内部控制工程支撑体系是指对内部控制工程具有影响的条件和环境，这些条件和环境是依附或服务于内部控制工程主体而存在，间接影响内部控制工程发展的方向和速度，应该纳入研究内部控制工程的范畴。
事实上，任何产业都不能离开其支撑系统而得以发展，有产业的地方就一定存在相应的支持系统。内部控制工程支撑体系主要由宏观环境、组织模型、变更管理、培训管理等构成。
3.7.1 宏观环境
内部控制的宏观环境指的是对内部控制工程顺利进行或发展完善起重要作用的宏观因素。包括政治、法律、经济、文化等。其中，有较强影响作用的有：经济环境、法律环境和技术环境。
（1）经济环境。
对内部控制工程有影响的经济环境是指国家或地区的经济制度、经济结构、物质资源状况、经济发展水平及未来的发展方向。
经济环境是直接影响内部控制工程发展的最重要的环境因素之一。内部控制工程的产生、发展、完善，其根源在于内部控制工程环境中的经济因素，即经济发展的程度、经济组织状况等。正如工业革命促使了社会经济制度发生重大变化，从而大力推动财务会计发展一样，内部控制工程的发展，也必然受到经济因素的影响。例如，组织的大型化和复杂化客观要求内部控制的实施和使用必须规范化、科学化，日益激烈的竞争和不断增加的风险使越来越多的企业要求内部控制的改进和提高，也使一部分内部控制人员成为内部控制工程专家甚至成立专门的内部控制咨询公司成为可能。经济环境对内部控制工程的影响主要包括以下几方面：经济发展水平决定了内部控制工程的发展水平；政府的经济决策影响内部控制工程的各个方面；经济的稳定程度也是影响内部控制工程发展的重要因素；
（2）法律环境。
对内部控制工程有影响的法律环境是指与企业相关的社会法制系统及其运行状态。法律环境包括：法律规范；国家司法执法机关；企业的法律意识。法律环境对企业有直接的强制性，为企业的生存和发展提供空间。作用是双重的，一方面对企业的行为有着种种限制，另一方面保护企业的合理竞争和正当权利。例如《萨班斯法案》颁布后，对企业的双重影响是非常显著的，在规范企业的行为，保护利益相关者利益的同时，也带来了成本过高、压力过大、扼杀企业活力等沉重负担。这就为以降低实施成本、优化内部控制措施等为特长的内部控制工程的产生和发展提供了机遇和动力。良好的法律环境可通过制定各种法律、法规确保内部控制工程的健康发展，包括推动合格的人力资源的开发和评估，融资、信息、技术交流平台的构建，市场秩序（包括内部控制咨询业）的规范，标准体系构造等。随着我国经济建设的高速发展，内部控制的日益重要，有利于内部控制工程发展的各种法律、法规必将进一步健全和完善。
（3）技术环境。
对内部控制工程有影响的技术环境是指企业所处的社会环境中的技术要素以及与该要素直接相关的各种社会现象的集合。包括：内部控制理论的发展，管理学、工程学的进展以及其他相关技术因素的进展。但任何进展都要注意他们的两面性，要关注这些进展带来的有利影响和不利影响，如信息技术的进步增强了系统的沟通能力，提高了内部控制的自动化，但同时也带来了新的风险，如黑客侵袭、计算机瘫痪等。同时，技术的进步可能会给企业的业务带来严重的威胁，改变社会需求结构，这些也会影响内部控制工程的发展，必须确保内部控制系统能及时反应和促进创新，只有主体健康，才能确保内部控制系统健康发展。
