A Na análise de riscos não devem ser considerados os controles existentes de modo a se conhecer o risco em sua inteireza.
B Ações de controle são as medidas que modificam (ou pretendem modificar) o nível do risco, podendo ser qualquer processo, política, dispositivo, prática ou outras ações que tenham essa finalidade.
C Risco pode ser definido como um evento que ao acontecer pode gerar efeitos nos objetivos, sendo definido apenas em função de seu impacto.
D O fator redutor de nível de risco é utilizado em função da potência das medidas que serão propostas em função dos riscos identificados.
E É papel da auditoria interna implementar respostas a riscos em nome da administração.