从会计角度看，西方内部控制理论的发展大致经过了内部牵制、内部控制、内部控制结构与内部控制整体框架等四个不同的阶段，现已进入企业风险管理整体框架阶段。
1.2.1 内部牵制阶段
内部牵制思想（Internal Check）产生于1940年代以前，这是内部控制的最初形式，主要目的在于保护财产安全，确保账目正确。③池国华、吴晓巍：《管理控制的理论演变及其与内部控制关系》，载《审计研究》2003年第5期。在这一时期，虽然也提及内部控制或有过内部控制定义，但人们习惯于用内部牵制这一概念，张先治：《内部管理控制论》，中国财政经济出版社2004年版，第36～37页。内部牵制包括实物牵制，物理牵制或机械牵制，体制牵制或分权牵制，簿记牵制或账簿牵制。内部牵制理论建立在两个基本假设之上：两个或两个以上的人或部门无意识地犯同样错误的可能性很小；两个或两个以上的人或部门有意识地串通舞弊的可能性大大低于单独一个人或部门舞弊的可能性。虽然学者对内部牵制与管理控制的一致性认识有分歧，如有学者认为“这一阶段人们还没有意识到内部管理控制的必要性和重要性”，③也有学者认为“内部控制并不是为审计服务的，他完全是从管理的角度出发的，而且在这个时期，从一定意义上说，管理和控制是两个基本相同的概念，它们在涵义上是基本一致的”张宜霞：《内部控制-基于企业本质的研究》，中国财政经济出版社2004年版，第3页。但内部牵制减少了错误和舞弊，成为组织结构控制、职务分离控制的基础，因此，内部牵制思想在现代内部控制理论及其应用中仍占有重要的地位。
1.2.2 内部控制阶段
内部控制阶段（Internal Control）始于20世纪40年代末，止于70年代末。1949年，AICPA（美国注册会计师学会）首次正式阐述了内部控制的定义，即“内部控制包括组织机构的设计和企业内部采取的所有协调方法和措施，旨在保护资产、检查会计信息的准确性和可靠性，提高经营效率，促进既定管理政策的贯彻执行”，池国华、吴晓巍：《管理控制的理论演变及其与内部控制关系》，载《审计研究》2003年第5期。这就形成了内部控制制度思想。这一定义强调内部控制“制度”不局限于与会计和财务部门相关的控制方面，而且还包括预算控制、成本控制、定期报告、统计分析和内部审计等。但是审计人员认为该定义的含义过于宽泛，超出了审计人员评价被审计单位内部控制所应承担的职责。迫于这种压力，AICPA于1953年在其颁布的《审计程序说明》第19号，对内部控制定义做了正式修正，并将内部控制按其特点分为会计控制和管理控制两个部分，这种划分是为了规范内部控制检查和评价的范围，缩小注册会计师的责任范围。其中内部管理控制包括所有与经营效率、贯彻管理方针有关的方法和程序，这些方法和程序与财务记录有间接关系而不是直接关系，它一般包括统计分析、业绩报告、员工培训计划和质量控制等。
内部控制概念的发展，不仅使内部控制从简单的内部牵制发展为一种内部控制制度，形成比较完整的内部控制定义、内容、目标和方法，而且经内部控制可靠性和经营效率目标的分离，提出了内部会计控制和内部管理控制两个范畴。但学界在对内部会计控制的管理控制进行研究时发现两者是不可分割的，因此在1980年代提出了内部控制结构的概念。吴永澎：《内部控制理论的发展与启示》，载《会计研究》2000年第5期。
1.2.3 内部控制结构阶段
AICPA在其1988年颁布的第55号审计准则公报《会计报表审计中对内部控制结构的关注》中，用“内部控制结构”（Internal Control Structure）的概念取代了“内部控制”，并指出内部控制结构由控制环境、会计系统和控制程序三个要素组成张宜霞：《内部控制-基于企业本质的研究》，中国财政经济出版社2004年版，第6页。
控制环境（Control Environment），是指对企业控制的建立和实施有重大影响的一组因素的统称，反映了董事会、管理者、业主和其他人员对控制的态度和行为，主要包括管理哲学和经营方式、组织结构、董事会及审计委员会的职能、授权与分配责任的方式、管理控制方法、内部审计、人事政策与实务等。控制环境还包括管理者监控和检查工作时所用的控制方法，主要是经营计划、预算、预测、利润计划、责任会计和内部审计等。
会计系统（Accounting System），指公司为汇总、分析、分类、记录、报告业务处理的各种方法和记录，包括文件预先编号、业务复核、定期调整等。一个有效的会计制度包括以下内容：鉴定和登记一切合法的经济业务；对各项经济业务适当进行分类，作为编制报表的依据；计量经济业务的价值以使其货币价值能在财务报表中记录；确定经济业务发生的时间，以确保它记录在适当的会计时期；在财务报表中恰当地表述经济业务及有关的揭示内容。
控制程序（Control Procedure），指为合理保证公司目标实现而建立的政策和程序，它包括适当授权、恰当的职责分离、充分的凭证和记录资产及记录的实物控制、业务的独立检查等。会计系统是内部控制结构的关键因素，也是审计师要直接利用的因素，控制程序是保证内部控制结构有效运行的工具。
