重点关注：
第二节 COSO内部控制内容的实践
COSO内部控制框架的五个要素包括:控制环境、风险评估、控制活动、信息与沟通、监察。
一、控制环境
控制环境是其他内部控制因素的根基。控制环境因素包括人员的道德观和胜任能力、董事会提供的指示和管理的效率。控制环境应包括坚守诚信及高尚的道德观。就此而言，高级管理层必须把企业的价值观和行为守则向雇员明确传达。对违反行为守则的人员作出适当的处罚，是确保他们遵循行为守则并将其融入企业文化的重要一环
激励及诱惑是破坏深厚道德文化的可能诱因。前者包括施加压力以实现不切实际的业绩目标(特别是短期业绩)及与业绩挂钩的丰厚报酬。后者包括无效的控制(例如在敏感的领域职责划分不清)、薄弱的内部审计职能、未能察觉及报告不当行为，以及无法对高级管理者进行客观的监督的低效率董事会。
控制环境还包括其他方面。例如，管理层应说明每项工作所需的才能水平，并具体地指出满足工作必需的知识及技能。此外，董事会必须具备管理能力、专业技术及其他专长，还必须拥有履行策略和监督职能的才干及思维。董事会成员必须客观、积极地问询管理层的活动。董事会中的审计委员会成员亦应富有经验、符合资格、独立且积极。
此外，管理层应当确立报告关系及授权协定。其中主要的挑战在于下放权责，但要限于实现目标所需的程度。另一项重要挑战是，要确保所有人员明白企业的目标。控制环境在很大程度上取决于个人对其将负有多大责任的了解。企业需要优化组织结构，以便为实现目标而制定的策略能得以最有效地执行。
以下所列是控制环境因素的范围:
(一)诚信和道德观
企业领导者必须创造一种除了财富之外还重视声誉的价值观氛围。这样能够确保更好地留住员工，实现更高的销售收入和利润，创造更好的市值和更多的报酬。
诚信和道德观是企业控制环境的重要因素。如果企业已经制定了严格的商业行为守则，该守则强调诚信和道德观，并且所有的利益相关者都遵循了这一守则，那么，这意味着该组织已拥有一流的道德观。当今，行为守则是公司治理的重要组成部分。但是，即便企业制定了一份严格的行为守则，如果雇员不是故意渎职，而仅仅因为不了解该守则，也会违反守则的原则。在多数情况下，雇员可能不知道他们正在做的事情是错误的，或者可能错误地认为他们的行动符合企业的最佳利益。这种错误常常是由于高级管理层缺乏道德指南造成的，而不是雇员带有欺骗的意图。企业的政策和价值观虽然常常嵌在行为守则中，但也必须向企业内的各级人员传达。任何企业内都可能存在"害群之马但是严格的政策和以身作则的适当行动，能够促使员工采取正确行动。在对特定领域进行独立复核时，审计师或管理者应始终确定恰当的信息或信号己在企业内传达。
所有的管理者及其他股东都应该对其所在企业的行为守则及其应用和传达方式有充分的了解。如果行为守则已经过时，那么它就不能解决企业面临的道德方面的重要问题•如果公司管理者未能反复向所有利益相关者传达行为守则，那么它可能成为企业内部控制的一个重大不足。
即使行为守则描述了企业道德行为的规则，而且管理层的资深成员可能已定期传达了恰当的道德信息，但其他的激励和诱惑也可能破坏整个内部控制环境。如果企业存在促使雇员采取某些行动的巨大激励或诱惑，则员工很可能受到诱惑，作出不诚实、不合法或不道德的举动。例如，一家企业可能设立了过高的不切实际的销售或生产指标。达成这些业绩目标后能获得丰厚报酬，或者更糟糕的是，不能实现目标就要面临巨大的威胁，因而雇员会进行可疑操作，或记录虚假的账目交易，以实现这些目标。促使利益相关者编制不当的会计记录或作出类似举动的诱惑包括，缺乏控制或控制无效(比如，在敏感的领域职责划分不清)，权力高度分散导致最高管理层对企业内的低级别人员所采取的行动毫不知情，从而使其被发现的机会减少，薄弱的管理职能既没有能力也没有权力侦查和报告不当行为。对于不当行为的处罚如不严厉或未公开，则无法起到威慑作用。
(二)用人唯才的承诺
如果大量岗位被缺乏必要岗位技能的人员所占据，那么企业的控制环境很可能会被严重破坏。管理者会不时地遇到如下情形:被分配了某项具体工作的人员看起来不具备完成这项工作所需的适当技能、训练或智慧。由于每个人的技能和才干水平不同，应提供充足的监督和培训，以帮助雇员获得适当的技能。
企业应说明各种工作所需的才能水平，并将其具体化为必需的知识及技能。企业用人唯才的承诺可以通过为适当的人才分派适当的工作，并在必要时提供充分的培训的方式来实现。用人唯才的承诺是企业整体控制环境的重要因素。管理者常常发现，对于职位描述是否充分，为适当的人才安排适当的工作的程序是否运转正常，以及培训和监督是否充分进行评估是具有重要价值的。
作为控制环境的一个重要部分，对员工的才能作出客观中肯的评价是比较困难的。虽然许多人力资掘部门通常都会制定详细的评级和评价机制，但是，员工常常都会被评为"高于平均水平"。就各级员工而言，管理层应切实地评估他们是否能胜任所分配的工作，以及是否能为实现整体组织目标付出努力。
(三)董事会和审计委员会
控制环境在很大程度上受董事会和审计委员会的行为影响。以往，董事会和审计委员会常常被高级管理层控制只有有限的少数代表来自外部股东。这导致董事会不能完全独立于管理层。公司管理人员在董事会任职，实际上形成了自我管理的局面，而且，与管理者个人利益相比，他们对外部股东的关注常常较少。随着时间的推移和相关法律法规的出台，上述情况得以改善。现在的董事会承担着更为重要的公司治理的职责，审计委员会必须由独立的外部董事组成。
积极且独立的董事会也是企业的控制环境的主要组成部分。董事会成员应向最高管理层提出适当的问题，并对企业的各个方面进行细致的审查。通过制定高水准的政策和审查整体业务的行为，董事会及其审计委员会对确定"企业领导层的基调"承担最终责任。
(四)管理哲学和经营风格
高级管理层对企业的控制环境有着不可忽视的影响。一些最高管理者频繁地冒险尝试新业务或新产品，使企业面临重大风险，而其他管理者却极为谨慎和保守的形事。一些管理者似乎是凭直觉做事，而其他管理者则坚持认为每件事都应得到批准并被恰当的记录下来。
管理哲学和经营风格需要考虑得上数十项，均是企业控制环境的一部分。管理者及负责评估内部控制的其他人士应了解这些因素，并在整个企业施行有效的内部控制系统时考虑这些因素。事实上，没有那一套风格和哲学是最好的。
企业要对管理层的胜任能力有要求，第一步是挑选那些诚信、独立于董事会的专业人士，他们必须通过董事会方面的培训和资格认证。
