Het inschatten van risico’s vormt een centraal element in de meeste benaderingen van ‘corporate governance’ en de daarmee samenhangende ‘IT-governance’. In dit artikel doen we verslag van een onderzoek naar de wijze waarop ITauditors risico’s inschatten. Het blijkt dat de schatting van het risico veel sterker wordt beïnvloed door de verwachte omvang van de schade bij het acuut worden van een bedreiging dan door de kans dat een bedreiging zich daadwerkelijk realiseert. Ook blijkt dat de veel gehanteerde formule waarin risico wordt gehanteerd als het product van de kans van het optreden van een schade en de verwachte omvang daarvan een minder goede verklaring van risico-inschattingen geeft dan een additieve formule.