虽然对内部控制投入最多关注的是审计师，但是内部控制之所以存在与发展，却并不是出于审计师的意愿，而是企业自身管理的需要。管理和控制是相互依存的，但管理和控制毕竟又是不同的。IMA就指出，管理人员中有很大一部分对内部控制持有非常消极的态度，并且认为在某种程度上内部控制限制了他们的决策和企业家精神的发挥美国管理会计师协会（IMA）发布.财务报告内部控制与风险管理［M］.张先治，袁克利主译.大连：东北财经大学出版社，2008：90.。Root认为，只有在组织最高层次的负责监督内部控制的关键人员理解了什么是内部控制、了解了组织中实施的内部控制层次并接受了内部控制固有的风险的时候，才能获得最有效的内部控制的精髓Stephen J. Root.超越COSO：加强公司治理的内部控制［M］.付涛，卢远瞩，黄翠竹译.北京：清华大学出版社，2004：序言部分.。Holden等（1941）指出，作为一个过程，控制包括目标、程序和评价三个要素。Drucker（1954）、Luneski（1964）、Litterer（1965）、Kast和Rosenzweig（1970）都曾指出，管理控制由两部分组成：一个与通过指导有效控制下属有关；一个与评价预期的结果和必要时做出修正有关。Ouchi（1979）按照不同层级中管理者的不同管理风格及其影响力将内部控制分为市场控制、制度控制和团队自我控制。Goold（1994）按照管理程序将内部控制分为战略计划、战略控制和财务控制。Nilsson和Olve（2001）按照管理阶段将内部控制分为战略管理控制、价值管理控制和业绩管理控制。安东尼（2004）按照管理层级将内部控制分为战略规划、管理控制和作业控制。
1995年，加拿大特许会计师协会（CICA）下设的控制准则委员会（CoCo）经过三年的研究，正式发布了关于内部控制的框架性文件——《控制指南》，其将内部控制划分为目标、解释、能力、监督和学习四个要素。目标是对企业发展方向的描述，它包括企业的目标、面临的风险和机遇、经营方针、计划、业绩目标及其评价指标等。解释是对企业特质的描述，它涉及企业的道德标准、人力资源政策、权力和责任的分配以及员工之间的相互信任等。能力是指企业相对于给定任务的胜任程度，它涉及知识、技能和工具、信息及信息的传递、协调和控制活动。监督和学习则着眼于企业的发展，它包括：对企业内外部环境的考察，对经营业绩的考核，对相关假设的质疑，对信息需求与信息系统的重新评价、追踪调查及后续行动程序的建立，对控制有效性的评估。王竹泉、隋敏（2009）认为，CoCo四要素更加体现出内部控制的过程性特征。Root（1998）在CoCo报告的基础上，按照管理方法将内部控制分为战略思考、内部计划、目标设定、确立竞争基准、保持核心竞争力、创新性解决方案、冒险、流程和方法、激励、持续提高、人力开发、股本价值、信息和分析、结果导向、响应性和继任计划16个要素，每个要素又被分解为16个子要素。李心合认为，内部控制属于管理学范畴，从管理学的视角看，内部控制应当是价值创造导向而不是财务报告导向。价值创造导向的内部控制体系包括控制环境、目标制定与预算编制、风险识别与应对、控制程序和方法、信息及沟通、绩效评价与激励、监控七项要素以后文中若无标明，均指狭义控制环境。。
（3）监管视角下的内部控制要素
我国的内部控制是在政府大力推动下发展起来的。1999年6月，证监会发布《关于上市公司做好各项资产减值准备等有关事项的通知》，要求上市公司本着审慎经营、有效防范化解资产减值风险的原则责成相关部门拟定（或修订）内部控制制度，证监会对内部控制制度的制定和执行情况进行监督。可见，最早的内部控制规范是出于资本保全的目的。1999年10月颁布、2000年7月实施的新《会计法》提出各单位应当建立、健全本单位内部会计监督制度的要求，并明确了会计工作中职务分离、重大事项决策与执行程序、财产清查和定期内部审计等规定。这些要求和规定从其实质内容来讲，就是内部控制二分法的体现。