Институт внутренних аудиторов

И им будет не внутренний аудитор

Да, в практике часто тоже использую короткие формулировки риска, без подробного рассмотрения последствий.

Еще один интересный вариант - это разбить риски по разным уровням детализации, например сформулировать риск 1 уровня как:
Риск 1: Потеря топлива при его передаче из танкера в резервуар.
Тогда риски 2 уровня будут:
Риск 1.1: потеря топлива вследствие поломок/аварий в топливной системе и
Риск 1.2: хищение топлива при его передаче из танкера в резервуар
Соответственно, риски более низкого уровня могут быть сформулированы, как:
Риск 1.1.1: негерметичное присоединение топливных шлангов, что может привести к аварийному разливу топлива.
Риск 1.1.2: установка повышенного давления в топливной системе, что может привести к ее поломке/авариям.
Мы можем продолжать расширять этот список. Что здесь хорошо, так это то, что разные уровни рисков могут быть адресованы на разные управленческие уровни компании. Например риск 1, уровня может периодически выноситься на уровень локального комитета по рискам, риски второго уровня - быть в зоне постоянного внимания менеджмента, риски третьего уровня адресуются в первую очередь специалистам, ответственным за повседневное выполнение операций. Аудиторы могут использовать риски 1 уровня, например, для планирования аудиторских проверок, а риски третьего уровня при подготовке аудиторских программ и выполнении полевой работы.