Explique a avaliação de risco.

Vamos pegar o conteúdo do Manual de Auditoria Financeira do TCU, que traz também a Estrutura de Controle Interno do COSO:

O auditor deve entender se a entidade tem processo para:

a. identificar riscos de negócio relevantes para os objetivos das demonstrações financeiras;

b. estimar a significância dos riscos;

c. avaliar a probabilidade de sua ocorrência; e

d. decidir sobre ações em resposta a esses riscos (ISSAI 1214; ISA/NBC TA 315).

Avaliação de risco (COSO)

A administração deve definir os objetivos claramente e as tolerâncias a risco para permitir a identificação de riscos: 6.1. Definir objetivos em termos específicos e mensuráveis; 6.2. Definir tolerância ao risco para os objetivos definidos.
A administração deve identificar, analisar e responder os riscos relacionados ao alcance dos objetivos definidos: 7.1. Identificar riscos de origem interna ou externa ao alcance dos objetivos; 7.2. Analisar riscos em termos de probabilidade e impacto nos objetivos; 7.3. Responder aos riscos (aceitar, evitar, reduzir ou compartilhar).
A administração deve considerar o potencial de fraude ao identificar, analisar e responder aos riscos: 8.1. Considerar os tipos de fraudes que podem ocorrer; 8.2. Considerar fatores de riscos de fraudes; 8.3. Responder aos riscos de fraudes.
A administração deve identificar, analisar e responder às mudanças significativas que podem causar impacto no sistema de controle interno: 9.1. Identificar as mudanças significativas; 9.2. Analisar e responder a essas mudanças.