COSO还认为，最高管理层的成员有可能是公司董事会成员，它们对公司非常了解。但是公司必须有足够的外部董事，外部董事不仅可以提供完善的建议、咨询和方向上的把握，并且可以对管理层进行必要的控制和平衡。为了使企业的内部控制环境有效，董事会至少具有大部分独立的外部董事。(美国企业外部独立董事较多的原因主要源于公司股权分散，以及机构投资者对企业经营的积极关注。在20世纪60年代前，美国企业的 股权主要掌握在少数个人股东手中，持有很少股份的外部投资者对企业的经营影响不大；并且，由于股份少，利益也小，小股东也愿意“用脚投票”。目前美国的养老金、共同基金等机构投资者持有企业越来越多的股份(大约为60％左右)，对企业的影响力也越来越大。所以，在美国大部分公司的董事会中，外部董事占多数，CEO和董事会主席两职分离。)
对于COSO的这一观点，我们认为应该结合中国的实际情况进行正确的把握。所谓“董事会至少具有大部分独立的外部董事”，在我们看来，目前国内上市公司或大型企业基本上还做不到，或者更明确地说，不应该这么做。理由如下：
来自外部的问题： 中国目前企业家阶层尚未形成，企业聘请外部董事缺乏外部人才资源。真正懂企业经营管理或者对本行业有深刻理解、对技术发展有远见卓识的合格的外部董事少之又少。
独立董事的“懂事”问题：不少国内上市公司聘请的外部独立董事大都是会计师、律师，或者是名噪一时的经济学家。他们对企业的战略制定、业务发展缺乏洞察力和预见力，也没有经营企业的经验。如果公司听从他们的意见来经营企业，则是最大的“风险”。不是说公司不需要这样的独立董事，但若公司大部分外部董事都是这样的背景将会是一个很大的问题。
独立性问题：关于中国企业独立董事的独立性问题，讨论已经很多。无论是从选择机制上，还是在利益导向上，中国上市公司的独立董事在形式上或实质上都很难“独立”。
这几年中国证券监管部门一直在强调加强上市公司的公司治理建设，以及企业的内部控制制度建设。要求公司董事成员中独立董事至少占三分之上以上，且至少一名是财务会计专家；审计委员会由独立董事负责。独立董事除履行一般的董事职责外，还被赋予更多职责，比如：重大关联交易的认可与判断；提议或聘用CPA；提议或召开临时股东大会；独立聘请外部审计机构；向股东征集投票权，等等。
但众所周知，中国上市公司这些年频频出事，大都为卷款潜逃、违规担保、财务造假等非专业人士即可识别的手法。这足以说明中国的独立董事在不少上市公司中的作用远未达到预期目标。
我们认为：随着中国经济市场化程度的提高、企业管理体制的变革，特别是企业产权制度的变革、资本市场制度的完善，中国企业的董事会建设将会有很大改善。“欲速则不达”，任何超越现实发展需要而实施的改革举措将难以取得预期的结果。
正直与道德价值观
企业的战略和目标，以及实施方式都是建立在其偏好、价值判断以及管理风格基础之上的。管理者的正直与道德价值观影响着这些偏好与判断，从而形成行为规范。所以，行为规范不仅是指法律法规的遵循。经营良好的企业经理们越来越认识到：美德与符合道德的行为会给公司带来很大收益。
企业经营活动各个方面的道德行为的前提条件是管理层正直。企业风险管理的有效性不可能超越从事创造、管理和监督等经营活动的员工的正直和道德价值观。换句话说，风险管理的制度与机制是人设计的，也是人去执行与监督的。正直与道德价值观是企业内部环境的一个基本的要素，会影响到企业风险管理其他要素的设计、管理和监督。
道德价值观和管理者的正直是企业文化的副产品。企业文化包括道德和行为规范，以及它们是如何沟通和加强的。正式的政策表明公司董事会和管理层希望的结果，而企业文化则决定了实际上将会发生什么结果，哪些政策将会得到遵循，哪些政策将被扭曲，哪些政策将被忽视。
企业CEO和高管团体的正直与道德价值观是最重要的，它对企业的其他员工起到表率作用。中国有句俗话：“上梁不正下梁歪。”不少国有企业业绩评价体系不健全、激励机制扭曲，“裙带关系”成风，各层次的管理者“假公济私或损公肥私”，都是对这句俗语的验证。近年来，国内不少上市公司的董事长卷款潜逃或神秘失踪，因行贿受贿或挪用公款而落马；还有不少上市公司的老总们泯灭了产业理想，热衷于以上市、增发、配股等手段圈钱。比如说国内某著名家电企业上市10年来每年年报均为盈利，但2004年突然巨额亏损36．8亿。亏损主要是由于计提资产减值造成的，而这些资产的减值迹象实际上在以往年度就已经存在，只不过是公司未按照会计制度的要求及时计提减值准备而已，未能向广大投资者说实话而已。
当然，建立道德价值观往往是非常困难的，因为需要考虑各方的利益。管理者需要在企业、员工、供应商、客户、竞争者以及公众关心的问题方面取得平衡。比如说，提供某些产品，如石油、木材和食品，可能会引起环境问题；一些大企业为了提高其资产收益率，经常会利用其在市场中的地位，延迟或拖欠支付供应商货款，侵占供应商的利益，等等。特别是在国内市场化程度还不够高的情况下，诚信和透明度的提高往往得不到溢价，还有可能在竞争中失去优势。假设同一行业中的两个企业A和B，规模、经营都差不多，两企业都要IPO融资。A企业进行盈余管理，在招股说明书中未充分披露公司潜在的风险，稍微扩大了公司的盈利能力，但并未达到违法的程度；B企业则在招股说明书中真实地披露了公司的风险，并对公司的未来盈利能力进行了审慎的预测。在中国资本市场发展还不够充分的情况下，A企业发行相同的股份可能会比B企业融得更多的资金，相对赢得了先机。公司现有股东的利益得到更多的增长，但新股东的利益受到了一定程度的侵蚀。
与风险管理哲学的改变一样，某些组织的因素也可能会引起欺诈或虚假财务报告行为，也会影响企业员工的道德行为。比如说，强烈的激励或诱惑会导致员工产生不诚实的、非法的或不道德的行为。过分地强调结果特别是短期结果，也可能强化这种不良的内部环境。
对能力的承诺
