Untuk menetapkan faktor risiko yang relevan, auditor perlu mengumpulkan informasi dari berbagai sumber. Pemahaman yang mendalam atas operasi klien akan sangat membantu dalam menentukan faktor-faktor mana yang paling berpengaruh. Setidaknya ada dua sumber utama yang dapat digali oleh auditor.
Sumber pertama adalah hasil audit sebelumnya dan laporan lainnya. Laporan-laporan ini dapat memberikan petunjuk mengenai kelemahan yang ada. Beberapa hal yang bisa diangkat menjadi faktor risiko dari laporan ini adalah kualitas respon manajemen terhadap rekomendasi audit, banyaknya temuan berulang, atau lamanya waktu sejak audit terakhir dilakukan di unit tersebut.
Sumber kedua yang sangat berharga adalah konsultasi dengan manajemen senior. Diskusi dengan pimpinan organisasi dapat mengungkap informasi penting yang tidak tertulis, seperti area operasi mana yang mereka anggap paling membutuhkan perbaikan, atau risiko-risiko utama yang menjadi perhatian mereka. Kombinasi dari analisis dokumen dan diskusi ini akan menghasilkan daftar faktor risiko yang komprehensif.
