市场经济的本质特征有两个：竞争和风险，它们导致企业所处的外部环境充满了较大的复杂性和不确定性。Root认为，风险就是由于不知不觉得使内部控制在一个容易引起对其效力质疑的层次上运作，而导致的可能降临到一个公司头上的某种形式的负担或其他的不幸。受控诉或质疑的风险也许远比某个权威总结内部控制无效的风险要大Stephen J. Root.超越COSO：加强公司治理的内部控制［M］.付涛，卢远瞩，黄翠竹译.北京：清华大学出版社，2004：255.。蔡吉甫（2008）认为，企业风险的本质是产权价值运动过程中产权价值形态转换的不确定性，这种不确定性最终表现为产权价值无法实现保值增值的风险。换句话说，就是投资者利益无法得到保障的风险。任何对组织目标的偏离都被视为风险，内部控制则是组织为了降低内部各层级之间的代理问题而建立的一套风险控制机制丁友刚，胡兴国.内部控制、风险控制与风险管理——基于组织目标的概念解说与思想演进［J］.会计研究，2007，（12）：52.。
风险从不同角度加以考虑，可以做出不同的分类：按照性质不同，风险可分为静态风险和动态风险；按照是否有获利的机会，风险可分为纯粹风险和投机风险；按照所涉及的范围，风险可分为基本风险和特定风险；按照可控程度，风险可分为可控风险和不可控风险；按照能否分散，风险可分为系统风险和非系统风险等何文炯.风险管理［M］.大连：东北财经大学出版社，1999：10～15.。英国Turnbull报告指出，内部控制要能对企业所面临的重要风险做出适当反应，使其经营更加有效。风险不仅包括财务方面，还包括商业、经营、遵循及其他方面。IMA认为，风险的主要类别包括道德风险、经营风险、财务风险和战略风险美国管理会计师协会（IMA）发布.财务报告内部控制与风险管理［M］.张先治，袁克利主译.大连：东北财经大学出版社，2008：246.。《深证指引》第十一条将风险分为经营风险、财务风险、市场风险、政策法规风险和道德风险等。不同的企业面临着不同的风险，或者说，不同的风险对不同的企业有着不同的影响。
风险与机会同在，他们共同影响着企业实现目标的能力。在风险与机会的关系中，Root认为，预防性措施的价值比与成功利用商业机会相联系的内部控制要小一些Stephen J. Root.超越COSO：加强公司治理的内部控制［M］.付涛，卢远瞩，黄翠竹译.北京：清华大学出版社，2004：139.。但是对于风险，中国人的心理偏好是：一旦处于不稳定的情况下就会感到不舒服、不适应，做事的积极性就不高。例如，最近开始实行的薪酬包计划，允许高管人员将其所持有的股份对外抛售，某家公司的副董事长立刻套现2000万。这种情况下，还谈什么风险承担、风险应对，更谈不上什么风险披露了！中国企业在面对风险时往往呈现出两种极端现象：一是一味守成，回避风险，出现X非效率X非效率原指独家垄断下企业经营目标偏向于守成而非进取，从而造成效率低下。在此，笔者借用这一术语反映企业管理层对待风险的态度。。这种情况不仅会造成资源配置不合理，而且会造成缺乏动机、有机会不利用的后果。二是出于政治原因，不考虑成本，盲目地承担风险，更会造成资源浪费。
在我国，内部控制一直将财产侵吞作为防范的重点，随后逐渐发展为对各经营环节的关键风险点实施的控制冯均科. 关于COSO报告内部控制框架的一种理论修正［J］.中国软科学，2002，（8）：116.。缪艳娟认为，企业内部控制就其本质而言是企业目标实现过程中的风险处理装置，属于企业内部管理制度的范畴，其本身并非属于天然监管的对象缪艳娟.企业内部控制研究：制度视角［M］.大连：东北财经大学出版社，2009：213.。从审计视角看，风险导向的审计使得注册会计师更加关注被审单位的风险评估情况；从管理视角看，风险评估本身就是一种风险管理活动；从监管视角看，风险评估是相关部门对上市公司经营活动和经济活动进行监管的基础。从要素的涵义看，风险评估是内部控制系统必不可少的组成部分，有其丰富的内容，并与其他要素直接发生关系。若没有风险，也谈不到控制，若没有控制，也就没有对控制的评价，其他要素都不会产生。从信息披露视角看，以风险评估为起点能够去掉一些细枝末节，排除其他干扰因素，还原出企业内部控制过程的清晰图像。因而，风险评估应该作为独立的报告要素存在。
