A parte que fala sobre planejamento de auditoria interna da IN CGU 3/2017 é bem longa. Como sempre, vou destacar o que acho mais "UOU" para a prova de auditor:

• O resultado do planejamento é um plano de auditoria interna baseado em riscos
• As expectativas da alta administração devem ser consideradas
• A documentação das auditorias deve ser publicada pelo menos anualmente
• O planejamento deve ser FLEXÍVEL, afinal, mudanças organizacionais acontecem com frequência

O texto original da IN CGU 3/2017 está logo a seguir.

Planejamento

84. A definição do Plano de Auditoria Interna é a etapa de identificação dos trabalhos a serem realizados prioritariamente pela UAIG em um determinado período de tempo. O planejamento deve considerar as estratégias, os objetivos, as prioridades, as metas da Unidade Auditada e os riscos a que seus processos estão sujeitos. O resultado é um plano de auditoria interna baseado em riscos.
85. A UAIG deve realizar a prévia identificação de todo o universo auditável e considerar as expectativas da alta administração e demais partes interessadas em relação à atividade de auditoria interna para a elaboração do Plano de Auditoria Interna, bem como, a análise de riscos realizada pela Unidade Auditada por meio do seu processo de gerenciamento de riscos.
86. Caso a Unidade Auditada não tenha instituído um processo formal de gerenciamento de riscos, a UAIG deve se comunicar com a alta administração, de forma a coletar informações sobre suas expectativas e obter entendimento dos principais processos e dos riscos associados. Com base nessas informações, a UAIG deverá elaborar seu Plano de Auditoria Interna, priorizando os processos ou unidades organizacionais de maior risco.
87. Os auditores internos governamentais devem considerar em seu planejamento os conhecimentos adquiridos em decorrência dos trabalhos de avaliação e consultoria realizados sobre os processos de governança, de gerenciamento de riscos e de controles internos da gestão.
88. O Plano de Auditoria Interna deve considerar a necessidade de rodízio de ênfase sobre os objetos auditáveis, evitando o acúmulo dos trabalhos de auditoria sobre um mesmo objeto, de forma a permitir que objetos considerados de menor risco também possam ser avaliados periodicamente.
89. A avaliação de riscos que subsidie a elaboração do Plano de Auditoria Interna da UAIG deve ser discutida com a alta administração e documentada, pelo menos, anualmente.
90. As UAIG devem estabelecer canal permanente de comunicação com as áreas responsáveis pelo recebimento de denúncias da Unidade Auditada e de outras instâncias públicas que detenham essa atribuição, de forma a subsidiar a elaboração do planejamento e a realização dos trabalhos de auditoria interna.
91. Ao considerar a aceitação de trabalhos de consultoria e a sua incorporação ao Plano de Auditoria Interna, o Responsável pela UAIG deve avaliar se os resultados desses trabalhos contribuem para a melhoria aos processos de governança, de gerenciamento de riscos e de controles internos da Unidade Auditada.
92. O planejamento da UAIG deve ser flexível, considerando a possibilidade de mudanças no contexto organizacional da Unidade Auditada, a exemplo de alterações no planejamento estratégico, revisão dos objetivos, alterações significativas nas áreas de maior risco ou mesmo alterações de condições externas.