内部控制是一门科学，是工程设计和人性管理的融合学科。内部控制源于组织运营控制的客观要求，以及控制目标、指标的分解，核心在于合理设置控制作业的目标、标准、信息和责任；该过程以组织运营体系为基础，遵循作业设计的客观规律，则是内部控制科学性的体现。组织基于文化理念、管理风格、人员素质、风险偏好等因素，相应选择控制作业及排列组合方式，从而形成相似运营体系间的差异化控制流程，则是内部控制艺术性的体现。

风险管理是以内部控制体系中偏离标准的控制作业为对象，是控制作业、控制流程实现预期目标的保障活动。组织对不同控制作业和控制流程的重要性偏好水平，决定了不同流程和运营体系的控制风险水平。控制风险水平随同组织流程再造、制度体系优化、岗位胜任能力变更而相应变化。

内部控制由控制作业间的信息传递和处理完成体系性功能衔接；控制标准和结果信息应根据成本效益原则，最大限度转化为结构化数据，才能满足内部控制体系的信息化、数据化和智能化建设需求。基于原有控制信息传递流程的内控信息化建设，只是完成对信息传递方式的人工替代，不能为提升控制有效性提供实质性支持。

内部控制必须根据组织运营体系的设计思维、实施方式来构建，脱离组织运营体系的内部控制，就是无源之水、无本之木；内部控制建设可以具有科学、清晰的实践路径，不能用评价体系替代构建体系；中国内部控制体系建设应该且已具备条件，进行实践和理论创新，争取在行政事业单位管理水平提升、企业运营风险防范、企业经营质量评估、资本市场准入等领域取得国际话语权，为世界提供内部控制建设的中国方案。