每个组织都会实施控制措施。有效的控制可预防、检测和/或遏制事故，并帮助从风险事件中恢复。组织通过政策、程序、实践和组织结构来设计、开发、实施和监控信息系统，从而消除不同类型的风险。
控制通常由政策、程序、实践和组织结构组成，用于缓解组织面临的风险。内部控制的目的是向管理层提供合理保证，确保实现组织的业务目标以及预防或检测和纠正风险事件。内部控制活动和辅助流程可以是手动或自动执行。