在此基础上，2001年6月，财政部颁布了《内部会计控制规范——基本规范（试行）》，随后又陆续发布了具体规范，从而深化了内部会计控制的内容。由此可见，在我国，内部控制二分法是出于监管要求划分的，即证监会、财政部负责内部会计控制方面的监管，而上市公司主管部门负责内部管理控制方面的监管。2008年5月出台的《基本规范》继续沿用COSO报告的五要素观，并在此基础上结合我国国情，赋予其新的名称与内涵。笔者认为，《基本规范》中的内部控制五要素也是出于监管要求划分的。一个明显的例子是，出台机构是清一色的政府部门。还有，内部监督包括监督之后需提交相应的检查报告，而检查报告的提交对象往往是监管部门。这些说明了我国内部控制要素的划分或多或少地带有计划经济的痕迹，或者说带有政策的味道。
（4）其他视角下的内部控制要素
CoCo在《控制指南》中将“控制”的定义扩展为不只是一个过程，而是组织中那些联合起来可以支持人们实现组织目标的，包括资源、系统、流程、文化、结构和任务等在内的要素。刘金文（2004）认为，一个完整的内部控制分析框架应由控制环境、控制系统、监督与修正活动三个必不可少的要素组成。控制环境是基础，控制系统是核心，监督与修正活动是保障。李凤鸣、韩晓梅（2001）认为，控制环境对内部控制的效果影响更大，将升华为企业文化。张宜霞（2004）认为，从企业系统整体的角度来看，大口径内部控制应当包括企业治理控制、企业管理控制、管理信息系统和企业文化四个部分。王竹泉、隋敏（2009）干脆将内部控制划分为企业文化与控制结构两要素。还有学者认为，内部控制包括人员控制、资金控制、信息控制三大要素，其中人员控制还包括了行为控制。
综上所述，关于内部控制要素的划分，国内外学者与相关机构已经从不同的视角进行了系统研究。但是，我们认为，迄今为止还没有相关文献涉及内部控制要素在信息披露视角上的划分。我国证券监管部门已对上市公司内部控制信息实行强制披露，如同财务报告信息，内部控制信息也将成为会计理论界与实务界关注的焦点。会计要素的划分方法便于财务报告信息的呈报，相反，从一开始并未要求披露内部控制信息，所以，内部控制要素的现行划分方法，并不会有助于内部控制信息的披露。这里，我们以内部控制要素为基础，从信息披露视角，提出“内部控制报告要素”的概念。内部控制报告要素是构成内部控制报告的基本单位。内部控制报告要素的清楚界定有助于上市公司提供高质量的内部控制信息，降低信息披露成本；同时，有助于投资者阅读更为清晰、简洁的内部控制报告，从而缓解投资者与管理当局的信息不对称程度。
（二）内部控制报告要素
1.控制环境的内容与性质
（1）控制环境的内容
控制环境是影响、制约企业内部控制建立与执行的各种内部因素的总称，是实施内部控制的基础。“内部控制结构”把控制环境分为七个方面：管理者的思想和经营作风；企业组织结构；董事会及其所属委员会，特别是审计委员会发挥的职能；确定职权和分配责任的方法；管理者监控和检查工作时所用的控制方法，包括经营计划、预算、利润计划、责任会计和内部审计；人事工作方针及其执行；影响本企业业务的各种外部关系。《内部控制——整合框架》也把控制环境分为七个方面：员工的诚实性和道德观；员工的胜任能力；董事会或审计委员会；管理哲学与经营方式；组织结构；授予权利和责任的方式；人力资源政策和实施。以上所列举的内容中有些项目具有共同的特征，可以对其进行适当归并，如诚实性和道德观、员工的胜任能力、管理哲学和经营方式等都与企业的组织理念有关，因此可把它们统一归为企业文化之列。而有些项目则不属于控制环境的内容，如管理者监控和检查工作时所用的控制方法、授予权利和责任的方式等构成控制主体实施控制的手段，将其作为控制环境的组成部分显然不恰当，也缺乏一定的逻辑性，应从控制环境中剔除。格雷夫认为，假定博弈规则技术上是给定的，作为对人们相互关系的非技术性约束的制度则包括两个相关的部分：文化观点（在不同情况下个体如何预期别人的行动）和组织（可以改变博弈规则的内生的人类架构）。蔡吉甫（2008）在其博士论文中指出，控制环境由企业内环境和企业外环境构成。其中，内环境又可分为企业文化和信息与沟通系统。企业文化影响内部控制的意识和理念，信息与沟通系统是实施内部控制的必要条件。企业外环境则由一国的经济、技术、社会文化和政治体制组成，其对内部控制的发展具有促进或者阻滞作用。
