As empresas devem fazer auditoria em seus sistemas mas não em todos, devido a seu custo. Para tanto, os sistemas são avaliados quanto ao risco que representam para a empresa e são auditados prioritariamente os sistemas de maior escore de risco. São fatores que influenciam o escore de risco de um sistema:
capacidade dos profissionais da equipe de desenvolvimento, idade do sistema e número de requisitos funcionais
custo do sistema, número de requisitos funcionais e visibilidade do cliente
custo do sistema, nível de documentação existente e complexidade dos cálculos
volume médio diário de transações processadas, valor diário das transações em reais e impacto em outros sistemas
visibilidade do cliente, volume médio diário de transações processadas e idade do sistema