企业风险管理框架，结合开展业务时应实施哪些管理活动， 讨论了框架的构成要素。框架认为，在董事会的适当监督之下，管理层的判断将引导战略实施、风险管理和控制等活动，

确保组织有恰当的目标设定流程是企业风险管理的重要构成要素。管理层遴选出的特定目标是影响企业风险管理实施的管理决策。在相似的环境下，不同的管理人员会制定不同的目标。

基于适当风险评估而制定的风险响应措施是企业风险管理的组成部分。管理层确定的特定风险响应措施以及与此相关的组织资源分配活动对企业风险管理的实施有重大影响。虽然有若干种方法可以对风险进行响应，但是框架认为，组织选择采用的特定风险响应措施应足以使组织能够在其风险偏好或风险容忍度范围内完成各项目标。

建立并执行控制活动有助于确保风险响应管理措施有效地降低风险，这是企业风险管理的重要组成部分。管理层确定的特定控制活动会影响企业风险管理的实施。虽然有若干种方法来设计控制活动以降低风险，但是框架认为，组织选择采用的特定控制活动应足以使组织在其设定的风险容忍度范围内完成各项目标。

COSO 框架强调企业风险管理应涵盖能够使管理层根据已知风险做出明智决策的管理流程的构成要素。管理层和董事会的决策会对战略、风险管理和控制造成影响。因此， 某个组织的风险偏好可能会与其他组织不一样。每个组织在实现目标的过程中都会承受风险（包括什么也不做的风险），而战略和风险管理是紧密相关的。因此，管理决策的制定应匹配以恰当的风险响应和内部控制措施，从而使其能够在战略制定流程中设定的风险偏好范围内完成各项目标。

如上文所述，组织的“内部环境”必须与管理层的战略流程和董事会的监督相协调。根据企业风险管理框架的相关内容，内部环境构成要素紧紧环绕组织的基调，设定了组织内员工看待与处理风险的背景，主要包括风险管理哲学、风险偏好、诚实和道德价值观以及上述活动所处的环境。董事会的监督，组织对于胜任能力的关注、组织结构、职责分配以及人力资源标准等共同营造了运营环境。这些内部环境的构成要素为企业风险管理的其他要素提供了基础， 对管理层决策有重要影响。

内部控制—综合框架

使得管理层可以时刻关注组织的运营和财务绩效目标，确保经营活动遵守相关法律，降低意外事件的发生概率。内部控制使组织能够更为有效地应对不断变化的经济和竞争环境、领导层变动、优先事项以及不断演变的商业模式。

内部控制是企业风险管理的组成部分，因为企业风险管理框架的构成要素涵盖了内部控制框架的构成要素。但即便是企业风险管理框架包括了内部控制，COSO 还是设计了内部控制框架，进一步健全了相关概念和工具，以使组织在没有实施正式的企业风险管理流程的情况下能够施行内部控制框架。虽然COSO 建议为了获得最优的业务成果， 组织应该采用企业风险管理，但鉴于在世界范围内企业风险管理的应用程度都比较低，一个健全的、包含风险管理要素的内部控制框架就成为不错的替代方案。一套系统且严谨的方法能够使流程更为健全，成功实现战略的可能性也随之增加。

一套有效的内部控制系统能够为目标的实现提供合理的保证，将影响目标实现的风险降低到可接受水平。内部控制在确保组织成功的过程中扮演着重要的角色。