内部控制包括五个相互联系的要素。它们源自管理层的经营方式，并与管理过程紧密相连。尽管此五项要素适用于各类企业，但是中小企业对其应用可能不同于大型企业。中小企业的内部控制可能不及大型企业正式、组织性强，但其内部控制也可能是有效的。内部控制的五项要素为：
控制环境——控制环境决定了企业的基调，直接影响企业员工的控制意识。控制环境提供了内部控制的基本规则和构架，是其他四要素的基础。控制环境包括员工的诚信度、职业道德和才能；管理哲学和经营风格；权责分配方法、人事政策；董事会的经营重点和目标等。
风险评估——每个企业都面临诸多来自内部和外部的有待评估的风险。风险评估的前提是使经营目标在不同层次上相互衔接，保持一致。风险评估指识别、分析相关风险以实现既定目标，从而形成风险管理的基础。由于经济、产业、法规和经营环境的不断变化，需要确立一套机制来识别和应对由这些变化带来的风险。
控制活动——控制活动指那些有助于管理层决策顺利实施的政策和程序。控制行为有助于确保实施必要的措施以管理风险，实现经营目标。控制行为体现在整个企业的不同层次和不同部门中。它们包括诸如批准、授权、查证、核对、复核经营业绩、资产保护和职责分工等活动。
有效性。 内部 控制的缺陷应该自下而上进行汇报， 性质严重的应上报最高管理层和董 事会。 这五项要素既相互独立又相互联系，形成一个有机统一体，对不断变化 的环境自动作出反应。内部控制制度与企业的经营行为紧密相连，因基 本的商业动机而存在。 内部控制成为企业内部构架的核心部分和基本理 念时最为有效。这时内部控制可以支持经营质量和主动的授权，避免不 必要的花费，并对环境的变化迅速作出反应。
内部控制的三类目标之间具有直接联系，他们代表了企业努力的目标； 而五项要素代表了实现这些目标所需元素。 所有五项要素都与每一类目 标相联系。 为实现每一类目标——如经营的效率和效果——需要五项要 素共同发挥作用，以说明经营的内部控制是有效的。 内部控制的定义——受人为因素影响、提供合理保证的过程，这一 内在基本的概念——及其不同种类的的目标、内部控制要素、内控有效 性评价准则、与之相关的讨论，构成这本内部控制基本构架的内容。 内部控制的目标： 提高企业运营的效果和效率。这里所谓的效果，就是实现组织目标 的程度（比如组织十分取得赢利、利润的多寡等）；效率就是一定资源 投入所带来的产出。 财务报告的可靠性和完整性。由于财务报表是综 合反映企业经验效果和效率的文件，也是企业风险控制的重要依据，因 此财务报告应该是可靠和完整的。 这里的可靠性是财务记录应完全忠于 企业的资产财产状况、经营过程和经营结果，同时要求对财务记录进行 处理的手段和方法是正确的，技术和表达是准确的；所谓完整性，就是 财务报告要全面详尽地反映组织的财务状况和经营结果， 而非有所保留 或有所遗漏。 法律法规和合同的遵循性。 法律法规和合同的执行可以从多个方面 反映企业的风险。一方面，违反法律和合同，会给企业带来较高的违法 或违约层报（诸如罚款、索赔），另一方面，违反法律法规和合同的行 为，可能隐含着对企业资产或股东利益严重的危害（诸如转移资产、破 坏企业信誉等）。
