下载文档原格式
美国反虚假财务报告委员会下属的发起组织委员会（COSO）于2013年5月14日发布《2013年内部控制——整体框架》及其配套指南。
《整体框架》的发布将有助于公司高管在企业运营、法规遵从以及财务报告等方面采用更为严密的内控措施，提升内控的质量。
COSO原《整体框架》发布于1992年，21年的时间过去了，资本市场和商业环境已经发生了天翻地覆的变化，这也要求《整体框架》有所调整。
据了解，新《整体框架》和原版相比，在基本概念、内容和结构，以及内控的定义和五要素、评价内控体系的有效性标准等方面均没有变化，据此，在很多业内人士看来，新《内控框架》对于原版内控不应称为改动，而是一种升级。
新《整体框架》相比原版，主要有三大亮点，即更实、更活、更稳。
更实：提供了内控体系建设的原则、要素和工具新《整体框架》与原版相比，细化了董事会及其下设专业委员会的描述，这只是一般性的改动，而且新《整体框架》里提到了很多案例，以增强从业者对内控体系建设的理解。
不过，让专家们更感觉“入眼”的是新《整体框架》的一些实质性变动。
新框架在继承了旧框架对内部控制的基本概念和核心内容的基础上，提供了内控体系建设的原则、要素和工具，具体的变化体现在突出了原则导向，即在原有五要素基础上提出了17个基本原则，在此基础上进一步提炼出82个代表相关原则的主要特征和重点关注点的要素，这是本次修改的亮点，使内控体系的评价更加有据可循。
新框架提供了17条具体的原则，这是新框架比较“实”的地方，因为之前版本的内控框架只有五个要素，更像是一个学术模型，具体要怎么做，并没有非常明确的答案。
而这次COSO委员会提到的17条原则都是相对来说更明确的动作，这为企业做内控提供了一套路线图，为企业评价内控提供了一张打分表。
更活：强调企业可有自己的判断新《整体框架》相对于旧框架，在内控建设和评价中，强调依赖于管理层自身的判断，而不是像原来一样要求严格基于证据。
新框架强调董事会、管理层和内审人员拥有“判断力”，这是新框架比较“活”的地方。
Internal Control—Integrated Framework Executive Summary内部控制——整合框架内容摘要May 2013 2013年5月前言1992年Treadway委员会发起组织委员会（“COSO”）发布了其内部控制整合框架（“原框架”）。
原来的框架已得到了广泛的认可，并在世界范围内被广泛应用。
它被公认为设计、贯彻、运行内部控制并评价内部控制有效性的领先框架。
自原框架发布的二十年来，商业和运营环境已经发生了巨大的变化，越来越趋于复杂、技术驱动和全球化。
与此同时，利益相关者更多地参与，在内部控制系统完整性方面寻求更大的透明度和责任性，以支持商业决策和组织治理。
COSO很高兴提供更新版的内部控制整体框架（“框架”，Framework）。
COSO 相信框架将使各组织能够有效和高效地开发和维护内部控制系统，可以提高实现主体目标的可能性，适应商业和运营环境的变化。
有经验的读者会发现在框架中有许多是熟悉的，它们建立在原版本中被证明是有用的内容。
它保持了内部控制的核心定义和五项要素。
把五项要素作为评价内部控制系统有效性的要求，从根本上保持不变。
同时，在设计、贯彻和运行内部控制时，以及在评价内部控制系统有效性时，框架继续强调管理层判断的重要性。
与此同时，框架包括了一些旨在易于运用的改进和澄清。
一个更重要的改进之处是对原框架中已作介绍的基础概念的形式化。
在新版框架中，这些概念现在成为原则，与五项要素联系起来，为使用者在设计和贯彻内部控制系统和理解有效内部控制方面，提供清晰说明。
框架的改进还有，通过扩大财务报告目标类别以包含其他重要的报告形式，如非财务的和内部的报告。
同时，框架反映了过去数十年来商业和运营环境许多变化方面的考虑，包括：· 治理监督的期望· 市场和运营的全球化· 商业的变化和更大复杂性· 法律、法规、规则和标准方面的需求和复杂性· 能力和责任的期望· 不断发展的技术的适用和依赖· 与预防和发现舞弊有关的期望本“内容摘要”旨在为董事、首席执行官和其他高级管理人员提供了一个高层次的概述。
