A auditoria interna pode ser exercida nas pessoas jurídicas de direito público, interno ou externo, e de direito privado, incluindo, dessa forma, o Metrô, e compreende, dentre outros, o gerenciamento de riscos. A avaliação dos riscos de auditoria, seja pelo volume ou complexidade das transações e operações, deve ser feita