内部控制结构的概念将内部控制环境纳入其中，不但涉及会计控制，而且也包括了更多管理控制的内容，因此此时的内部控制融会计控制与管理控制于一体。池国华、吴晓巍：《管理控制的理论演变及其与内部控制关系》，载《审计研究》2003年第5期。也有学者认为，内部控制在此阶段依然被认为是“各种政策和程序”，仍然是作为从企业管理中抽象出来为审计服务的一个工具。张宜霞：《内部控制-基于企业本质的研究》，中国财政经济出版社2004年版，第7页。
1.2.4 内部控制整合阶段
1985 年美国成立的“反对虚假财务报告委员会”（National Commission on Fraudulent Financial Reporting）下属的由AAA（美国会计学会）、AICPA（美国注册会计师学会）、IIA（国际内部注册会计师学会）、FEI（财务经理学会）和IMA（管理会计学会）等多个专业团体组织参与的COSO（Committee of Sponsoring Organizations of the Treadway Commission）委员会，于1992年发布了《内部控制——整体框架》（IC-IF）的研究报告。COSO报告认为内部控制“构成要素应该来源于管理阶层经营企业的方式，并与管理的过程相结合”，并且指出企业所设定的目标是一个企业努力的方向，而内部控制组成要素则是为实现或达成该目标所必需的条件，两者之间存在直接的关系，因此与企业目标相适应，内部控制组成要素包括控制环境（Control Environment）、风险评估（Risk Appraisal）、控制活动（Control Activities）、信息与交流（Information and Communication）和监督（Monitoring）。宋健搏：《企业内部控制》，中国人民大学出版社2004年版，第14～19页。在五要素中，控制环境是其他要素赖以存在的基础；风险评估是管理目标出现偏差时得以纠正的保证，是内部控制的依据，由于企业所处环境的千变万化和激烈的市场竞争，企业为了生存和发展，必须建立判别和处理与环境变化相适应的风险评估机制，以识别风险并及时加以处理；控制活动是针对影响企业目标实现的各种风险而采取的行动，是内部控制的手段和措施；信息与沟通是促进控制活动运转的前提条件；监督是内部控制有效运行的保证。五要素相互联系，密切配合，共同构成完整的框架，赵保卿：《内部控制设计与运行》，经济科学出版社2005年版，第5页。已不局限于纠错防弊，而更多是为了保障战略目标实现、提高组织管理水平而设置的。内部控制的建设和完善不仅应该包括内部管理控制，而且应该以内部管理控制为主导，而不是仅仅局限于从外部审计的角度强调内部会计控制的建立和完善。
1.2.5 内部控制的新发展——企业风险管理整体框架
自COSO报告发布以来，内部控制框架已经被世界上许多企业所采用，但理论界和实务界纷纷对该框架提出改进建议，认为其对风险强调不够，使得内部控制无法与企业风险管理相结合。因此2004年9月，COSO委员会在1992年COSO报告的基础上，结合《萨班斯——奥克斯利法案》在报告方面的要求，颁布了《企业风险管理整体框架》的报告（ERM）。该报告把企业风险管理定义为“一个受企业的董事会、管理当局和其他职员影响，应用于战略制定并贯穿于整个企业，用于识别可能影响企业的潜在事项并在企业的风险偏好内管理风险，为企业目标的实现提供合理保证的过程”。企业风险管理由内部环境、目标设定、事项识别、风险评估、风险反应、控制活动、信息与沟通、监控等八个相互关联的要素组成。内部控制和风险管理日益融合，风险导向已是内部控制的发展方向。
企业风险管理整体框架与内部控制整体框架相比，有以下几种变化：第一，目标的拓展。由IC-IF的三个目标——经营、财务报告和遵循性，扩大到ERM的四个目标——战略、经营、报告和遵循性，两者中只有经营和遵循性这两个目标的定义相同。IC-IF中的财务报告目标只与公开披露的财务报告的可靠性相关，而ERM中的报告目标的范围有很大的扩展，包括企业所有对内和对外的报告，报告目标的范围从仅仅关注财务信息扩展到同时关注非财务信息。此外，ERM还增加了战略目标，不仅强调在整个企业范围内识别和管理风险的重要性，还强调应针对企业目标的实现在企业战略制定阶段就考虑一系列备选方案的风险因素，从而使ERM的应用深入到了战略制定层次。第二，要素的增加。ERM增加了目标设定，事项识别和风险反应这三个与风险密切相关的要素，遵循了“目标——风险——控制”的逻辑顺序，充分体现了对风险的关注。第三，对原有要素内容的充实和丰富。在内部环境要素中，ERM更直接关注企业的风险文化与风险偏好。在风险评估要素中，倾向于更准确地进行风险评估，采用定性或定量的方法对事项发生的后果和可能性进行估计，并将风险与相关的目标联系起来。在信息与沟通要素中，考虑了来自历史、现在和将来潜在的事项和沟通方式，并要求与企业信息系统整合。此外，ERM还明确了控制活动的目的，指出控制是有助于确保管理层的风险反应措施得以执行的政策和程序。第四，提出了风险组合观的概念，全面贯彻了风险理念。ERM要求管理者以风险组合的观点看待风险，对相关的风险进行识别并采取措施使企业所承担的风险保持在风险偏好的范围内。因为对企业内部各个部门而言，其风险可能落在该部门的风险容忍度范围内，但从企业总体来看，总风险则有可能超过企业总体的风险偏好范围。