广义上，控制环境应该包括内部控制环境与外部控制环境。对于企业来说，后者是不可控的，而且只要企业存在，其对所有企业都一视同仁地产生影响，类似于系统性风险；前者则类似于非系统性风险。不同的企业有不同的内部控制环境，这是我们要讨论的重点，也是狭义的控制环境以后文中若无标明，均指狭义控制环境。。笔者认为，控制环境主要包括组织结构、公司治理、组织文化（或企业文化）、信息与沟通机制等方面的内容。
① 组织结构
人类最伟大的成就是组织，内部控制是组织赖以结合、运作、维持、变化和分解的一个关键要素。内部控制受到“人”的因素的影响，它并不仅仅是政策手册和表格，不仅仅是管理人员、内部审计师或董事会成员，而是组织中的每一个人，每一个人都是一个独特的参照点，都对内部控制负有责任并受到内部控制的影响。这种观念的确立有利于企业的所有员工明确自己的责任和权限，主动地维护及改善企业的内部控制。组织结构应有助于公司内部的责任分配和有效授权；有助于信息向管理部门流动，进而形成有效的报告途径。
② 公司治理
自从Jensen和Meckling（1976）讨论公司代理问题以来，上市公司治理结构就成为一个热点话题。从某种程度上说，公司治理是保护投资者权益不被侵害和掠夺的一套机制。Tirole（2000）认为，公司治理的标准定义是对股东收益的保护。在新制度经济学中，以Williamson为代表的交易费用经济学派看来，哪怕是最简单的交易活动都少不了被Williamson（1985）称为“治理结构”的某些机制，为的是保护交易主体免遭各种机会主义的侵害。1995年5月，29个发达国家组成的经济合作与发展组织（OECD）理事会在其制定的《公司治理结构原则》中指出，良好的公司治理结构能够起到的第一个作用就是维护股东权利。LLSV（2000）指出，公司治理机制的核心是保护投资者，特别是小投资者权益LaPorta，Lopez－de－Silanes，Shleifer and Vishny.Investor Protection and Corporate Governance ［J］.Journal of Financial Economics，2000，58：3～27.。李维安（2003）认为，公司治理的最终目的不在于分权与相互制衡，而在于保证公司科学决策，维护各方参与人的利益。蔡吉甫（2008）也认为，公司治理的功能在于控制公司代理问题，保证公司管理层能够最大限度地从维护投资者利益的角度出发经营公司。李四海（2008）就公司治理与内部控制的关系总结了以下四种观点李四海.我国上市公司治理与内部控制的优化整合——基于中航油案例的分析［C］.中国青年会计学者学术研讨会会议论文，2008.：A.环境论。阎达五、杨有红等学者提出，公司治理结构与内部控制是内部管理监控系统与制度环境的关系，合理的公司治理是内部控制有效性的保障。内部控制失效就会无法保证会计资料的真实、完整，而董事、经理的选择和考核都建立在会计信息可靠性的基础上，这样，不利于保护投资者和其他利益相关者的利益。B.嵌合论。许新霞、王学军、李连华等学者认为，公司治理结构与内部控制在主体、目标和内容上有着很多的重合点和交叉性，它们之间是一种嵌合关系或者说是“你中有我、我中有你”的相互包含关系。C.基础论。杨雄胜（2005）认为，内部控制是公司治理的基础，没有系统、具体而有效的内部控制，公司治理将成为一纸空文，应将内部控制看作实现公司治理的基础设施予以建设。D.补充论。吴水澎等（2005）认为，企业是由物质资本产权与人力资本产权组成的契约，基于这个契约的不完全确定性而实施的公司治理其实就是企业内各行为主体之间达成的一种合约，而内部控制则是这个合约的一个补充合约。当公司治理出现问题，各管理层职责未履行到位，还怎么谈得上贯穿整个公司的内部控制？
③ 组织文化（或企业文化）
