Il rischio di audit è la possibilità che le prove, i controlli o la documentazione di un'organizzazione non soddisfino un requisito di audit. Può sorgere quando manca un processo richiesto, quando non funziona come previsto o quando non è possibile dimostrarlo con registrazioni affidabili.
Nella cybersicurezza, il rischio di audit è importante perché le sole politiche non dimostrano che le misure di protezione funzionino nella pratica. Per l'accesso remoto dei fornitori, un'organizzazione potrebbe dover dimostrare chi si è connesso, come viene controllato o disabilitato l'accesso e se vengono rilevate comunicazioni sospette. Inventari degli accessi, registri delle sessioni, avvisi e procedure testate possono contribuire a fornire tali prove. Le discrepanze tra i piani scritti e le configurazioni effettive possono sollevare dubbi in sede di audit, anche in assenza di un incidente di sicurezza confermato o di una violazione della conformità.