内部控制管理过程是对内部控制系统的设计、实施、运行和维护等一系列活动进行的规范和管理，是对内部控制工程的控制，确保内部控制工程按预定的方向发展。
如果说内部控制工程模型和内部控制工程方法是从技术的角度去指引内部控制的实施和使用，那如何确保模型和方法的有效执行，评估模型和方法的执行效果，则必须通过管理来进行。内部控制管理过程有两种策略：一种是直接对系统的品质进行管理，通过对具体内部控制系统的活动和成果进行规范和评估，以确保内部控制系统不偏离预定目标。另一种是对系统的参与者包括设计、实施、使用人员的素质和技能进行管理，从而间接保证产品的质量。就像我们颁发卫生许可证，保证的是生产企业有资格，而不是对每件产品进行管理。改进企业的管理，从而促进产品质量的保证，而不是保证产品质量，我们无法控制系统使用者选择哪个服务商或咨询商提供的内部控制系统设计实施的服务，无法保证系统的使用者获得可靠的内部控制系统，那只有通过评估企业内部控制系统的能力来间接保证内部控制系统的质量，没有能力建设内部控制系统的使用主体不能单独承担建设任务，必须获取有能力的内控专家的协助。因此，对系统的参与者进行的管理或能力评估与培训应成为内部控制管理过程的研究主流。内部控制管理工程包括进度管理、成本管理、质量管理、风险管理等。
3.5.1 进度管理
进度管理又称为时间管理或工期管理，是为了确保工程建设准时完成的一系列管理活动。进度管理可通过甘特图来进行。
甘特图是用来表示工程进度的一种线形图形技术，1900年由亨利·甘特发明，它是用来表示项目进度的一种线性图形技术，主要是用水平长条线表示项目中各项任务和活动所需要的时间，以便有效地控制项目进度。图3.4是比较常见的甘特图。
横维表示进度或活动时间，纵维表示工作内容。横线表示每项工作的开始时间和结束时间，横线长度表示该项工作的持续时间。甘特图能比较容易地看出和理解活动的起始时间，清楚地显示进度与计划的符合度，可以用来辅助进度控制、用于资源优化、编制资源及费用计划。但传统的甘特图不能表示工作活动间的相互关系，未表示部分活动开始的提前或推迟对整体的影响。因此人们在随后的应用中做了许多改进。如带有时差的甘特图和具有逻辑关系的甘特图。图3.5是具有时差和逻辑关系的甘特图。
应用上面甘特图可以清楚地描述和管理内部控制工程各个阶段的任务、起止时间、进度、工作活动的关系，我们以横维表示内部控制工程的活动时间和顺序，并将其分解为逻辑建模、物理建模、系统实施、系统运行、维护更新五个主要阶段。以纵维表示其工作内容，将其分解为可行性研究、需求分析、系统规划、配置分析、概念术语定义、运行体系设计、环境保障体系、审计体系设计、落实控制措施、审计体系建设、系统运行、维护、审计评估等内容。内部控制工程应用甘特图描述和管理工程进度。
3.5.2 成本管理
成本管理是指为保障内部控制系统建设和使用的实际发生成本不超过预算，使工程在预算内按时、按质、经济高效的完成预定目标而开展的成本管理活动。
关于内部控制工程实施的成本，一直没有统计资料，但随着监管的严格，成本问题日益受到关注，定量分析开始广泛应用，《萨班斯法案》公布后，许多研究机构对其成本进行测算，第一次看到比较权威和准确的数字，统计显示，第404条款合规工作第一年为建立一套内部控制系统的成本平均高达460万美元。这些成本包括35000小时的内部人员投入、130万美元的外部顾问和软件费用以及150万美元的额外审计费用（增幅达到35%）。在这些信息中，我们可以看到，内部控制工程实施成本主要由三部分组成，即内部建设与培训费用、咨询费用、评估审计费用。
