（四）內部控制的要素
通過對內部控制歷史沿革的分析，可以看出，內部控制的要素，已由20世紀80年代的3要素、20世紀90年代的5要素，發(fā)展至目前的8要素。但是，由于《企業(yè)風險管理——整合框架》發(fā)表的時間不長，其實踐效果有待進一步檢驗，加之《內部控制——整體框架》在10多年的應用實踐中已得到了廣泛認可，因此，一般地，仍以5要素為基礎建立和評價內部控制制度。
1.控制環(huán)境
控制環(huán)境規(guī)定單位的紀律與架構，影響經營管理目標的制定，塑造單位文化氛圍并影響員工的控制意識，是其他內部控制組成要素的基礎。它通常包括下列方面：（1）單位整體的風險意識和風險管理理念；（2）董事會或類似決策機構（以下合稱董事會職能的發(fā)揮，比如董事會與管理層之間的適當分離，董事會成員
的道德、經驗和才干，董事會對經營管理重大決策的參與和監(jiān)督力度等；（3）經理層的誠信和道德價值觀，包括其對投資者、董事會、員工、客戶的誠信等；（4）員工的職業(yè)道德和工作勝任能力，以及管理層為提升員工操守和勝任能力所作出的努力；（5）單位的組織結構設計，盡管沒有統(tǒng)一模式，但所采用的組織結構
應當有利于提升管理效能，并保證信息通暢流動；（6）權力和職責的分配，比如，授權應當適當、對權力應有監(jiān)督等。一般而言，董事會及單位負責人在塑造良好的內部環(huán)境中發(fā)揮關鍵作用
2.風險評估
風險，是指一個潛在事項的發(fā)生對目標實現(xiàn)產生影響的可性。風險本來包括正面影響和負面影響兩個方面，但在內部控制中，通常將風險界定為產生負面影響的可能性。風險評估是指分析和辨認實現(xiàn)有關目標可能發(fā)生的負面風險，以便形成確定應該如何對它們進行管理的依據(jù)。風險與可能被影響的目標，包括戰(zhàn)略目標、營運目標、報告目標、資產目標和合規(guī)目標等相關聯(lián)。單位必須制定與生產、銷售、財務等業(yè)務相關的目標，設立可辨認、分析和管理相關風險的機制，以了解單位所面臨的來自內部和外部的各種不同風險。這些風險通常表現(xiàn)為各種潛在事項和因素，包括經濟因素、自然因素、政治因素、社會因素、技術革新因素等外部因素以及組織結構、人員素質、業(yè)務流程、信息系統(tǒng)等內部因素。在充分識別各種潛在風險因素后，要對固有風險，即不采取任何防范措施可能造成的損失程度進行評估，同時，重點評估剩余風險，即采取了相應應對措施之后仍可能造成的損失程度。確保數(shù)據(jù)來源的可靠性是評估風險的基礎，因此，進行行業(yè)縱向和橫向比較是風險評估中的常用方法。單位管理層在評估了相關風險的可能性和后果，以及成本效益之后，要選擇一系列措施使剩余風險處于期望的風險容限以內。常用的風險應對措施有：風險回避，即改變或回避相關業(yè)務，不承擔相應風險；風險承擔，即比較風險與收益后，愿意無條件承擔全部風險；風險降低，即采取一切措施降低發(fā)生不利后果的可能性；風險分擔，即通過購買保險、外包業(yè)務等方式來分擔一部分風險。風險應對措施往往是結合運用的。
3.控制活動
控制活動是指單位管理層制定和實施政策與程序，以幫助管理層所選擇的風險應對措施得以有效實施。常見的控制活動有：授權批準、實物控制、職責分離、預算控制、會計系統(tǒng)控制、信息系統(tǒng)控制等。
4.信息與溝通
信息與溝通是指單位為了提高管理效能、促進員工全面正確履行職責而搜集、識別、交流各種內部和外部信息。信息與溝通的主要環(huán)節(jié)有：確認、計量、記錄有效的經濟業(yè)務；在財務報告中恰當揭示財務狀況、經營成果和現(xiàn)金流量；保證管理層與單位內部、外部的順暢溝通，包括與利益相關者、監(jiān)管部門、注冊會計師、供應商等的溝通。信息與溝通的方式是靈活多樣的，但無論哪種方式，都應當保證信息的真實性、及時性和有用性。
5.監(jiān)控
監(jiān)控是指由適當?shù)娜藛T評估內部控制的設計和監(jiān)控內部控制運行情況的過程。監(jiān)控活動包括持續(xù)監(jiān)督、個別評估或者兩者有機結合。監(jiān)控情況應當形成書面報告，并在報告中揭示內部控制的重要缺陷。監(jiān)控報告應當有暢通的報告渠道，確保發(fā)現(xiàn)的重要問題能送達管理層；同時，應當建立內部控制缺陷糾正、改進機制，充分發(fā)揮監(jiān)控效力。
