As informações fornecidas pela alta administração e pelo conselho não precisam ser consideradas no processo de planejamento dos trabalhos da auditoria interna.

O executivo chefe de auditoria deve identificar e considerar as expectativas da alta administração e do conselho acerca dos pareceres e de outras conclusões de auditoria interna, mas não das outras partes interessadas.

O planejamento dos trabalhos da atividade de auditoria interna deve se basear em uma avaliação de risco documentada, realizada, pelo menos, anualmente.

O executivo chefe de auditoria deve se basear, ao considerar a aceitação de propostas de trabalhos de consultoria, no potencial desses trabalhos para aperfeiçoar o gerenciamento de riscos, sem se preocupar com a melhoria das operações da organização.

O executivo chefe de auditoria deve estabelecer um plano com base em riscos para determinar as prioridades da atividade de auditoria interna, dissociado das metas da organização.