风险评估披露包括外部风险披露与内部风险披露。根据《基本规范》的规定，公司在识别外部风险时关注的主要因素有：经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；法律法规、监督要求等法律因素；安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；技术进步、工艺改进等科学技术因素；自然灾害、环境状况等自然环境因素；其他有关外部风险因素。其中许多因素超出了管理层的控制。公司在识别内部风险时关注的主要因素有：董事、监事、经理及其他高级管理人员的职业操守，员工专业胜任能力等人力资源因素；组织机构、经营方式、资产管理、业务流程等管理因素；研究开发、技术投入、信息技术运用等自主创新因素；财务状况、经营成果、现金流量等财务因素；营运安全、员工健康、环境保护等安全环保因素；其他有关内部风险因素。其中许多因素在管理层的控制之下。在实际披露中，大部分上市公司在解释公司当期盈利下降时避重就轻，把原因都归结为国家宏观政策调控和市场环境带来的风险，对自身因素导致的风险却分析较少。这样的披露不仅没有任何信息含量，还是一种对投资者不负责任的态度。
（2）控制活动
控制活动是根据风险评估结果、结合风险应对策略所采取的，确保企业内部控制目标得以实现的方法和手段，是实施内部控制的具体方式。从审计视角看，控制活动是注册会计师实施符合性测试的对象；从管理视角看，按照亨利·法约尔的观点，管理就是预测和计划、组织、指挥、协调以及控制，因此，控制活动也是一种管理活动；从监管视角看，控制活动是相关部门对上市公司经营活动和经济活动进行监管的主要内容。从要素的涵义看，控制活动是内部控制系统必不可少的组成部分，有丰富的内容，与整个系统和其他要素直接发生关系。没有控制活动，也就没有内部控制这个过程，也就不必对控制效果进行评价，更谈不到内部控制信息披露了。因此，控制活动应该作为一个独立的报告要素，而且是内部控制报告的核心要素。有风险，就要控制，一种风险可以有多种控制措施；一种控制措施，也可以控制多种风险。因此，控制活动披露与风险评估披露不必一一对应，当然，也无法做到一一对应。控制活动可按照不相容职务分离控制、授权审批控制与会计系统控制等一般控制活动进行披露；也可按照关联方控制、对外担保控制、募集资金使用控制、重大投资控制与财产保护控制等重点控制活动进行披露。现实中，大多数公司两种控制活动均进行了披露，但是要把握二者的侧重点，否则，就会形成重复披露的情况。
（3）监督与修正
鲍尔和克洛瑟提出，评价一个组织是否达到最低内部控制要求的七条标准之一就是：各项内部控制措施要定期检查和评估，以确保这些措施的有效性。Root指出，以前从来没有从股东利益的角度对公司董事进行事后评定——用来进行测试他们为股东创造回报的能力。监督过程是设计并操作以最大限度地保障股东获得竞争性回报率这一商业最终目标。这一过程必然要与最宽泛的内部控制概念相一致Stephen J. Root.超越COSO：加强公司治理的内部控制［M］.付涛，卢远瞩，黄翠竹译.北京：清华大学出版社，2004：240.。2008年7月，德勤公布的最新一项年度调查报告显示，96%的公司认为应高度重视内部控制监督机制。
监督与修正活动是企业对其内部控制的健全性、合理性和有效性进行监督检查与评估，形成书面报告并作出相应处理的过程，是实施内部控制的重要保证。监督与修正主要包括对建立并执行内部控制的整体情况进行持续性监督，对内部控制的某一方面或者某些方面进行专项监督，以及提交相应的检查报告、提出有针对性的改进措施等。从审计视角看，监督与修正是注册会计师衡量被审单位审计风险的基础；从管理视角看，监督与修正是对风险管理情况的考核；从监管视角看，监督与修正是相关部门对上市公司经营活动和经济活动进行监管的结果与反馈。从要素的涵义看，监督与修正是内部控制系统必不可少的组成部分，有丰富的内容，与其他要素直接发生关系。监督与修正能够反映风险评估与控制活动的效果，以便于今后更好地评估风险和采取控制措施。从信息披露视角看，缺陷披露是内部控制报告的重要内容。因此，监督与修正应该作为一个独立的报告要素存在。