Internal Control–Integrated Framework部控制整合框架Executive Summary执行纲要Internal control helps entities achieve important objectives and sustain and improve performance.COSO’s Internal Control—Integrated Framework (Framework)enables organizations to effectively and efficiently develop systems of internal control that adapt to changing business and operating environments,mitigate risks to acceptable levels,and support sound decision making and governance of the organization.部控制帮助组织达到重要的目标，维持和改进业绩。
科索委员会的部控制整合框架使得组织能够开发有效果且有效率的部控制体系，该体系且能够适应变化的商业和运营环境，将风险降低到可接受的水平，并且促进规决策和组织的治理。
Designing and implementing an effective system of internal control can be challenging;operating that system effectively and efficiently every day can be daunting.New and rapidly changing business models,greater use and dependence on technology,increasing regulatory requirements and scrutiny, globalization,and other challenges demand any system of internal control to be agile in adapting to changes in business,operating and regulatory第1页environments.设计并实施一套有效的部控制体系是充满挑战的；每天保持制度运行的效果和效率会让人可望而不可及。
内部控制——整合框架►内容摘要[简体中文版本由中国企业内部控制标准委员会（财政部会计司）组织翻译] （简体中文版本翻译者：中国东北财经大学方红星教授）Treadway委员会发起组织委员会（COSO）Treadway委员会发起组织委员会（COSO）监督代表美国注册会计师协会（AICPA）Robert L. May，主席美国会计学会（AAA）Alvin A. Arens内部审计师协会（IIA）William G. Bishop, III 管理会计师协会（IMA）Thomas M. O’Toole 财务经理协会（FEI）P. Norman Roy COSO项目咨询委员会指导Gaylen N. Larsen，主席集团副总裁，首席会计官家居国际（Household International）集团C. Perry Colwell高级副总裁—财务管理AT&T（已退休）John H. Stewart助理司库IBM公司Andrew D. Bailey会计系教授亚利桑纳大学商务与公共管理学院William J. Ihlanfeldt助理主计长壳牌石油（Shell Oil）公司Howard L. Siers，顾问总审计师杜邦（E. I. Du Pont deNemours）公司（已退休）Roger N. Carolus高级副总裁国民银行（NationsBank）（已退休）David L. Landsittel管理董事—审计安达信（Arthur Andersen）公司永道（Coopers & Lybrand）作者主要撰稿人Vincent M. O’Reilly 副主席，会计与审计R. Malcolm Schwartz主管，纽约分所Richard M. Steinberg合伙人，国内分所Frank J. Tanki主任，会计与SEC技术服务Robert J. Spear合伙人，波士顿分所内容摘要高级执行官们长期以来一直在探寻更好地控制他们所经营的企业的方法。