成本管理的步骤：成本估算，成本控制（制定计划，控制偏离度）。
（1）成本估算：需首先收集成本估算的依据，确定项目工作范围，将其分解为合适的模块，测定资源单位价格（主要是人工），查找历史信息（特别是同类项目或本系统的历史资料）。
确定成本估算方法：专家判断法（比较常见，一是成立专家小组共同探讨，二是各自独立测算统计）、清单法（先估算各个独立工作的费用，然后从下往上汇总估算出整个工程的费用）、参数估计法（根据项目成本重要影响因素的参数建立数学模型来估算项目成本的方法）。
（2）成本控制：首先制定计划，继而进行组织和人员配备，并实施有效的管理，在实施中，及时检查计划实施情况，找出偏离计划的误差，确定应采取的纠正措施，并采取纠正行动。在工程实施过程中，根据实际发生的成本情况，修正初始的成本预算，尽量使实际成本控制在计划和预算范围内。
3.5.3 质量管理
质量管理是质量管理主体围绕着使产品质量能满足不断更新的质量要求，开展的策划、组织、计划、实施、检查和监督、审核等所有管理活动的总和①。
质量是产品满足用户明确和隐含需求的能力特性的总和。人们通常将“质量标准”、“配置管理”、“测试测量”称为质量管理的三大支柱，计划、进度和评审是质量管理的三大要素。基本思想是事前预防、事中的跟踪监控为主，以事后纠偏为辅。提高质量的途径有：方法、工具的突破，过程管理的突破（ISO、CMM、企业文化）、加强测试与纠错。
质量管理的产生和发展是随着整个社会发展的客观需要而发展的，它与科技的进步、经济和管理科学的发展紧密相关，经历了质量检验管理、统计质量控制和全面质量管理三阶段。
质量检验阶段是以严格的检验作为手段来控制产品的质量，属于“事后检验”，缺点是出现质量问题容易扯皮、缺乏系统的管理，无法在生产过程中起到预防、控制的作用；要求对产品进行100%的检验，管理成本较高，管理效能较差。统计质量控制阶段由事后的终端把关剔除不合格品转到对生产过程的控制，并广泛采用统计的思考方法和分析方法进行质量抽样检查或对生产过程进行质量控制。过分强调数理统计方法，较难使用，妨碍了普及、推广和应用。全面质量管理是将技术管理、行政管理和现代经营管理方法结合起来形成的理论和方法体系，追求客户满意、注重预防而不是检查，强调全面的质量管理、全过程的质量管理和全员参加的质量管理。全面的是说要对产品本身和组织各职能部门的工作和工序进行管理。全过程是指管理要涉及由产品到商品的全过程，包括市场调查、产品设计、制造、检验、运输、储存、销售、安装、使用和维修等所有环节。全员是指企业的全体人员无论是管理者还是生产、销售人员都要参与质量管理，及时从技术和组织上解决工作现场中的质量问题。全面质量管理实施分为四个阶段。即为计划阶段（Plan）、实施阶段（Do）、检查阶段（Check）和处理阶段（Ac-tion），这就是美国质量管理专家戴明博士创造的PDCA循环，又称“戴明环”或“戴明轮”①。
计划阶段：确定质量目标、计划、管理项目和拟订措施。
实施阶段：按预定计划、目标和措施及其分工去执行。
检查阶段：将实施的结果与计划的要求进行对比，检查计划的执行情况和实施效果。
处理阶段：总结经验教训并制定到相应的标准、制度和规定中，处理已发生的问题并防止其再次发生；提出未解决的问题，作为遗留问题转入下一轮。
3.5.4 风险管理
风险是发生损失的可能，风险管理是对风险从识别到分析、评价到采取应对措施等一系列过程，它包括将积极因素所产生的影响最大化和使消极因素产生的影响最小化两方面内容。我们将内部控制工程的风险管理过程分为四个步骤：风险识别、风险估计、风险评价、风险驾驭。
