Ein Risikouniversum ist die geordnete Gesamtheit relevanter Risikoarten und -objekte einer Organisation, typischerweise strukturiert nach Themen, Prozessen oder Einheiten; es bildet den Rahmen, in dem einzelne Risiken beschrieben, bewertet und priorisiert werden, und dient als gemeinsame Referenz für Risiko, Revision und andere Funktionen.

Risikobewertung bezeichnet den strukturierten Prozess, mit dem die Bedeutung eines Risikos anhand festgelegter Kriterien wie Auswirkung, Eintrittswahrscheinlichkeit, Steuerbarkeit oder zeitlicher Dringlichkeit eingeschätzt wird; Ziel ist nicht exakte Vorhersage, sondern eine nachvollziehbare Einstufung für Entscheidungen.

Risikopriorisierung ist die Entscheidung, welche der bewerteten Risiken angesichts begrenzter Ressourcen zuerst behandelt werden sollen, dies geschieht auf Basis dokumentierter Kriterien und Gewichtungen und führt zu einer Reihenfolge, die als Grundlage für Auditplanung und Maßnahmensteuerung dient.

Ein Auditplan ist die strukturierte Übersicht geplanter Prüfungen einer internen oder externen Prüfungsfunktion für einen bestimmten Zeitraum, idealerweise mit erkennbarer Zuordnung zu priorisierten Risiken, Verantwortlichkeiten und zeitlicher Abfolge der Prüfungen.

Schlüsselkontrollen sind ausgewählte Maßnahmen oder Prozessschritte, die wesentlich zur Begrenzung wichtiger Risiken beitragen sollen; in der Risikopriorisierung spielen sie eine Rolle, weil ihr Vorhandensein und ihre Wirksamkeit die Einstufung eines Risikos beeinflussen können.

Kontinuierliches Monitoring bezeichnet laufende Aktivitäten zur Beobachtung definierter Indikatoren oder Signale für bestimmte Risiken, um Veränderungen frühzeitig zu erkennen und gegebenenfalls Prioritäten, Auditpläne oder Maßnahmen anzupassen, ohne auf den nächsten Planungszyklus warten zu müssen.

Risikogremien sind formelle oder informelle Gruppen, in denen wesentliche Risikothemen besprochen, Bewertungen abgestimmt und Prioritäten festgelegt werden; ihre Zusammensetzung und Arbeitsweise beeinflussen maßgeblich, wie transparent und konsistent Risikopriorisierung erfolgt.

Risikoreporting umfasst die regelmäßige Berichterstattung über identifizierte, bewertete und priorisierte Risiken an verschiedene Adressaten, etwa Management oder Aufsichtsgremien, und bildet die Grundlage dafür, dass Entscheidungen zu Audits und Maßnahmen auf einer gemeinsamen Informationsbasis getroffen werden.