（2）风险评估。风险评估是指识别和分析与实现目标相关的风险，并采取相应的行动措施加以控制。这一过程包括风险识别和风险分析两个部分。通常，企业的风险主要来自于外部环境和内部条件的变化。其中，风险识别包括对外部因素（如技术发展、竞争、经济变化）和内部因素（如员工素质、公司活动性质、信息系统处理的特点）进行检查。风险分析则涉及估计风险的重大程度、风险发生的可能性、如何控制风险等。
（3）控制活动。控制活动是指企业对所确认的风险采取必要的措施，以保证企业目标得以实现的政策和程序。与内部控制相关的控制活动包括职务分离、实物控制、信息处理控制、业绩评价等。
其中，职务分离是指为了防止单个雇员舞弊或隐藏不正当行为而进行的职责划分。一般来说，应该分离的职责有：业务授权与业务执行、业务执行与业务记录、业务记录与业务稽核等。实物控制是指对企业的具体实物所进行的控制行为，如针对现金、存货、固定资产、有价证券等所进行的控制。信息处理控制可分为两类，一般控制和应用控制。一般控制通常与信息系统的设计和管理有关。应用控制则与个别数据在信息系统中处理的方式有关。业绩评价是指将实际业绩与业绩标准进行比较，以便确定业绩的完成程度和质量。