§ 28
(1) Program konkrétního auditu se vypracuje na základě ročního plánu interního auditu (§ 30 odst. 1, 3 až 5 zákona).
(2) Je-li výkon konkrétního auditu operativně zařazen mimo schválený roční plán (§ 30 odst. 6 zákona), zejména v případech podezření na možný výskyt nepředpokládaných rizik, která by mohla nepříznivě ovlivnit činnost orgánu veřejné správy, nebo při bezprostředním zjištění takových rizik, vypracuje se program konkrétního auditu podle konkrétního zadání.
(3) Zaměstnanci útvaru interního auditu pověření jeho výkonem (dále jen "interní auditoři") při vypracování programu pro výkon finančních auditů [§ 28 odst. 4 písm. a) zákona], auditů systému [§ 28 odst. 4 písm. b) zákona], auditů výkonu [§ 28 odst. 4 písm. c) zákona] nebo jinak zaměřených auditů
a) ověří svou znalost o činnosti zajišťované orgánem veřejné správy, jeho organizačním útvarem, vedoucími a ostatními zaměstnanci (dále jen "auditovaný subjekt") prostřednictvím získaných a předběžně vyhodnocených informací o
1. konkrétní funkci a určených úkolech auditovaného subjektu při zajišťování stanovených úkolů a schválených záměrů a cílů orgánu veřejné správy (dále jen "auditovaná činnost") a o místě a postavení auditovaného subjektu v organizační struktuře vnitřních a vnějších vztahů,
2. ekonomickém a právním prostředí, ve kterém je auditovaná činnost zajišťována, zejména o zdrojích a vývoji financování, schválených veřejných příjmech a veřejných výdajích, právních předpisech a přijatých opatřeních v mezích těchto právních předpisů, stanovených postupech, smlouvách a jiných skutečnostech, významných pro auditovanou činnost,
3. organizační struktuře, personálním zajištění a rozdělení odpovědností, povinností a oprávnění auditovaného subjektu v rámci přímé nebo funkční podřízenosti v systému finančního řízení zabezpečujícího hospodaření s veřejnými prostředky orgánu veřejné správy při uskutečňování operací k zajištění auditované činnosti,
4. systémech finanční kontroly, kterými jsou auditované činnosti řízeny a kontrolovány,
5. hlavních rizicích spojených s auditovanou činností, která byla zapracována do ročního plánu interního auditu, a o jejich významnosti ve vztahu k realizovaným nebo předpokládaným změnám, které mohou mít vliv na auditovanou činnost a na případné přehodnocení konkrétních cílů auditu,
b) definují cíle připravovaného konkrétního auditu, jejichž splněním se dosáhne splnění úkolů ročního plánu interního auditu nebo splnění úkolů v zadání operativně zařazeného auditu,
c) určí potřebné informace, jejichž pomocí lze dosáhnout konkrétních cílů připravovaného auditu a které bude třeba shromáždit vlastní činností nebo z podkladů auditovaného subjektu anebo z jiných zdrojů,
d) vypracují auditní postup na základě
1. zvolených kontrolních metod ke shromáždění informací, které bude nutné získat k dosažení konkrétních cílů připravovaného auditu,
2. získaných a předběžně vyhodnocených informací o auditovaném subjektu,
3. posouzení potřeby provedení odborných posudků přizvanými osobami,
4. zhodnocení plnění opatření stanovených předcházejícím auditem, zejména v návaznosti na dříve zjištěné nedostatky v dané oblasti,
e) vypracují program auditu, který obsahuje vždy údaje o
1. auditovaném subjektu,
2. zaměření interního auditu na finanční audit, audit systému, audit výkonu nebo jinak zaměřený audit,
3. datu zahájení auditu a předpokládané době jeho trvání,
4. složení auditorského týmu s jmenovitým uvedením vedoucího týmu,
5. cílech, kterých má být auditem dosaženo,
6. prověření účinnosti vnitřního kontrolního systému orgánu veřejné správy,
7. vymezení případných rizik spojených s auditovanou činností,
8. schválení vedoucím útvaru interního auditu,
9. upozornění, že případné změny v programu auditu neprodleně schvaluje vedoucí útvaru interního auditu.