按照监控结果分，监督与修正包括发现缺陷与未发现缺陷两种情况。当发现缺陷时，监督与修正披露包括存在问题（或缺陷）的披露、整改计划（或应对措施）的披露与整改完成情况的披露，缺陷情况的披露有助于投资者对上市公司进行更好地监督。未发现缺陷时，只需要披露“本公司内部控制设有检查监督机制，内部控制缺陷一经识别，本公司将立即采取整改措施”即可。
① 内部控制缺陷的涵义与种类
“缺陷”（deficiency）被广泛地定义为内部控制体系之中值得注意的一种状态，意味着一个能够感觉到的、潜在的或真实的缺点，或者是一个改进内部控制体系、以便提供更大的可能性去实现主体目标的机会美国COSO制定发布.内部控制——整合框架［M］.方红星主译.大连：东北财经大学出版社，2008：81.。按其出现的环节，缺陷可分为设计缺陷与运行缺陷两种。设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当、即使正常运行也难以实现控制目标；运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权、缺乏胜任能力以有效地实施控制。投资者更加关注运行缺陷的披露，而在实际披露中却以设计缺陷居多。例如，在笔者所分析的464家样本公司中，制度建设方面的缺陷披露最多（25%）。究其原因，大概是因为设计缺陷易改，而运行缺陷难移。从企业角度，《评价指引》第十七条规定，企业应当对内部控制缺陷进行综合判断，按其严重程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的情形。一般缺陷，是指除重大缺陷、重要缺陷之外的其他控制缺陷。
从审计角度，根据PCAOB于2007年7月25日发布，并于2007年11月15日以后的会计年度实施的审计准则第5号附录A的定义，如果一项或若干缺陷的联合，能致使公司年度或中期财务报表的一个重大错报没有被及时防止或发现存在的合理可能性如果一个事项的可能性是“相当可能”或“很可能”，那么该事项就存在合理可能性。，该缺陷构成重大漏洞（material weakness）也被翻译为重大弱点、重大薄弱环节、实质性漏洞等。。重大漏洞概念确立了有效性概念的边界——对缺陷进行衡量的严重性界限。它很可能比任何其他术语更频繁地用于对有效性的衡量。如果存在一个重大漏洞，主体就不能声称它相信存在有效的内部控制体系美国COSO制定发布.内部控制——整合框架［M］.方红星主译.大连：东北财经大学出版社，2008：148.。另一方面，由于内部控制的局限性，如人为判断的运用、成本效益原则、管理层凌驾、串通和故障的可能性，重大漏洞的存在又是不可避免的。严重程度低于重大漏洞的一项或若干项缺陷，如果该缺陷值得那些负责监督公司财务报告的人员注意，则该缺陷为重要缺陷（significant deficiency）也被翻译为重大缺陷、严重缺陷等。。《中国注册会计师审计准则第1153号——向治理层和管理层通报内部控制缺陷》（征求意见稿）第五条规定，“内部控制缺陷，是指在下列情况下内部控制存在的缺陷：某项控制的设计、实施或运行不能及时防止或发现并纠正财务报表错报；缺少用以及时防止或发现并纠正财务报表错报的必要控制。”第六条规定，“内部控制重要缺陷，是指注册会计师根据职业判断，认为足够重要从而值得治理层关注的内部控制的一个缺陷或多个缺陷的组合。”第十条规定，“注册会计师应当以书面形式及时向治理层通报审计过程中识别出的内部控制重要缺陷。”第十一条规定，“注册会计师还应当及时向相应责任级别的管理层通报下列内部控制缺陷：以书面形式已向或拟向治理层通报的内部控制重要缺陷，除非在具体情况下不适合直接向管理层通报；在审计过程中识别出的，其他方尚未向管理层通报，而注册会计师根据职业判断认为足够重要从而值得管理层关注的内部控制其他缺陷。”第十二条规定，“注册会计师应当在内部控制重要缺陷的书面沟通文件中包括：对缺陷的描述以及对其潜在影响的解释；使治理层和管理层能够了解沟通背景的充分的信息。”可见，中美两国注册会计师均针对财务报告内部控制进行鉴证。
② 内部控制缺陷的认定