通過對內部控制歷史沿革的分析，可以看出，內部控制的要素，已由20世紀80年代的3要素、20世紀90年代的5要素，發(fā)展至目前的8要素。但是，由于《企業(yè)風險管理——整合框架》發(fā)表的時間不長，其實踐效果有待進一步檢驗，加之《內部控制——整體框架》在10多年的應用實踐中已得到了廣泛認可，因此，一般地，仍以5要素為基礎建立和評價內部控制制度。
1.控制環(huán)境
控制環(huán)境規(guī)定單位的紀律與架構，影響經營管理目標的制定，塑造單位文化氛圍并影響員工的控制意識，是其他內部控制組成要素的基礎。它通常包括下列方面：（1）單位整體的風險意識和風險管理理念；（2）董事會或類似決策機構（以下合稱董事會職能的發(fā)揮，比如董事會與管理層之間的適當分離，董事會成員
的道德、經驗和才干，董事會對經營管理重大決策的參與和監(jiān)督力度等；（3）經理層的誠信和道德價值觀，包括其對投資者、董事會、員工、客戶的誠信等；（4）員工的職業(yè)道德和工作勝任能力，以及管理層為提升員工操守和勝任能力所作出的努力；（5）單位的組織結構設計，盡管沒有統(tǒng)一模式，但所采用的組織結構
應當有利于提升管理效能，并保證信息通暢流動；（6）權力和職責的分配，比如，授權應當適當、對權力應有監(jiān)督等。一般而言，董事會及單位負責人在塑造良好的內部環(huán)境中發(fā)揮關鍵作用
2.風險評估
風險，是指一個潛在事項的發(fā)生對目標實現(xiàn)產生影響的可性。風險本來包括正面影響和負面影響兩個方面，但在內部控制中，通常將風險界定為產生負面影響的可能性。風險評估是指分析和辨認實現(xiàn)有關目標可能發(fā)生的負面風險，以便形成確定應該如何對它們進行管理的依據(jù)。風險與可能被影響的目標，包括戰(zhàn)略目標、營運目標、報告目標、資產目標和合規(guī)目標等相關聯(lián)。單位必須制定與生產、銷售、財務等業(yè)務相關的目標，設立可辨認、分析和管理相關風險的機制，以了解單位所面臨的來自內部和外部的各種不同風險。這些風險通常表現(xiàn)為各種潛在事項和因素，包括經濟因素、自然因素、政治因素、社會因素、技術革新因素等外部因素以及組織結構、人員素質、業(yè)務流程、信息系統(tǒng)等內部因素。在充分識別各種潛在風險因素后，要對固有風險，即不采取任何防范措施可能造成的損失程度進行評估，同時，重點評估剩余風險，即采取了相應應對措施之后仍可能造成的損失程度。確保數(shù)據(jù)來源的可靠性是評估風險的基礎，因此，進行行業(yè)縱向和橫向比較是風險評估中的常用方法。單位管理層在評估了相關風險的可能性和后果，以及成本效益之后，要選擇一系列措施使剩余風險處于期望的風險容限以內。常用的風險應對措施有：風險回避，即改變或回避相關業(yè)務，不承擔相應風險；風險承擔，即比較風險與收益后，愿意無條件承擔全部風險；風險降低，即采取一切措施降低發(fā)生不利后果的可能性；風險分擔，即通過購買保險、外包業(yè)務等方式來分擔一部分風險。風險應對措施往往是結合運用的。
3.控制活動
控制活動是指單位管理層制定和實施政策與程序，以幫助管理層所選擇的風險應對措施得以有效實施。常見的控制活動有：授權批準、實物控制、職責分離、預算控制、會計系統(tǒng)控制、信息系統(tǒng)控制等。
4.信息與溝通
信息與溝通是指單位為了提高管理效能、促進員工全面正確履行職責而搜集、識別、交流各種內部和外部信息。信息與溝通的主要環(huán)節(jié)有：確認、計量、記錄有效的經濟業(yè)務；在財務報告中恰當揭示財務狀況、經營成果和現(xiàn)金流量；保證管理層與單位內部、外部的順暢溝通，包括與利益相關者、監(jiān)管部門、注冊會計師、供應商等的溝通。信息與溝通的方式是靈活多樣的，但無論哪種方式，都應當保證信息的真實性、及時性和有用性。
5.監(jiān)控
監(jiān)控是指由適當?shù)娜藛T評估內部控制的設計和監(jiān)控內部控制運行情況的過程。監(jiān)控活動包括持續(xù)監(jiān)督、個別評估或者兩者有機結合。監(jiān)控情況應當形成書面報告，并在報告中揭示內部控制的重要缺陷。監(jiān)控報告應當有暢通的報告渠道，確保發(fā)現(xiàn)的重要問題能送達管理層；同時，應當建立內部控制缺陷糾正、改進機制，充分發(fā)揮監(jiān)控效力。