A avaliação de risco deve ser conduzida exclusivamente por testes substantivos, pois a compreensão dos componentes do sistema de controles internos não influencia a identificação dos riscos de distorção relevante.

A compreensão do sistema de controles internos é obtida por meio de procedimentos que incluem observação, inquéritos e análise de documentos, permitindo ao auditor identificar e avaliar os riscos inerentes e de controle associados a cada componente do sistema.

Os procedimentos de avaliação de risco devem concentrar-se apenas no controle de atividades, uma vez que os demais componentes, como o ambiente de controle e a comunicação, têm impacto mínimo na mitigação dos riscos de fraude e erro.

O auditor pode dispensar a análise dos processos de monitoramento, pois este componente não afeta significativamente a avaliação dos riscos globais da entidade.

A avaliação de risco deve ser realizada somente após a execução dos testes de detalhes, utilizando os resultados desses testes para, posteriormente, compreender os controles internos existentes.