3.7.2 组织模型
参加内控工程建设的人员以如何形式组织，是他们发挥最大工作效率、成功完成项目的重要基础，组织形式要根据项目的特点来决定，同时也要结合参与人员的素质情况。常见的有三种组织结构①。
（1）按子系统划分的模式。
将参与人员按内部控制系统的子系统的划分组成小组，小组成员自始至终参加所参加的子系统如采购、财务内部控制子系统的各项任务。他们应负责完成所在子系统的定义、设计、实施、测试以及维护的全过程。
（2）按职能划分的模式。
将参与人员按任务的工作阶段划分为若干个工作小组，产品在每个小组完成阶段任务（即工序）后，沿工序流水线向下传递。
在内部控制工程建设和使用的过程中，分别建立需求分析组、设计组、实施组、测试组、维护组等，这些工作小组在不同的内部控制子系统中处理相同的工作内容，如财务系统、采购系统、行政系统等内部控制内容的访谈、培训等等，每组都能发挥和进一步熟练自己的特长，成果及各种资料按工序在各组间传递。这种模式需要小组间信息畅通，沟通顺畅，小组成员会进步很快，技术熟练，成为专家。
（3）矩阵形模式。
矩阵形模式是课题组织结构与职能组织结构两种模式的复合。一方面，需根据工作性质，成立设计组、测试组等专门小组，另一方面，又配备项目经理负责管理。成员接受组长和经理的双重领导。这样，组的成员可以交流经验，也利于技能提升，发挥作用。而且项目有整体领导，便于系统性目标的实现。根据项目组织中项目经理和职能经理责、权、利的大小，又可以划分为弱矩阵、强矩阵和平衡矩阵三种形式。在弱矩阵中，项目经理仅负责协调工作，项目成员在各职能部门为项目服务。强矩阵中，职能部门需辅助项目经理，项目经理可以实施更有效的控制。平衡矩阵中，项目经理负责监督项目的执行，各职能部门对本部门的工作负责。项目经理负责项目的成本和时间，职能部门的经理负责项目的界定和质量。
3.7.3 变更管理
变更管理的概念最早应用于机器制造业，如波音公司飞机组装中的零部件变更。目的是为了标识变更、控制变更、确保变更，并向其他有关人员报告变更，使由变更而引起的错误降为最小，最有效的保证产品的完整性和生产过程的可视性和准确性。
内部控制系统作为一个复杂的系统，同样面临经常发生变更，变更后人员的协作混乱、沟通改变问题，如需求变更、人员变更、进度计划变更等，因此工程学的变更管理在内部控制工程中的应用也变得必不可少。简单地说，变更管理是一组追踪和控制活动，开始于项目立项之初，结束于系统淘汰之后，是系统生命周期特别是建设过程的必要控制环节和过程管理的控制基础。
变更管理工作范围包括：
（1）标识工作产品。
简单地说，标识产品就是给变更项取名，是变更管理的基础，建设和使用过程中的产品针对每一微小的变更都需要及时进行标识，特别是职能、流程、制度的变更更是不可忽视，除将其标识出来，还需要将变更时间、内容及时通知关联的岗位、部门。产品的命名一般要遵循名字唯一、便于管理和追踪的规律。名字要遵循版本管理规律。常见的是V。x。x，x为版本号，取值范围为数字或者日期。具体形式一般为名称加该变更项所在的版本号。如：需求报告是一个变更项，命名为：需求报告V1.0.1.
