Matriz de risco como instrumento no planejamento de auditoria de obras públicas: uma proposta metodológica não-paramétrica