles para mitigá-los.