常见的风险分析主要包括风险识别、频率分析以及后果分析。现如今风险分析已经成为决定内部审计方向的基础。
风险分析主要按照三个步骤执行：
1.风险识别。需要识别出潜在的危险事件，以及与系统相关的危险和威胁。同时，也需要识别出可能会受到损害的资产。
2.频率分析。需要进行演绎分析，识别出每一个危险事件的成因。同时根据经验数据和专家判断预测危险事件的频率。
3.后果分析。需要进行归纳分析，识别所有由危险事件引起的潜在后果。归纳分析的目标通常是找出所有可能的最终结果，以及它们发生的概率。
《内部审计实务标准》指出，“首席审计执行官必须建立以风险为基础的计划来决定审计活动的优先性，并且与公司目标相协调一致”“内部审计活动的参与计划必须以至少一年一次的风险评估为基础”。
《标准》关于内部审计的定义是：“内部审计是采用一种系统化、规范化的方法来对机构的风险管理、控制及监督过程进行评价进而提高它们的效率，帮助机构实现目标”。关于首席审计官的职责，《标准》第二部分“工作标准”第2010款关于制定审计计划中指出：首席执行主管应根据风险制定审计计划，确定符合机构目标的内部审计重点。《标准》将内部审计工作完全引上了风险审计的道路，这对内部审计理论的研究以及内部审计实务工作有着指导性的意义，对内部审计人员也提出了更为具体明确的工作要求。
目前，我国内部审计准则已由条例修订成准则，其中第16项准则“风险管理审计”体现了我国把企业内部审计工作与企业战略决策和风险管理直接相衔接的导向。近年来，我国风险导向的内部审计工作已经取得一定成效，但企业所面临的市场环境又是相当严峻的，作为内部审计工作人员，应该认识到风险审计工作的重要性，积极实现内部审计的增值作用。