(五)组织结构
组织结构能够为规划、执行、控制和监察活动提供框架，以实现企业整体目标。有一些组织是高度集中的，而另外一些组织则按照产品或地区分散了权利。还有一些组织形式是矩阵式，不存在单一的直线报告。
企业的不同部分组合起来的方式有多种。企业控制是为了更庞大的控制程序的一部分。“组织(organization)”这一术语常常可与“使组织起来(organizing)”互换，对很多人拉说，二者的意思是相同的。“组织”有时是指人与人之间的登机关系，其更广义的用法还可能包括管理层的所有问题。
“组织”可以被描述为：个人经过分派获得的工作并在后续过程中结合起来以实现整体目标的方式。在某种意义上，这种概念可用于一个个体组织其个人工作投入的方式，也适用于大量的人员以小组的形式投入工作的情况。对于大型现代企业来说，为组织控制制定完善的计划是内部控制系统中非常重要的部分。个人和小群体应了解其所在的小组的目标及企业的总体目标。倘若缺乏这样的了解，控制可能存在重大的缺陷。
无论是商业组织、政府、慈善组织或其他部门，每个组织都需要制定有效的组织计划。对任何职能或部门负责的管理者必须对组织结构有充分的了解。组织控制的缺陷常常会对整个控制环境产生普遍影响。尽管权力界限划分明确，但企业内在的效率低下问题会随着组织规模的扩大而变得更为严重。这种效率低下问题常常会造成控制程序失灵，因此，在评估组织控制环境时，管理层应关注这些问题。
复杂的或者不容易理解的组织结构可能带来严重问题。母公司将一个部 '门作为一个独立的企业分离出去的情况，在当今并不少见。这种新企业的雇员以前采用的是母公司的控制系统和程序，但是现在他们有责任为新企业设立组织结构控制。企业合并、联营和收购发生时，组织结构的权力界限对于利益相关者来说可能是不清楚的。当独立经营的业务运转起来，并且财务结构细节被确定后，内部控制结构却时常被忽视。
(六)权力和责任的分配
组织的结构对总体工作投入的分配与整合作出详细说明。权力的分配本质上是指按照工作描述确定责任，根据组织结构图形成责任。尽管工作评估无法完全避免责任的重叠或连带责任，但是这些责任的说明越准确越好。关于如何分配责任的决定，常常会在个人与小组工作投入之间造成棍乱甚至冲突。
现在，无论什么类型或规模的企业都简化了业务，并将决策权下放，且越来越接近一线工作人员。一线人员应具有在其自身业务领域作出重大决策的能力和权力，而无需请求上级作出决策。这样，授权或雇用造成的主要挑战是，尽管可以授予部分权力，以实现某些组织目标，但高级管理层仍需为这些下属所作的所有决策承担最终的责任。如果未经管理层复核，就将过多涉及更高级目标的决策交由不适当的较低级别人员负责，企业将处于危险之中。此外，企业内的每个人必须对该组织的整体目标，以及个人行为与实现目标之间的相互关联有充分的了解。 COSO内部控制报告中关于架构的部分对控制环境这一重要问题作出了如下描述:个人了解自己将负有多大责任，且能够对控制环境产生重要影响。这个结论适用各级人员，包括对企业的所有活动(包括内部控制系统)承担最终责任的首席执行官。
(七)人力资源政策和实务
人力资源实务包括诸如招聘、人职培训"、在职培训11、评估、咨询、晋升、赔偿和采取适当的矫正措施。人力资漉部门应针对这些方面制定并公布充分的政策。不过，值得注意的是，对人力资源政策的操作会向雇员传达有关其预期道德行为水准和能力的信息。一旦高级别雇员公开破坏人力资惊政策，比如无视工厂禁烟令，企业的其他人将会迅速获悉。如果低级别的雇员
因为未经许可吸烟而受到处罚，但人们对违反规定的高级雇员却睁一只眼闭一只眼，那么消息扩散的速度会更快。上述人力资源政策和实务对某些方面具有特殊的重要意义，包括:
(1)招聘和雇用。企业应设法招聘最具资格的人选。应核实潜在雇员的背景，证实他们的学历和工作经验。应精心组织应聘者的面试，对应聘者具有深入的了解。人力资源亦应向潜在的雇员传递信息，使他们了解企业的价值观、文化和经营风格。
(2)新雇员的人职培训。应将企业价值观体系和不遵循这些价值观的后果明确告知新雇员。通常在向新员工介绍行为守则并要求他们正式确认接受该守则时，告知他们上述事项。如果不能向新雇员传递这些信息，那么他们在加入该组织时可能缺乏对于企业价值观的了解。
(3)评估、晋升和赔偿。应实施公平的绩效评估程序，并且使之不受额外的管理支配。由于诸如评估和赔偿的问题可能涉及雇员的隐私，因此，整个系统应对企业内的所有成员一视同仁。通常，奖金激励计划都是一项激发和强化所有雇员的出色表现的有用工具，但是应坚持以公平公正的方式发放奖金的原则。
(4)惩戒措施。应实施统一且易于理解的惩戒政策。所有雇员应了解.一旦他们违反了特定规则，将会面临不同程度的惩戒，直至解雇。企业应尽力确保惩戒措施不存在双重标准，如果存在双重标准，那么高级别的雇员违反了特定规则，将会面临更严重的惩罚。
有效的人力资源政策和程序是整体控制环境至关重要的组成部分。如果企业未设立严格的人力资源政策和措施，那么即使企业组织结构很牢固，领导层传达的信息也不会产生多少影响。管理层在对内部控制架构的其他因素进行复核时，应始终考虑控制环境的人力资源政策和因素。
COSO立体模型说明，控制环境是内部控制的根本性组成部分。以此方式说明控制环境的根基地位是恰当的。试图建立牢固的内部控制结构的企业应特别注意为控制环境结构奠定坚实的基础。
二、风险评估
按照 COSO立体模型，控制活动的上一层是风险评估。企业实现其目标的能力可能受到来自多个内外部因素的不利影响。作为整体内部控制结构的一部分，企业应实施一个程序，来评估可能影响其各种内部控制目标实现的潜在风险。风险评估可能是正规的量化风险评估程序，也可能是不太正规的方法，但是应包含对风险评估程序最起码的理解。例如，企业设定的目标是不改变营销计划，那么如果出现新的竞争对手则可能对该企业设置的目标造成压力，这需要对无法实现该目标的风险作出评估。风险评估是一个具有前瞻性的过程。也就是说，许多企业已经发现，对他们的各类风险水平进行评估的最佳时机是制定年度计划或定期计划的过程。应在所有层面以及企业的所有活动中实施这样的风险评估程序。 COSO内部控制架构将风险评估描述成一个可以分为三步的程序。第一步是估计风险的重要'性;第二步是评估风险发生的可能性或频率;第三步是考虑如何对风险进行管理，以及应采取何种行动。
COSO内部控制架构强调风险分析并非一个理论过程，而且常常对实体的整体成功起到至关重要的作用。管理层是内部控制整体评估的重要一环，他们应采取措施对可能影响整个企业的风险，以及不同的组织活动或实体所面对的风险进行评估。由内部或外部原因导致的各种风险可能对整个组织产生影响。 COSO企业风险评估己对某些主要组成部分给出定义，做了一般性说明，并概述了一种能使组织对企业层面的风险进行更好管理的方法。
风险管理包括识别和分析影响目标实现的风险(包括与不断变化的监管、运营环境和商业策略有关的风险)，以此来确定如何降低和管理此类风险的依据。第九章将针对风险管理的程序作更详尽的讨论。