第十讲内部控制与风险管理新发展1001COSO2013版内部控制整合框架王清刚中南财经政法大学会计学院Email：kjxywqg1125@COSO《内部控制——整合框架（2013）》●框架逻辑：目标——要素——原则——关注点●1.控制环境⏹原则1：组织显示出对诚信和道德价值观的承诺◆确立高层态度、建立行为准则、评价对行为准则的遵守情况、实施有关流程，并根据组织的行为准则来评估个人和团队的表现、及时处理变差情况⏹原则2：董事会应展现出其独立于管理层，并对内部控制的开展和成效实施监督◆建立监督责任、运用专业知识、保持独立运作、履行对内部控制体系的监督职责●1.控制环境⏹原则3：管理层为实现目标，应在董事会的督导下确立组织架构、汇报路线、合理的权利与责任◆考虑主体的所有架构；制定汇报路线；定义、分配及限制权力与责任（董事会、高级管理层、管理层、员工及外包服务供应商）⏹原则4：组织应展现出其对吸引、培养和留用符合组织目标要求的人才的承诺◆建立政策和实践；评估胜任能力并改善不足；吸引、培养和留用人才；规划与准备后续人才⏹原则5：组织为实现目标，应要求员工承担内部控制的相关责任◆通过组织架构、权利与责任来强化问责机制；建立绩效衡量、激励和奖励机制；评估绩效衡量、激励和奖励机制的持续相关性；考虑过度的压力；评价业绩并奖功罚过●2.风险评估⏹原则6：组织应设定清晰明确的目标，以识别和评估与目标相关的风险◆运营目标：反映管理层的选择、考虑风险容忍度、涵盖运营和财务绩效目标、形成资源配置的基础◆外部财务报告目标：符合适用的会计准则、考虑重要性水平、反映主体运营活动◆外部非财务报告目标：符合既定的外部标准和框架、考虑所需要的精确度水平、反映主体的活动◆内部报告目标：反映管理层的选择、考虑精确度要求、反映主题活动◆合规目标：反映外部法律法规及规章、内部制度、考虑风险容忍度与外部财务报 告目标相关： 年度财务报告 中期财务报告财务报告 外部报告与外部非财务 报告目标相关： 内部控制报告 社会责任报告管理层讨论与分析等非财务报告●用以满足外部利益相关方和监管机构的要求 ●按照外部标准编制 ●可能是应监管要求、合同或协议的要求编制和提供 主要特点与内部财务报 告目标相关：部门财务报表 成本分析表 费用分析表等内部报告与内部非财务 报告目标相关：员工权益保护报告 供应商管理报告 健康安全管理报告等●用以满足业务管理和经营决策的需要●按照相关性、及时性等要求灵活编制●由董事会和管理层建立等四类报告目标的内容、特点及关系●2.风险评估⏹原则7：组织应对影响其目标实现的风险进行全范围的识别和分析，并依此为基础来决定应如何管理风险◆应涵盖主体、下属单位、分部、业务单元和职能部门层面；分析内部和外部因素；让适当层级的管理层参与；评估所识别风险的重大性；决定如何应对风险⏹原则8：组织应在评估影响其目标实现的风险时，考虑潜在的舞弊行为◆考虑不同类别的舞弊、评估动机和压力、评估机会、评估态度和合理化●2.风险评估⏹原则9：组织应识别并评估对其内部控制体系可能造成重大影响的改变◆评估外部环境变化、评估商业模式变化、评估领导层变化●3.控制活动⏹原则10：组织应该选择并执行那些可以将影响其目标实现的风险降至可接受水平的控制活动◆与风险评估相结合、考虑主体特有的因素、确定相关业务流程、评估控制活动类别的组合、考虑控制活动的适用层级、强调职责分离●3.控制活动⏹原则11：针对信息技术，组织应选择并执行一般控制活动以支持其目标实现◆决定在业务流程中应用的信息技术和信息技术一般控制之间的依存度；建立于信息技术基础设施相关的控制活动；建立与安全管理流程相关的控制活动；建立于信息技术引进、开发、维护流程相关的控制活动⏹原则12：组织应通过政策和程序来实施控制活动，政策市建立预期，程序是将政策付诸行动◆制定政策和程序以支持管理层指令的实施、确立政策和程序执行的职责和问责制、及时执行、采取整改措施、选用合格人员、重新评估政策和程序●4.