O planejamento dos trabalhos deve ser baseado em uma avaliação documentada de risco, realizada pelo menos anualmente, em que as informações fornecidas pela alta administração são consideradas nesse processo.

O executivo chefe de auditoria deve comunicar o planejamento da atividade de auditoria interna ao conselho para revisão e aprovação, sendo vedada a comunicação à alta administração para assegurar a independência dos trabalhos.

O planejamento dos trabalhos deve ser baseado em uma avaliação subjetiva de risco, realizada pelo menos bianualmente, em que as informações fornecidas pela alta administração não devem ser consideradas nesse processo para garantir a independência dos trabalhos.

O planejamento dos trabalhos deve ser baseado em uma avaliação de risco feita pela auditoria externa, realizada pelo menos bianualmente, em que as informações fornecidas pela alta administração não devem ser consideradas nesse processo para garantir a independência dos trabalhos.