トレッドウェイ委員会支援組織委員会
1992年9月、『内部統制:統合的枠組み(英語: Internal control: integrated framework』というタイトルの4巻の報告書(COSOレポート)が、COSOによって発行され、1994年に微修正を加えて再発表された。この報告書は、内部統制の共通の定義を提示し、内部統制システムを評価・改善するための枠組みを提供した。この報告書は、米国企業がFCPAへの適合性を評価する際の基準となっている。2006年に発行された雑誌『CFO』が実施した調査によると、回答者の82%が内部統制のためにCOSOの枠組みを使用していると答えている。回答者の中には、『内部統制-統合的枠組み』の他にも、COBIT、AS2(PCAOBの監査基準第2号)、SAS55/78(AICPA)などの枠組みを使用している者もいた。
リスクは、内在性・残留性の両面で評価される。
「リスク対応」:経営者は、リスクを企業のリスク選好度とリスクを整合させるための一連のアクションを開発し、リスク対応(回避、受容、軽減、分担・共有)を選択する。
「統制活動」:リスク対応が効果的に行われるように、方針と手順が確立され、実施される。
「情報及び伝達」:関連情報は、人々が責任を果たすことができるような方法と時間枠で識別され、捕捉され、伝達される。効果的なコミュニケーションは、より広い意味で、企業体を上下、横断して流れていくものである。
「モニタリング」:ビジネスリスクマネジメント全体をモニタリングし、必要に応じて修正を行う。モニタリングは、継続的な管理活動、個別の評価、またはその両方によって達成される。
COSOは、ERMは、新しい法律・規制や上場基準の遵守に必要な基準を満たし、かつ、多くの企業その他ステークホルダーが受け入れられる、組織要素とリスクマネジメントの目的との相互関係の明確な定義を提供したとしている。
内部統制には人間の行動が含まれ、起訴や裁判で誤りが生じる可能性がある。内部統制は、従業員間の共謀(セグリゲーションの項目を参照)または上級管理職による強制によって無効にされることもありうる。
雑誌『CFO』は、企業がCOSOが提供する複雑なモデルを適用するのに苦労していると報じている。曰く、「最大の問題の1つは、内部監査を枠組みの3つの主要な目的のうちの1つに限定していることである。COSOモデルでは、これらの目的は5つの主要要素(統制環境、リスクアセスメント、統制活動、情報及び伝達、モニタリング)に適用される。起こりうるマトリックスの数を考えると、監査の数が制御不能になっても不思議ではない 」として、多くの組織が COSO モデルを取り入れ、サーベンス・オクスリー法第404条に直接関連するコンポーネントに焦点を当てるように変更することにより、独自のリスクと管理のマトリックスを作成していると続けている。