El análisis sistemático de riesgos es un enfoque estructurado que ayuda al auditor y, por consiguiente, a la administración a tomar decisiones fundamentadas. Lo básico es contar con una matriz donde se puedan resumir los resultados de la evaluación inicial.
El primer criterio es tener en cuenta los sectores de examen que hacen alusión a las tareas específicas que son llevadas a cabo en la entidad o en una unidad orgánica. En la matriz, éstas ocupan las filas. Luego, se establecen los criterios de evaluación, que pueden ser numerosos. Entre ellos se presentan: Sistema de control interno, complejidad de las tareas, ponderación financiera, modificaciones y observaciones.
Los criterios principales se subdividen en criterios parciales, a los cuales se pueden asignar valores de ponderación: