Ao auditar instituições financeiras comerciais, o risco de auditoria relacionado a essa complexa atividade é o somatório dos riscos de distorção relevante e do risco de controle.

Em auditoria, quando a população é muito grande, deve-se realizar a amostragem, que é a aplicação de procedimentos exclusivamente estatísticos na totalidade da população para a seleção de uma amostra representativa do estudo.

Caso desconfie que um documento analisado não seja fidedigno e pretenda caracterizar possível fraude de adulteração desse documento, o auditor deve aplicar um procedimento adicional de auditoria que busque aumentar a quantidade de indícios da irregularidade, o que se relaciona com a adequação da evidência.

O ambiente de controle é influenciado pela atitude ampla e consciente da alta administração de uma entidade em relação à importância do controle interno.

Um auditor deve se ater aos aspectos quantitativos dos desvios amostrais obtidos nas amostragens estatísticas, uma vez que os desvios causados por aspectos qualitativos são pouco relevantes para a auditoria.

A categoria informação e comunicação relaciona-se à confiabilidade dos relatórios e das demonstrações financeiras publicadas.

Um dos requisitos do componente informação e comunicação é assegurar que os sistemas informatizados sejam periodicamente revisados, atualizados e validados, para garantir a produção de informações adequadas e confiáveis.

Considere a seguinte situação hipotética.
Uma pesquisa realizada por uma empresa de auditoria identificou que a maior divergência de opinião entre os participantes referia-se às recomendações da auditoria, sendo que, para 74% dos executivos entrevistados, elas são construtivas, factíveis e contribuem para a geração de valores à organização.
Em face dessa situação, é correto afirmar que a informação mencionada é coerente com a finalidade da auditoria interna, pois esta pretende agregar valor ao resultado da organização e fazer recomendações que visam fornecer soluções para as não conformidades apontadas nos relatórios.

O processo de avaliação de riscos envolve requisitos de formalização e estruturação, o que impede sua aplicação a entidades de pequeno porte.

Um controle interno efetivo pressupõe a existência de mecanismos que antecipem, identifiquem e permitam reagir a eventos que possam afetar o alcance dos objetivos da entidade.