A Se a UAIG for obrigada a realizar sua própria avaliação de riscos (por imaturidade ou inexistência da gestão de riscos na Unidade Auditada), o modelo preconiza que a classificação dos objetos de auditoria (processos) seja feita por meio da associação dos riscos-chave identificados e avaliados no nível dos macroprocessos, culminando no somatório do nível de risco para cada processo.
B A seleção dos trabalhos com base em fatores de risco (materialidade, criticidade etc.) é o método preferencial a ser aplicado, pois oferece uma forma objetiva de priorização. Apenas em caso de inexistência de dados sobre esses fatores é que a UAIG deve recorrer à avaliação de riscos realizada pela Unidade Auditada.
C O processo de planejamento do PAINT pressupõe que a UAIG concentre seus trabalhos nos objetos com maior exposição ao risco residual, sendo este o risco remanescente após a consideração dos controles internos implementados pela gestão.
D Se a Unidade Auditada não possuir um processo formal de gerenciamento de riscos, a UAIG deve se comunicar com a alta administração, coletar informações sobre os principais processos e riscos associados e, em seguida, assumir temporariamente a responsabilidade pela avaliação e tratamento desses riscos, para garantir a priorização do PAINT.
E O Plano de Auditoria Interna deve considerar o rodízio de ênfase sobre os objetos auditáveis, que se aplica exclusivamente aos objetos classificados como de risco muito alto, de forma a garantir a devida cobertura de riscos.