Alla företag , inklusive de småskaliga , måste arbeta in interna kontrollsystem som är baserade på så kallad riskvärdering .