Na avaliação do risco de auditoria, o auditor deve avaliar o ambiente de controle da entidade, excetuando