トレッドウェイ委員会支援組織委員会
COSOは報告書の中で、ビジネスリスクマジメントには大きなメリットがあるものの、限界があることを認めている。ビジネスリスクマネジメントは人間の判断に依存しているため、意思決定の影響を受けやすくなっている。単純なエラーなどの人的ミスは、不十分なリスク対応につながる可能性がある。さらに、2人以上の人が共謀することで統制を回避でき、経営陣はビジネスリスクマネジメントの決定を無効にすることが可能となっている。これらの制限により、取締役会と経営陣は、企業体の目的の達成に関して絶対的な安全性を確保することができない。
哲学的な見地から、COSOはより統制を重視している。したがって、機会を逃すリスクではなく、悪影響を与える可能性のあるリスクに偏重している(ISO 31000(英語版)を参照のこと)。
COSOは、拡張モデルはより多くのリスクマネジメントを提供するとしているが、企業は旧『内部統制-統合的枠組み』を使用している場合、新モデルに変更する必要はない。
『財務報告に係る内部統制-小規模会社向けのガイダンス(英語: Internal control over financial information - Guidance for small public companies)』には、小規模な公開企業が1992年の『内部統制-統合的枠組み』の概念を適用するためのガイダンスが含まれている。本書は、財務情報の目標達成を支援するための内部統制の設計と実施を支援するために、小規模な公開会社がこれらの概念を適用できることを示している。また、1992年の枠組みの20の主要な原則を強調し、原則に基づいた内部統制のアプローチを提供している。本書で説明されているように、2006年のガイドラインは、あらゆる規模と種類の企業に適用される。