风险分类的方式有很多，跟内部控制联系在一起，可以把风险分为两大类：可控风险与不可控风险。不可控风险主要包括政策变更、自然灾害、宏观经济变化等。可控风险主要包括企业运营层面的风险。
从这里也可以看到，企业全面风险管理讲的是针对所有风险的管理，而内部控制讲的是针对可控风险的管理，这是内部控制与风险管理的区别和联系。
1、树立共同的价值观及合规文化意识。企业文化中的共同价值观决定和支配着员工的观念、意识以及行为，能够指导企业员工采取科学合理的方法处理自身的利益与企业利益之间的冲突，能够激发员工的工作热性和主人翁精神。
因此，企业要从树立合规理念入手，把企业的内控文化建设作为企业的一把手工程，从领导自身做起，给员工起到一个良好的模范带头作用，并且统一全员对于合规管理的认识，引导员工树立一个比较好的风险防范意识，让每一个员工的价值观和合规意识都得到极大的提升，这种情况下，员工的工作效率就会得到大大提升，对企业内部控制制度执行力的提高和价值观以及合规文化意识的培养有着举足轻重的作用。
2、强化监督制约，推进执行力文化建设。一般而言，“制度面前，人人平等”，规章制度是企业内部控制文化的载体，而遵章守纪是执行内控文化中最基本的行为规范要求，是一种硬约束。
因此，为了更好地约束员工的工作行为，企业的内部管理者就需要采取令行禁止的强制性手段，明确每一个员工的工作职责，规范员工的工作流程，加强企业内控制度的执行力，对每一个员工的工作进行监督管理，从而使得企业内部人员工作做得更加到位，企业的内控文化建设和内控制度的执行力都得到极大的改进。
3、从运营流程方面考核，进一步落实内部控制的执行。企业的内部工作运营流程的好坏对企业的发展以及内部控制制度的执行有着很大的关系，直接影响其执行效率。
因此，企业需要从运营流程方面考核，完善企业内部的控制制度以及内控资源的共享机制，要求员工能够严格按照制度要求来做好业务运营流程中的每一个工作，加强对员工工作的考核制度的建设，争取能够使得员工有更强的积极性，从而进一步落实企业内部控制制度的执行。
4、建立有效的激励约束机制，营造银行内控文化氛围。企业的员工是其内部控制文化建设的主体，只有保持员工的积极性才能够使得企业的发展速度逐步提升，带动企业内部控制制度和内部文化建设及创新。
因此，企业应该建立有效的激励约束机制，通过这个机制来鼓励每一个员工更加恪尽职守做好自己的本职工作，严格遵守企业的规章制度，使得企业内部工作环境和工作氛围都得到极大的改进和提升。与此同时，企业的管理者应该对绩效考核方法进行改进，争取能够给每一个努力工作的员工提供奖励，从而让员工更好地按照制度来做好工作。
广义的风险是中性的概念，它既有可能给企业带来损失，也有可能给企业带来收益。因此，企业采取内部控制措施的时候，还需要把可控风险再进一步分类。
有的风险发生后，只能带来损失，因此这类风险就称之为“危害性风险”，比如煤矿坍塌、化工厂爆炸等。对于这类风险，内部控制的目标就是“尽最大努力杜绝风险”，彻底消除这类风险。因此这类内部控制的方案、手段比较复杂，成本很高。
千里之堤毁于蚁穴，企业的风险都不是孤立的，尽管某个风险表面上带来的损失很小，蝴蝶效应，后期可能会带来无法预料的后果。因此，既然已经看到了风险，就必须想办法控制，不留任何隐患。
明白了内部控制与风险的关系及内部控制的目标，就要采取一些措施去实现目标。说到内部控制的实施，书上讲了“五要素”，特别经典的说法。
其实，按照五要素的要求，中规中矩的做风险管理，没错。在面对风险的时候，保持一颗敬畏的心，还是非常有必要的。根据我的理解，简单介绍一下五要素如何去实施。
不管做什么事，一个有利的环境是必须的。内控的核心是制衡，就叫做令行禁止吧。古代行军打仗之前，都会颁布几项纪律。我们有三律八项注意。这就是塑造一种氛围，让大家听话，这样以后再下达什么命令就容易执行了。如果一开始就一盘散沙，后面就控制不了局面了。
内部环境就是要塑造一种纪律性的氛围。各个管理机构、部门都要明确自己的职责，权力恰当分配，一切行动听指挥。
包括识别风险、评估风险的影响、采用哪种应对方案。同时企业应该针对某项风险设置一个可承受度。为什么呢，因为上面提到过，风险与收益平衡，一点都不想承担风险，那么收益就没有了。
就是一些具体的做法了。书上讲的很详细，此处不再赘述，可以看看书。这里要考虑上面提到过的一个原则：衡量控制措施的成本与防范风险带来的收益。控制措施可能有多种，当然是选择成本最小的那种，但是不能因为收益太小而不去控制。
我觉得这一条用处最大的就是反舞弊。有些舞弊行为，有可能是几个人串通，做出一套完整的流程，外部的人根本发现不了。因此设立举报或投诉的机制，把这些隐蔽的舞弊行为挖掘出来。其实很多大案要案，不是外部检查出来的，而是内部举报的。
就是看看内部控制措施有没有执行，执行的如何等等。监督，贵在独立和长效。独立不多说了。长效的意思是，建立长效机制，就是说这种监督不是一时的，而是持续的，不搞定期检查。
