每個企業(yè)都面臨著來自內(nèi)部和外部的不同風險，這就需要對這些風險都加以評估。特別要注意的是當企業(yè)內(nèi)外部環(huán)境發(fā)生變化時，風險最容易發(fā)生，因此應加強對環(huán)境改變時的事務管理。風險評估是提高企業(yè)內(nèi)部控制效率和效果的關(guān)鍵之一。
國外對風險評估非常重視。戰(zhàn)略管理中常用的“SWOT”(strength，weakness，opportunitiesand threats)分析法，就是風險分析的一種。企業(yè)應該對內(nèi)分析自身的優(yōu)勢與劣勢，長處與短處，對外分析外界的機會和威脅，考慮自己的生存機遇。不僅企業(yè)在戰(zhàn)略目標的制定過程中要進行“SWOT”分析，而且在企業(yè)日常的內(nèi)部控制過程中也應該時時這樣做，才能將內(nèi)部控制目標達不成的風險降至最低。
一、控制活動策略
企業(yè)管理階層辨識風險之后，應針對這種風險發(fā)出必要的指令。控制活動即確保管理階層的指令得以執(zhí)行的政策及程序，包括核準、授權(quán)、驗證、調(diào)節(jié)、復核、職務分工以及保障資產(chǎn)安全等多種活動?？刂苹顒又荚趲椭髽I(yè)針對“使企業(yè)目標無法達到的風險”采取必要行動。一個完整的控制活動體系應包括以下五個方面：
1．企業(yè)績效分析及相應指標的比較。
企業(yè)在生產(chǎn)經(jīng)營過程中會采取各種措施，如價格政策的變化、新產(chǎn)品開發(fā)、合資經(jīng)營、融資行為以及生產(chǎn)技術(shù)的改良、生產(chǎn)成本的控制等，高層管理人員應對這些措施的效果進行評價，并與預算、預測、前期及競爭者的績效相比較，以衡量目標達成的程度，同時對計劃執(zhí)行情況進行監(jiān)督，還需要調(diào)查超出計劃的結(jié)果或者不正常的趨勢，辨認目標無法達成的原因。
2．直接的部門管理。
部門經(jīng)理應認真復核本部門的經(jīng)營業(yè)績，檢查本部門經(jīng)營活動的執(zhí)行情況，并對某項經(jīng)營活動的前景和趨勢進行預測。
3．實體控制。
為保證企業(yè)資產(chǎn)的安全完整，應定期進行盤點，并與賬面記錄比較。
4．信息控制。
包括一般控制和應用控制兩方面。一般控制幫助管理階層確保系統(tǒng)持續(xù)、適當?shù)倪\轉(zhuǎn)；應用控制概括起來就是輸入控制和輸出控制，如系統(tǒng)軟件的控制，存取安全的控制，系統(tǒng)維護控制等。
5．分工。
員工應各司其職，避免交叉、舞弊現(xiàn)象的發(fā)生。
控制活動是針對關(guān)鍵控制點而制定的，因此，企業(yè)在制定控制活動時關(guān)鍵就是要尋找關(guān)鍵控制點。企業(yè)一般根據(jù)其經(jīng)營活動的五大循環(huán)即采購循環(huán)、銷售循環(huán)、付款循環(huán)、收款循環(huán)和理財循環(huán)等分別設計其控制活動。在各個循環(huán)中，往來賬款是最常見的一項業(yè)務。導致往來賬款業(yè)務中出現(xiàn)問題最主要的原因就在于企業(yè)缺乏相應的控制政策和控制程序，如崗位分離、授權(quán)批準、文件記錄、預算控制、實物保全等，或有了這些政策和程序卻沒有執(zhí)行。
二、信息與溝通策略
圍繞在控制活動周圍的是信息與溝通系統(tǒng)。一個良好的信息和溝通系統(tǒng)可以使企業(yè)及時掌握企業(yè)營運的狀況和組織中發(fā)生的事情。信息與溝通系統(tǒng)的質(zhì)量影響到企業(yè)內(nèi)部控制的效率和效果。具體包括以下兩個方面：
1．信息系統(tǒng)。
一個良好的信息溝通系統(tǒng)不僅要有向下的溝通管道，還應有向上的、橫向的以及對外界的信息溝通管道。企業(yè)建立良好的信息系統(tǒng)，必須做到：
(1)建立良好的信息系統(tǒng)支持策略;(2)將信息系統(tǒng)與企業(yè)營運有效的結(jié)合;(3)恰當選擇更新信息系統(tǒng)的最佳時間;(4)確保信息品質(zhì)。
2.溝通。
一個良好的信息系統(tǒng)應能確保組織中每個人均清楚地知道其所承擔的特定職務。每位員工都必須了解內(nèi)部控制制度的有關(guān)方面，如這些方面如何生效，在控制制度中所扮演的角色、所擔負的責任以及怎樣與他人的工作發(fā)生關(guān)聯(lián)等。
三、內(nèi)部監(jiān)督策略
一個健全的內(nèi)部控制系統(tǒng)必須得到有效的監(jiān)督。監(jiān)督是由適當?shù)娜藛T，在適當及時的基礎(chǔ)下，評估控制的設計和運作情況的過程，也是一種隨著時間的推移而評估制度執(zhí)行質(zhì)量的過程。監(jiān)督可通過日常的、持續(xù)的監(jiān)督活動來完成，也可以通過進行個別的、單獨的評估來實現(xiàn)，或兩者結(jié)合。
1.持續(xù)的監(jiān)督活動。
持續(xù)的監(jiān)督活動在營運過程中發(fā)生，它包括例行的管理和監(jiān)督活動，以及其他員工為履行其職務所采取的行動。持續(xù)監(jiān)督活動包括:(1)績效比較;(2)外界溝通;(3)內(nèi)部監(jiān)督;(4)職務分離;(5)建議制度;(6)信息反饋。
2.個別評估。
在持續(xù)監(jiān)督的基礎(chǔ)上，企業(yè)在必要的時候需要聘請獨立的人員或組織進行評估，以直接監(jiān)視控制系統(tǒng)的有效性，這種做法是對持續(xù)性監(jiān)督程序的評估。其范圍和頻率應視風險的大小及控制的重要性而定。
3.報告缺陷。
對內(nèi)部控制的缺失應由下向上報告，某些重大缺失應報告給高層管理階層和董事會。