（2）进行变更控制。
变更控制是变更管理的核心。包括版本控制、变更控制和发布控制。版本控制要求在任何时刻都可获得变更项的任何一个版本。变更控制为系统的变更提供了一个明确的流程，要求任何进行变更管理的产品变更，都要经过相应的授权和批准程序才能实施。发布控制确保变更后的最新版本提交到每个相关个体，保证每个个体使用的版本是完整的、正确的和一致的。如在内部控制系统实施过程中，由于条件变化或无法实现而改变采购系统内部控制设计方案，经修正后，将新的需求报告命名为需求报告V1.0.2，然后发送到所有相关个体，相关部门或子系统收到后，会根据版本号及时选择最新的方案。
（3）记录变更状态。
变更状态记录的任务是清楚、及时地记载变更项的变化，对变更的过程做出系统的记录，以反映变更活动的历史情况。一般需将几个问题回答清楚：发生了什么？为什么发生？谁做的？什么时候？会有什么影响？变更状态报告经审核后，审核结果也应写入该报告，将变更及时通知给相关部门和个人。变更状态报告是确保变更顺利的重要工作，它提高了人员间的通信能力，避免了可能出现的不一致和冲突。
（4）执行变更审核。
目的是证实整个生存期中各项工作在技术和管理上能正确的反映用户所提出的要求、变更是否通知到所有关系人、变更后的系统是否达到要求。同时确保所有的变动不超出系统的功能范围。具体工作包括：规定的变更是否完成？是否评价了变更的正确性？是否遵循了工程标准？是否说明了变更主体和变更日期？是否重新标识变更项？是否遵循了变更管理过程（标记变更、记录变更、报告变更）。
3.7.4 人力资源管理
人力资源管理是随着企业管理理论的发展而发展的，形成于20世纪初科学管理在美国兴起时期，是企业职工福利工作的传统做法与泰勒科学管理方法相结合的产物，随后兴起的工业心理学和行为科学对其产生了重要影响，推动它进一步的成熟。人力资源管理是通过对与一定物力相结合的人力进行合理的培训、组织和调配，使人力、物力保持最佳比例，同时对组织成员的思想、心理和行为进行诱导、控制和协调，充分发挥他们的主观能动性，顺利实现组织目标的过程。
人力资源是内部控制工程成功的重要环节或者说人是内部控制工程的灵魂，健全的内部控制如果人不能发挥应有作用，也是徒劳无益的。人在内部控制系统中的重要作用已受到广泛的关注和赞同，在COSO报告中，不仅明确阐述了内控制度的制定与实施的责任问题，强调内控制度的设计必须考虑到实施中人的因素，要以人文本，而且着重强调“软控制”的作用，即对人的精神层面进行研究，包括管理风格、管理哲学、控制意识等等。这些观点正是受人力资源管理影响而提出和完善的。内部控制工程的人力资源管理是对人力资源的取得、培训、保持和利用等方面所进行的计划、组织、指挥和控制活动。是为了将人力与控制系统整合到一起，尽量发挥人的潜能，以支持系统目标的实现。具体来说，包括人力资源规划、工作分析、培训与开发（包括员工与客户）、绩效评估等内容：
（1）人力资源规划。
人力资源规划是为实现系统目标而对所需人力资源进行预测，并为满足这些需要而预先进行系统规划的过程。对内部控制工程参与者的规划要根据角色和任务的不同分别制定，如建设者需要加强系统的设计和建设、沟通能力，对使用者的培训能力总结和交流系统的建设经验；使用者需要深入了解掌握系统，及时发现系统的漏洞，提出改进需求等。在规划中如果发现有些工作通过组织自身挖潜无法解决，需及时制定人才引进和交流计划，迅速落实，保证系统的建设和使用顺利进行。
（2）工作分析。
具体说明为成功实现内部控制系统的设计、建设和使用，每个人的工作内容、工作条件和员工的素质标准。工作分析信息被用来规划和协调几乎所有的人力资源管理活动，是内部控制岗位、人员、职能配置的重要依据。
（3）培训和开发。
为了使员工获得或改进与工作有关的知识、技能、动机、态度和行为，以利于提高员工对系统的贡献，所作的有计划、有系统的各种培训。培训的重点是为目前的工作，开发是为员工策划准备未来可能的工作。同时，培训对象还包括外部客户，一般由事业部门或客户服务中心负责，主要是方便与客户的沟通，使客户能正确使用系统的对应模块，特别是利用信息技术进行远程服务的企业或业务，如B2B、B2C、自助服务等，需保证客户能充分发挥系统的服务功能，确保系统运行的标准化、效率化、经济性。调查反馈客户对企业业务与服务的意见，及时进行修正。
（4）绩效评估。
对工作行为进行测量。一般用理想标准、可实现标准或过去的标准来比较工作绩效以及将绩效评估的结果反馈给员工。绩效评估不仅用来评估工程建设者的工作能力，也用来在内部控制系统中评估系统参与者在系统实施后工作能力的变化，如对控制主体和控制客体工作的效率、积极性的影响，作为系统评估的重要指标。
