다음은 해당 업무의 위험요인을 파악하고 이를 토대로 IT활용감사 적용 가능성을 분석해야 한다. 위험요인은 기존 감사사례를 통해 파악하는 방법과 내부통제장치에 대한 분석을 통해 파악하는 방법으로 구분된다. 감사사례는 감사원 및 자체감사기구의 감사지적사례를 정리하며, 가급적 대상 업무의 지협적인 사례보다는 핵심 기능을 중심으로 정리하는 것이 필요하다. 이는 대상기관의 정보시스템은 대상 업무별 핵심기능에 대해 데이터가 관리되어 있어 세부적인 사항은 대부분 시스템에서 관리되어 있지 않기 때문이다. 그리고 내부통제장치에 대한 분석은 회계통제 및 업무통제에 대한 체크리스트를 통해 분석할 수 있다(이오․오윤섭․이석로, 2010). 감사대상 업무에 대한 위험요인이 정리되면 데이터의 가용성 여부를 고려하여 분석 시나리오를 도출한다.
위험요인 파악은 핵심 기능 중심의 기존 감사사례 파악과 회계, 업무 통제 체크리스트 분석 중심의 내부 통제장치 분석 파악 방법으로 구분된다. 위험요인이 정리되면 분석 시나리오를 도출한다.