Os fatores de risco são empregados para identificar a importância relativa das condições e eventos que poderiam afetar adversamente a organização, podendo ser classificados em quantitativos ou qualitativos.

Para a atribuição de alguma medida aos fatores de risco definidos se mostra necessário que haja dados disponíveis.

O que caracteriza os critérios quantitativos é que podem ser mensurados em alguma medida, sendo o principal exemplo, a materialidade.

Não podem ser utilizados critérios que não possam ser associados a todos os objetos de auditoria, de modo a ser viável a compatibilidade entre objetos.