隨着國際和資訊技術的，世界經濟一體化爲企業在全球範圍內的大市場中開展經營活動提供了機會，同時也使企業生存與發展的環境面臨更大的風險。風險已成爲企業目標實現的重要因素，治理與控制風險變得越來越重要。
企業內部控制系統存在的目的在於對威脅其目標實現的風險進行治理。企業的內部控制能否發揮作用，還必須考慮企業面臨的風險的性質、範圍、風險可量化程度、控制本錢與治理相關風險可獲得的收益的對比。
1.風險控制水平
企業治理當局對風險的態度直接影響風險的控制水平。假如企業治理當局喜歡冒險，對面臨的風險缺乏預防或控制措施，則會引起巨大損失；假如過分謹慎也會使企業失往發展機會；只有正確地熟悉風險，並對風險加以控制，才能最大限度地進步企業的利潤。這說明風險控制的目的`不是爲了限制企業的各種經營活動，而是確保它們受到正確的引導，以減少不必要的損失。筆者以爲對待風險的策略應該是適當地接受風險，但這並非是盲目地冒險，而是事先公道地預計可能的風險，積極地尋求企業的發展機會。就像一個人不能由於害怕事故而不出門或不駕車，而是應該在其出門或駕車時採取必要的防範措施，如遵守交通規則、扣好安全帶或避免高速行駛等。就企業而言，可以發展業務組合（有不同風險和回報的業務的組合）或退出高風險低迴報的業務領域。
2.比較風險與回報
風險的可接受水平取決於回報的大小。通凡人們爲了實現高回報才往冒較大的風險，而不會爲了低迴報往冒較高的風險。最好的貿易機會是回報高而風險小的貿易機會；而低迴報高風險則會對企業構成較大的危險。
3.風險控制本錢
假如企業沒有對風險進行控制，那麼就要承擔出和事故的代價，如一次污染後要支付的處理費，平息一次工傷事故的用度，或收回劣質產品的開支。所有這些用度，都可在圖1中用事故用度曲線表示。當企業意識到治理企業風險的必要性後，就開始在預防手段上投資，包括進行預防的支出及爲加強控制而增加的人工用度等，這些開支可用預防用度曲線表示。從圖1中我們可以看到，隨着預防用度的增加，事故的發生率下降，因此事故用度也隨着下降，總體開支下降。事故用度曲線與預防用度曲線的交點使企業總體開支最低。假如企業繼續投資於預防措施上，尋找進一步減少事故發生的可能性，那麼預防用度就會上升。最後總體用度達到了企業開始治理風險以前的水平。圖1顯示，在風險治理上有一個最優效果的投資水平，投資過多會使企業背上本錢的負擔，使它失往競爭力，而關注不足會使企業付出高昂的事故用度，中間的某處是最佳的位置。
由此可見，企業爲降低總體開支水平，必須識別和評估風險，建立適當的控制制度，採取行動治理風險，並對治理的效果進行監視和檢查。
二、內部審計領域的風險導向審計
內部審計既是內部控制的一個組成部分，又是內部控制的一種特殊形式。1986年最高審計機關國際組織在第十二屆國際審計會議上發表的《總聲明》中，就把內部審計與組織結構、程序一起列爲內部控制的重要組成部分。1992年，美國的“反虛假財務報告委員會”發起成立的一個贊助組織委員會（簡稱COSO，Committee