COSO（美國反舞弊性財務報告委員會發起組織）的報告裡寫到“再好的內部控制體系，它不能夠把一個劣跡斑斑的或沒有經營智商的管理層變成一個非常有經驗頭腦的能力的管理層”。鉑略諮詢認為它的作用不在於智慧和能力，它的作用在於去完成外界強制要完成的事情，在企業實現主要目標的前提下。它是一種防禦性措施，它所強調的是一種必須做的義務和責任，而不是智慧和能力。

1.控制環境（Control environment）

它包括組織人員的誠實、倫理價值和能力；管理層哲學和經營模式；管理層分配權限和責任、組織、發展員工的方式；董事會提供的關注和方向。控制環境影響員工的管理意識，是其他部分的基礎。

2.風險評估（risk assessment）

是確認和分析實現目標過程中的相關風險，是形成管理何種風險的依據。它隨經濟、行業、監管和經營條件而不斷變化，需建立一套機制來辨認和處理相應的風險。

3.控制活動（control activities）

是幫助執行管理指令的政策和程序。它貫穿整個組織、各種層次和功能，包括各種活動如批准、授權、證實、調整、經營績效評價、資產保護和職責分離等。

4.信息的溝通與交流（information and communication）

信息系統產生各種報告，包括經營、財務、守規等方面，使得對經營的控制成為可能。處理的信息包括內部生成的數據，也包括可用於經營決策的外部事件、活動、狀況的信息和外部報告。所有人員都要理解自己在控制系統中所處的位置，以及相互的關系；必須認真對待控制賦予自己的責任，同時也必須同外部團體如客戶、供貨商、監管機構和股東進行有效的溝通。

5.對環境的監控（monitoring）

監控在經營過程中進行，通過對正常的管理和控制活動以及員工執行職責過程中的活動進行監控，來評價系統運作的質量。不同評價的範圍和步驟取決於風險的評估和執行中的監控程序的有效性。對於內部控制的缺陷要及時向上級報告，嚴重的問題要報告到管理層高層和董事會。