信息与沟通⏹原则13：组织应获取或生成和使用高质量相关信息来支持内部控制的持续运行◆识别信息需求、收集内外部数据、将数据转化为信息、在处理过程中确保信息质量、应考虑成本效益原则⏹原则14：组织应在内部对内部控制目标和责任等必要信息进行沟通，从而支持内部控制持续运行◆沟通内部控制信息、与董事会沟通、提供独立的沟通途径（如举报热线）、选择沟通方式⏹原则15：组织应就影响内部控制发挥作用的事项，与外部进行沟通◆能与外部沟通、能从外部输入沟通信息、与董事会沟通、提供独立的沟通途径（如举报热线）、选择沟通方式COSO《内部控制——整合框架（2013）》●5.监控⏹原则16：组织应选择、开展并实施持续和（或）单独评估，以确认内部控制的各要素存在并持续运行◆持续评估和单独评估的组合、考虑变化率、建立对基础的理解、选用具备专业知识的人员、与业务流程整合、调整范围和频率、反映客观地评估⏹原则17：组织应评价内部控制缺陷，并及时与整改责任方沟通，必要时还应与高级管理层和董事会沟通◆评价结果、沟通缺陷、监督整改措。
美国反虚假财务报告委员会下属的发起组织委员会（COSO）于2013年5月14日发布《2013年内部控制——整体框架》及其配套指南。
《整体框架》的发布将有助于公司高管在企业运营、法规遵从以及财务报告等方面采用更为严密的内控措施，提升内控的质量。
COSO原《整体框架》发布于1992年，21年的时间过去了，资本市场和商业环境已经发生了天翻地覆的变化，这也要求《整体框架》有所调整。
据了解，新《整体框架》和原版相比，在基本概念、内容和结构，以及内控的定义和五要素、评价内控体系的有效性标准等方面均没有变化，据此，在很多业内人士看来，新《内控框架》对于原版内控不应称为改动，而是一种升级。
新《整体框架》相比原版，主要有三大亮点，即更实、更活、更稳。
更实：提供了内控体系建设的原则、要素和工具新《整体框架》与原版相比，细化了董事会及其下设专业委员会的描述，这只是一般性的改动，而且新《整体框架》里提到了很多案例，以增强从业者对内控体系建设的理解。
不过，让专家们更感觉“入眼”的是新《整体框架》的一些实质性变动。
新框架在继承了旧框架对内部控制的基本概念和核心内容的基础上，提供了内控体系建设的原则、要素和工具，具体的变化体现在突出了原则导向，即在原有五要素基础上提出了17个基本原则，在此基础上进一步提炼出82个代表相关原则的主要特征和重点关注点的要素，这是本次修改的亮点，使内控体系的评价更加有据可循。
新框架提供了17条具体的原则，这是新框架比较“实”的地方，因为之前版本的内控框架只有五个要素，更像是一个学术模型，具体要怎么做，并没有非常明确的答案。
而这次COSO委员会提到的17条原则都是相对来说更明确的动作，这为企业做内控提供了一套路线图，为企业评价内控提供了一张打分表。
更活：强调企业可有自己的判断新《整体框架》相对于旧框架，在内控建设和评价中，强调依赖于管理层自身的判断，而不是像原来一样要求严格基于证据。
新框架强调董事会、管理层和内审人员拥有“判断力”，这是新框架比较“活”的地方。
COSO委员会新版《内部控制整合框架》的主要内容和实施
策略
郝振平
【期刊名称】《中国内部审计》
【年(卷),期】2014(000)003
【摘要】本文对COSO委员会2013年发布的新版《内部控制整合框架》进行分析,首先阐述了它的现实意义,新版内部控制整合框架是1992版的升级版,对各类组织完善和提升其内部控制的效率和效果都会发生重要作用.新版内部控制框架的主要内容可以概括为:一个定义、三类目标、五大要素和十七项原则.一个组织是否要实施以及如何实施新版框架需要根据组织的性质和类型进行判断,在了解相关法规制度体系的变化和要求的基础上作出决策,同时也要认识到内部控制具有一些局限和缺陷.
【总页数】5页(P20-24)
【作者】郝振平
【作者单位】清华大学经济管理学院会计系
【正文语种】中文
【相关文献】
1.COSO新框架开启内部控制新时代——访COSO委员会主席何逸夫 [J], 郭旭
2.COSO委员会组织内部控制监督项目研究 [J], 赵娜
3.浅析新版《内部控制——整合框架》对我国企业的启示 [J], 张栋;
4.浅析新版《内部控制——整合框架》对我国企业的启示 [J], 张栋
5.COSO委员会的内部控制整合框架更新及启示 [J], 史姝玥
