A gestão de riscos estrutura-se, de modo geral, em três etapas: identificação, avaliação e gerenciamento, aplicadas de forma integrada ao planejamento institucional.

Por ser um processo de natureza eventual, a gestão de riscos deve ser acionada apenas quando a alta administração identificar ameaças concretas ao funcionamento da organização, evitando custos desnecessários em períodos de estabilidade institucional.

A implementação de controles internos, fundamentados na gestão de riscos, tem como foco principal a aplicação de processos sancionadores, de modo a responsabilizar os agentes públicos por eventuais desvios identificados.

A responsabilidade pela gestão de riscos recai exclusivamente sobre as unidades de auditoria interna, cabendo à alta administração apenas receber e homologar os relatórios produzidos por essas unidades.