（1）风险识别。
识别潜在的预算、进度、个体（人员和组织）、资源方面的问题以及它们对内部控制系统的影响。方法是利用调查表提问相关人员来了解管理、技术和环境方面有哪些风险。
（2）风险估计。
包括两个方面，一是估计风险发生的可能性，二是风险发生的结果。
（3）风险评价。
进一步检验在风险估计时所得到的估计的准确性，尝试对已显现的风险进行优先排队，着手考虑控制或消除可能出现风险的方法。一般要建立三元组[ri，li，xi]，其中ri是风险，li是风险出现的概率，xi是风险的影响。首先定义工程的风险参照水准，一般是成本、进度和性能的相互协调的集合，当成本超支、进度延期、性能降低超出一个或多个参照水准时，及时终止工作，这时，要公正的给出可接受的判断，看是调整计划，继续执行还是终止它们。这个点就是参照点或崩溃点。
（4）风险驾驭。
是指利用某些技术，如原型化、心理学、可靠性工程学以及某些项目管理方法等设法避开或转移风险。与每一风险相关的三元组（风险描述、风险可能性、风险影响）是建立风险驾驭（风险消除）步骤的基础。
如，系统开发人员的频繁流动是一项风险ri，基于过去的历史和管理经验，频繁流动的可能性的估算值为li为0.6，而风险影响xi的估计值是：项目建设时间增加15%，建设成本增加12%，给出了这些数据之后，可采用如下风险驾驭步骤：
①调查在职的人员，分析人员流动的原因（如工作条件差，收入低等）。
②在工程开始前，把缓解这些原因（避开风险）的工作列入已拟订的驾驭计划中。
③当工程启动时，做好人员流动会出现的准备，采取必要措施以确保人员一旦离开时项目仍能继续进行（削弱风险）。
④建立项目组，以使大家都了解有关开发活动的信息。
⑤制定文档标准，并建立一种机制以保证文档能及时生成。
⑥对所有工作进行细致的评审（以使更多的人能够按计划进度完成自己的工作）。
⑦对每一个关键性的岗位，要培养后备人员。
这些风险管理步骤带来了额外的成本。例如，花费时间来培养关键岗位的后备人员需增加支出，当实现某个风险驾驭所需的成本超出可得到的收益时，要对风险驾驭部分进行评价。如果人员频繁流动的风险消除步骤，经过估算，将增加15%以上的项目成本和开发时间，并且主要是由培养后备人员造成的，则可以决定不执行这个风险驾驭步骤。然而，如果估算出这些风险消除步骤仅增加5%的成本和3%的建设时间，则就可以全部落实。
综上所述，通过对进度、成本、质量、风险的管理，管理过程可以有效地拟合完成时间、费用、功效三者与内部控制工程目标，提供多种手段保证时间、费用、功效最优组合的实现。常用的手段包括规定每个阶段的目的和任务，每个阶段的任务在何时、何地，由何人按照何种标准、规范和规程去做，提供各种工作模版来规范工作记录的编写等，涵盖人力资源、进度、成本、质量、冲突、风险、组织与环境等内容，贯穿内部控制系统整个生存期。在内部控制管理过程中需充分引进和应用工程学的诸多理论和方法学的成果和实施经验，如以进度、成本控制为重点的项目管理工程、以质量管理为重点的质量控制工程、以风险管理为重点的项目治理工程等。控制主体应根据整体目标的要求，结合实际情况，选择不同的工程管理理念，如管理不规范的企业因业务、信息、控制等各种流程、控制活动等变革较大，在建设过程中发生风险的可能性较高，应以工程治理的理念为主；管理规范的大型企业变革相对较少，但规模庞大和部门众多往往出现实施进度缓慢，信息沟通和监督的效率和质量偏离设计目标等问题，应以项目管理工程和质量控制工程为主要过程管理依据。