因版权原因，仅展示原文概要，查看原文内容请购买。
美国反虚假财务报告委员会下属的发起组织委员会（COSO）于2013年5月14日发布《2013年内部控制——整体框架》及其配套指南。
《整体框架》的发布将有助于公司高管在企业运营、法规遵从以及财务报告等方面采用更为严密的内控措施，提升内控的质量。
COSO原《整体框架》发布于1992年，21年的时间过去了，资本市场和商业环境已经发生了天翻地覆的变化，这也要求《整体框架》有所调整。
据了解，新《整体框架》和原版相比，在基本概念、内容和结构，以及内控的定义和五要素、评价内控体系的有效性标准等方面均没有变化，据此，在很多业内人士看来，新《内控框架》对于原版内控不应称为改动，而是一种升级。
新《整体框架》相比原版，主要有三大亮点，即更实、更活、更稳。
更实：提供了内控体系建设的原则、要素和工具新《整体框架》与原版相比，细化了董事会及其下设专业委员会的描述，这只是一般性的改动，而且新《整体框架》里提到了很多案例，以增强从业者对内控体系建设的理解。
不过，让专家们更感觉“入眼”的是新《整体框架》的一些实质性变动。
新框架在继承了旧框架对内部控制的基本概念和核心内容的基础上，提供了内控体系建设的原则、要素和工具，具体的变化体现在突出了原则导向，即在原有五要素基础上提出了17个基本原则，在此基础上进一步提炼出82个代表相关原则的主要特征和重点关注点的要素，这是本次修改的亮点，使内控体系的评价更加有据可循。
新框架提供了17条具体的原则，这是新框架比较“实”的地方，因为之前版本的内控框架只有五个要素，更像是一个学术模型，具体要怎么做，并没有非常明确的答案。
而这次COSO委员会提到的17条原则都是相对来说更明确的动作，这为企业做内控提供了一套路线图，为企业评价内控提供了一张打分表。
更活：强调企业可有自己的判断新《整体框架》相对于旧框架，在内控建设和评价中，强调依赖于管理层自身的判断，而不是像原来一样要求严格基于证据。
新框架强调董事会、管理层和内审人员拥有“判断力”，这是新框架比较“活”的地方。
内部控制整合框架执行纲要内部控制帮助组织达到重要的目标，维持和改进业绩。
科索委员会的内部控制整合框架使得组织能够开发有效果且有效率的内部控制体系，该体系且能够适应变化的商业和运营环境，将风险降低到可接受的水平，并且促进规范决策和组织的治理。
设计并实施一套有效的内部控制体系是充满挑战的；每天保持制度运行的效果和效率会让人可望而不可及。
崭新且不断更新的商业模型，对技术的深入应用和依赖，日益繁多的监管要求和检查，全球化和其他挑战要求每一个组织的内部控制体系都能够更加敏捷地适应不断变化的商业、运营和监管的环境。
一套有效的内部控制体系除了对制度和流程严格遵守外，还要求判断力。
管理层和董事会通过其判断来决定多少控制是充分的。
管理层和其他员工每天通过其判断，在组织内选取，推进和实施各类控制。
管理层和内部审计师，以及其他的员工，通过其判断来监控和测试内部控制体系的有效性。
本框架在内部控制方面，对管理层，董事会，外部的利益相关者和其他与组织产生互动关系的相关方有所帮助，且不会过分死板；而这有赖于对内部控制体系构成要素的理解，有赖于对内部控制体系能够有效实施的时机的洞见。
对于管理层和董事会，本框架提供：一套工具，将内部控制推广到各类型的组织，无论行业或法律形式，无论在组织层面，经营单元层面或职能层面；一种原则导向的方法，能够灵活设计，实施和推进内部控制，并留有判断空间——这些原则可在组织层面、运营层面和职能层面应用；一些要求，具体阐述有效的内部控制体系的要素和原则是如何存在和发挥作用，如何在一起产生协调作用；一套工具，识别和分析风险，开发和管理合适的风险应对措施将风险控制在可接受的水平，且更关注反舞弊措施；一个机会，将基于财务报告的内部控制扩大应用范围，满足各种其他的报告、运营和遵循目标；一个机会，清理那些在降低风险方面价值不大的无效，冗余和低效的控制。
对于外部利益相关者和组织的其他相关方，本框架的应用可使其：对于董事会针对内部控制的监管更有信心；对于组织实现目标更有信心；对组织识别，分析和应对来自商业与运营环境风险与变化的能力更有信心；更了解有效的内部控制体系的具体要求；更了解管理层如何通过其判断清理那些无效，冗余和低效的控制。
