在计划业务时，内部审计师应该针对与组织活动有联系的风险制定目标和

A、不正确。审查公司目标是第一步，风险是阻碍目标实现的因素，不清楚目标，风险无从谈起。B、不正确。应该先确定公司面临的风险，然后观察并分析控制措施。C、不正确。应该先确定公司面临的风险，然后再对风险进行优先排序。D、正确。见题解A。

正确答案是C。根据IIA的《框架》的规定，内部审计师可以在多大程度上向高层管理人员和董事会披露咨询业务的结果不受被审计单位的限制。在确实咨询业务结束后开展保证业务的目标和范围时，应在多大程度上应用咨询业务的结果不用与被审计单位达成谅解。所以在开展咨询业务之前，内部审计师应该与被审计单位就咨询业务目标和客户与内部审计师各自的责任达成谅解。

A正确，根据标准2210.A2，内部审计师在制定业务目标时，应考虑到存在重大错误、不合规、违法及其它风险暴露的可能性。在咨询业务中，咨询业务目标应按与客户达成协议的范围关注风险、控制及治理过程（标准2210.C1）。B不正确，业务目标必须在书面业务工作方案的编写之前确定。C不正确，目标确定了要开展的审计程序。D不正确，内部审计师确定所需资源以实现业务目标。

A不正确，风险管理流程随组织业务活动的规模和复杂性而变化。B正确。内部审计师应该有责任就组织的风险管理流程的充分性向董事会与管理层提供确认。这种责任要求他们对风险管理流程是否充分到足以保护组织的资产、声誉与持续的经营形成意见。为了上述目标，内部审计师必须确信组织的风险管理流程是否着眼于五个关键目标，即：(1)找出业务战略与活动领域的风险并进行优先排序；(2)管理层和董事会已经确定了组织可以接受的风险水平，包括为实现组织的战略计划而接受的风险；(3)设计并开展了风险减轻活动，将风险降低、管理在管理层和董事会可以接受的水平；(4)开展持续的监督活动，定期对风险和控制的有效性进行再评估，以便管理风险；(5)董事会和管理层定期收到风险管理流程的结果报告。组织的公司治理过程应该包括定期向利益关系方传达风险、风险战略和控制情况。C不正确，管理层和董事会确定组织可接受的风险水平。D不正确，评价管理层的风险过程要区别于内部审计师在计划业务时所采用的风险评估，但在制订业务计划时所取得的综合性风险管理流程的信息是有用的。

内部审计师不仅要关注风险高的领域，还要关注风险低的领域。

Ⅱ和Ⅲ是内部审计师在制定审计业务目标时应该考虑的。

A不正确，财务报表认定的重大误报的风险是由固有风险、控制风险和检查风险组成的，这些风险在美国注册会计师协会的审计准则中定义。B正确。根据《框架》，业务目标和程序应该针对与被审计活动有关的风险。“风险”是指可能影响目标实现的事件发生的不确定性。风险根据后果和可能性来衡量。在业务计划阶段风险评估的目标是确认应该作为潜在业务目标得到检查的重要领域。C不正确，没有坚持组织的政策、计划和程序或遵守相应的法律和法规仅仅是产生不能缓和的风险的一种类型的不利影响。D不正确，没有实现既定的业务和项目的目标和目的仅仅是产生不能缓和的风险的一种类型的不利影响。

A.正确。根据《框架》，内部审计师在制定业务目标时，应考虑到存在重大错误、不合规、违法及其他风险暴露的可能性。在咨询业务中，咨询业务目标应按与客户达成协议的范围关注风险、控制及治理过程。B.不正确，业务目标必须在书面业务工作方案的编写之前确定。C.不正确，目标确定了要开展的审计程序。D.不正确，内部审计师确定所需资源以实现业务目标。

在发生灾难后，首要工作是分析灾难发生的可能性、可能范围和后果，以便制定有针对性、更适用的灾难管理程序，所以第一步应该是开展风险分析。