O planejamento deve considerar as estratégias, os objetivos, as prioridades, as metas da Unidade Auditada e os riscos a que seus processos estão sujeitos. O resultado é um plano de auditoria interna baseado em riscos.

Caso a Unidade Auditada tenha instituído um processo formal de gerenciamento de riscos, a Unidade de Auditoria Interna Governamental deve se comunicar com a alta administração, de forma a coletar informações sobre suas expectativas e obter entendimento dos principais processos e dos riscos associados. Com base nessas informações, a alta administração deverá elaborar seu plano de gestão, priorizando os processos ou unidades organizacionais de menor risco.

O Plano de Auditoria Interna deve considerar a necessidade de rodízio de ênfase sobre os objetos auditáveis, evitando o acúmulo dos trabalhos de auditoria sobre um mesmo objeto, de forma a permitir que objetos considerados de menor risco também possa ser avaliados periodicamente.

As Unidades de Auditoria Interna Governamentais devem estabelecer canal permanente de comunicação com as áreas responsáveis pelo recebimento de denúncias da Unidade Auditada e de outras instâncias públicas que detenham essa atribuição, de forma a subsidiar a elaboração do planejamento e a realização dos trabalhos de auditoria interna.