内部控制不是一个按部就班的过程而是一个动态和整合的过程。
本框架可以适用于各类型的组织：大型，中型或小型；盈利，非盈利或政府机构。
然而，每个组织都可以有权选择，实施不同的内部控制。
例如，一个小型组织的内控体系可以不那么正式和结构清晰，但仍保持有效。
以下，本文将对内部控制提供总览，包括定义，各类别的目标，必要要素和相关原则的描述，以及对一个有效内部控制体系的要求。
本文也将讨论内部控制的局限性——为什么没有一个内部控制体系是完美的。
定义内部控制内部控制定义如下：内部控制是一套流程，受组织的董事会，管理层和其他员工所影响，被设计并用来为组织提供合理保证，使其实现运营，报告和遵循目标。
以上定义体现了一些基础概念。
内部控制是：使组织实现多个种类的目标，如运营，报告和遵循；一个持续不断的过程，包括各种任务和活动——一个达到目的的手段，而非目的本身；受人的影响——不仅仅是制度和流程手册，体系和表单，而是组织各个层级的人和他们所采取的行动；可以向组织的高级管理层和董事会提供合理保证——而非绝对保证；可以适应组织的结构——可灵活应用于整个组织或一个分支机构，业务部，运营单元或业务流程。
这个定义被设定的包含广泛，包括了关于组织如何设计，实施和推进内部控制的一些重要的基础概念，为不同的组织架构，行业和地理区域的组织提供了操作支持。
目标本框架提供了三个类型的目标，使得组织可以关注于内部控制的不同方面：运营目标——组织运营的效果和效率，包括运营和财务绩效目标，资产安全不受损失。
报告目标——内、外部的财务和非财务报告的可靠性、及时性、透明度，以及其他监管者、公认的标准制定机构和组织政策所要求的方面。
遵循目标——遵守对组织适用的法律法规。
内部控制的要素内部控制包括五个相关关联的要素。
控制环境控制环境是一套标准、流程和结构，能够为内部控制的实施提供基础。
董事会和高级管理层为内部控制的重要性（包括期待的行为准则）提供高层定调（the tone at the top）。
组织各个层级的管理活动强化了这种期望。
控制环境包括了组织正直和道德的价值观；促进董事会行使公司治理的监控职责的机制；吸引、开发和保留人才的机制；严格的绩效衡量、激励和汇报机制以保证绩效实现。
控制环境会对内部控制的整体体系产生全面影响。
风险评估每个组织都面临着来自内外部的各类风险。
风险是潜在事件发生并对组织实现其目标产生负面影响的可能性。
风险评估包括了根据组织要实现的目标，动态和反复的识别和评估风险的过程。
将全组织范围的影响目标实现的风险同已经建立的风险容忍度一同考量后，风险评估就为决定风险如何进行管理打下了基础。
风险评估的先决条件是组织各个层级的目标的确立。
管理层要结合运营、报告和遵循的三大类目标，明确相应的具体目标，以便识别和分析相关的风险。
管理层也要考虑这些目标对于组织的可持续性。
风险评估还要求管理层考虑可能导致内控失效的外部环境和内部商业模式的可能变化。
控制活动控制活动是通过制度和流程所确立的行动，旨在确保管理层降低影响组织目标实现的风险的方针得以实现。
在组织的各个层级，业务的各个环节，信息技术的整个环境中都应实施控制活动。
从性质上，可以是预防性的，也可以是检查性的；应覆盖手工和自动控制；包括授权和批准，复核，对账和业务绩效评估。
不相容职责分离也是典型的应选取和推进的控制活动。
如果不相容职责分离无法实施，管理层应选择和推进替代性的控制活动。
信息与沟通信息对于组织而言，对推进内控、促进其目标实现是非常必要的。
管理层从内外部获得或生成，并且使用相关的有质量的信息来支持内部控制其他要素的正常运转。
沟通是一个持续和不断重复的提供、分享和获得必要的信息的过程，。
内部沟通是一个手段，使得信息能够在整个组织向上、向下和横向扩散，能够帮助员工接受来自高管层的清晰的信息——控制的职责必须认真实施。
外部沟通包括两个部分：将外部的相关信息传入组织内部，以及根据其要求和期望，提供信息给外部的相关方。
监督活动持续的评价，独立的评价，或者两者的某种组合可以用来确认内部控制的五个要素以及每个要素下的原则是否存在并发挥作用。
嵌入整个业务体系的持续评价可以提供及时的信息；独立的评价需要定期开展，其范围和频率可能因风险评估，持续评价的有效程度以及管理层的其他考虑而有所不同。
