Sebelum dapat mengidentifikasi risiko, seorang auditor harus terlebih dahulu memahami klien atau auditan secara mendalam. Pemahaman ini mencakup tujuan dan sasaran organisasi, struktur, sumber daya, serta mekanisme operasi atau proses bisnis yang dijalankan untuk mencapai tujuan tersebut. Tanpa pemahaman yang komprehensif, identifikasi risiko akan menjadi dangkal dan tidak relevan.
Auditor dapat memperoleh pemahaman ini dari berbagai sumber. Dokumen perencanaan seperti Rencana Strategis dan Anggaran Tahunan (DIPA) memberikan gambaran tentang tujuan dan target kinerja. Peraturan perundang-undangan yang menjadi dasar pembentukan institusi klien menjelaskan fungsi utama dan akuntabilitasnya. Sementara itu, laporan akuntabilitas kinerja memberikan informasi tentang pencapaian dan strategi operasi yang telah dijalankan.
Dengan menyandingkan tujuan organisasi dengan mekanisme operasinya, auditor dapat mulai menilai kecukupan proses bisnis dan mengidentifikasi potensi kerentanan. Pemahaman yang menyeluruh atas proses bisnis klien akan membantu auditor mengenali secara tepat di mana saja titik-titik lemah yang berpotensi menghambat pencapaian tujuan, yang kemudian akan menjadi dasar bagi identifikasi risiko.
