Pada tahap ini, auditor internal harus memahami hal‐hal sebagai berikut.

1. Tingkatan risiko yang dapat diterima manajemen (acceptable level) sesuai

tingkatan selera risiko manajemen (risk appetite).

2. Apakah risiko ditangani oleh satu (individually) atau beberapa (collectively)

pengendalian kunci.

3. Apakah ada pengendalian tambahan (compensating control) dari proses

lain yang turut menekan risiko ke level yang dapat diterima.

4. Apakah desain pengendalian kunci, jika berjalan efektif, dapat menekan

risiko ke level yang dapat diterima.