评价中的发现应结合监管者、标准订立机构和管理层、董事会所设定的标准进行评估；缺陷应当视情况传递给管理层和董事会。
目标和要素的关系组织要实现的目标，为了实现目标所必须的要素，组织的组织架构（如运营单元，法律实体及其他）这三者之间存在着直接的关系。
这个关系可以以一个立方体的形式展现。
运营、报告和遵循三类目标以纵列表示。
•内部控制的五个要素以横行表示。
•组织的组织架构以第三维表示。
要素及原则本框架确立了十七项原则代表了与每个控制要素相关的基本概念。
因为这些原则直接从控制要素中提炼，一个组织可以直接应用全部这些原则来实施内部控制。
这些原则都可以应用于运营、报告和遵循三类目标。
这些每个控制要素内的原则如下：控制环境组织对正直和道德等价值观做出承诺。
董事会独立于管理层，并对内部控制的推进与成效加以监督控制。
管理层围绕其目标，在治理层监督下，建立健全组织架构、汇报条线、合理的授权与责任等机制。
组织对吸引、开发和保留与认同组织目标的人才做出承诺。
组织根据其目标，使员工各自担负起内部控制的相关责任。
风险评估就识别和评估与其目标相关的风险，组织做出清晰的目标设定。
组织对影响其目标实现的风险进行全范围的识别和分析，并以此为基础来决定风险应如何进行管理。
组织在风险评估过程中，考虑潜在的舞弊行为。
组织识别和评估对内部控制体系可能造成较大影响的改变。
s控制活动组织选择并开展控制活动，将风险对其目标实现的影响降到可接受水平。
.对（信息）技术，组织选择并开展一般控制以支持其目标的实现。
组织通过合理的政策制度和保证这些政策制度切实执行的流程程序，来实施控制活动。
信息与沟通组织获取或生成，并使用相关、有质量的信息来支持内部控制发挥作用。
组织在其内部沟通传递包括内部控制的目标和责任在内的必要信息以支持内部控制发挥作用。
组织与外部相关方就影响内部控制发挥作用的事宜进行沟通。
监督活动组织选择、推动并实施持续且（或）独立的评估以确认内部控制的要素是存在且正常运转的。
组织在相应的时间范围内，评价内部控制的缺陷，并视情况与那些应采取正确行动的相关方（如：高级管理层，董事会）沟通。
内部控制的有效性本框架对一个有效的内部控制体系设定了要求。
一个有效的体系应当为组织目标的实现提供合理保证。
一个有效的内部控制体系将影响组织目标实现的风险降低到可接受的水平，无论这些风险与一个、两个或三个类别的目标相关。
一个有效的内部控制体系要求：五个要素及相关的原则都存在且发挥作用。
“存在”是指这些控制要素和相关原则都已包含在内部控制体系的设计和运行中，以实现具体目标。
“发挥作用”是指这些控制要素和相关原则，确定的持续的存在于内部控制体系的运行和行为中。
五个控制要素共同运行，发挥整合的作用。
“共同运行”是指所有的五个控制要素共同的将影响目标实现的风险降低到可接受水平。
控制要素不应被割裂的看待，而应被视为一个整体。
当一个重大的缺陷存在，可能影响控制要素和相关原则的存在和发挥作用，或影响其共同运行发挥整合的作用，该组织不能认为其达到了内部控制的有效性。
当一个内部控制体系要实现有效性，高级管理层和董事会要在整个组织架构中对其实施有合理保证，使得组织：在不太可能有外部事件对组织实现其目标产生重大影响的情况下，或者组织可以合理的预测外部事件的性质和时间点以降低其影响到可接受水平的情况下，组织能够保证有效果和有效率的运营。
在不太可能有外部事件对组织实现其目标产生重大影响的情况下，或者组织可以合理的预测外部事件的性质和时间点以降低其影响到可接受水平的情况下，了解其运营受到管理的效果和效率所达到的程度。
能够根据相关规则、规定和标准，或者具体的报告目标提供报告。
遵循相关的法律、规则、规定和外部标准。
本标准要求在设计、实施和推进内部控制和评价其有效性时进行判断。
在法律、规则、规定和标准允许的范围内，判断的使用将加强管理层对于内部控制做出更佳决策的能力，但不能保证完美的结果。
局限性本框架承认：虽然内部控制为组织实现目标提供合理保证，但仍存在局限性。
内部控制无法防止错误的判断和决策，或者外部可能造成组织无法实现其运营目标的事件。
换言之，即使一个有效的内部控制体系也会经历失败。
