У себя в положении о рисках я прописала - что раз в год проводится внутренний аудит на полноту идентификации опасностей, определения уровня риска и т.д. Соответсвенно в прошлом году я провела оценку рисков в апреле-мае месяце, в апреле-мае месяце издали приказ о проведениии аудита, потом акт (в произвольной форме) о том, что ничего не изменилось и необходимости проведения повторной оценки рисков нет. По одному юр.лицу у меня в штатку добавились как раз несколько новых должностей - в акте указала, что в связи с изменением штатного расписание провести оценку рисков на таких то должностях.