能力指员工执行所分配的工作所需要的知识和技术。管理层决定工作完成的质量，并在企业的战略、目标与实施计划和结果方面进行权衡。在能力和成本方面需要经常的权衡，公司没有必要雇用一个工程师来调换一个灯泡。
对某一具体工作，管理层规定出所需要的能力水平，从而形成招聘岗位时所必备的知识与技能。而这些知识与技能又取决于一个人的智力、培训与经验。
随着中国市场化程度的提高，竞争日益激烈，中国企业越来越认识到人力资本的重要性，“以人为本”的经营理念日益普遍。越来越多的企业加大了员工在职培训、企业知识库等方面的建设，正在努力构建学习型组织。
组织结构
企业的组织结构指为公司活动提供计划、执行、控制和监督职能的整体框架。包括定义权责的主要领域，建立适当的报告线条，等等。例如，内部审计职能应该这样来组织一一能够获得组织的公正性，可以不受限制地到达最高管理层或董事会的审计委员会。公司的审计负责人应该向能够使内部审计活动履行职责的组织层报告。
企业的组织结构应根据其需要来设计，可以是分权
式的，也可以是集权式的；有些是直接的报告关系，有些是矩阵结构；有些根据业务单元设立，有些根据区域来进行安排。企业组织结构是否适当，部分取决于企业的规模和活动的性质。对于具有很多分支机构(包括国外经营机构)的大企业来说，组织结构相对复杂，报告线条和职责分工也比较正式。但对于一个小企业来说，这样的组织结构或报告层次、职责分工有可能阻碍信息的有效流动。总之，组织结构的设计必须有利于企业的风险管理，有利于企业经营目标的实现。
中国上市公司和大型企业典型的组织结构如图2。
在这一组织结构中，普遍认为功能没有得到有效发挥的机构是监事会。我国公司法规定，公司监事会的职责主要包括：检查公司财务；对董事、高级管理人员执行公司职务的行为进行监督；对违反法律、行政法规、公司章程或者股东会决议的董事、高级管理人员提出罢免的建议；当董事、高级管理人员的行为损害公司的利益时，要求董事、高级管理人员予以纠正；提议召开临时股东会会议，在董事会不履行本法规定的召集和主持股东会会议职责时召集和主持股东会会议，向股东会会议提出提案；依照公司法相关规定，对董事、高级管理人员提起诉讼；公司章程规定的其他职权。
但是，由于监事会成员主要由企业内部人士组成，如职工代表、股东派出的代表，等等，其独立性与外部独立董事相比甚至更低，基本上发挥不了什么作用。有的上市公司监事长连办公室都没有；有的上市公司监事甚至看不到公司的月度财务报表与分析报告。纵观中国上市公司每年的监事会报告，几乎千篇一律。中国上市公司近些年出事频频，也几乎没有一家是由监事会揭露的。
按照相关监管规则，上市公司的审计委员会由独立董事负责，但独立董事如何负责，负什么责?规则中语焉不详。一般来说，审计委员会如果要很好地履行其职责，还需要有一个常设的办事机构，内部审计部充当这一角色应该是比较合适的。但目前国内企业内部审计部的报告线条五花八门，有的是归财务副总(CFO)领导，有的归公司总裁(CEO)领导，有的归公司董事长(Chairman)领导，也有少数归公司监事长领导，但很少由独立董事来具体负责。因此，独立董事对企业真实的经营情况不大可能了解得很深，对企业的风险也难以及时发现和监控。与监事会差不多，中国上市公司近些年出事频频，也很少是由公司外部独立董事加以揭露的。倒是上市公司东窗事发后，不少独立董事纷纷辞职，责任推得一干二净。
责任的分配与授权
权责分配包括对个人或团体的授权程度，对创造性地处理、解决问题的鼓励，以及所授权限的范围。包括报告关系、授权规定，以及一些有关适当的实务处理、个人经验和知识、完成职责所提供的资源方面的政策规定。
一些企业将决策的权力下放到基层，通过消除产品缺陷、缩短周期、提高客户满意度来更好地贴近市场或提高产品质量。
授权授到什么程度比较合适?授权应该授到被授权人能够完成目标的程度。也就是说，要使决策(比如风险的确认与评估、风险的管理等)能够建立在比较完善的实务基础之上。授权需要考虑的另一个问题是要确保所有员工都理解公司的目标，让员工理解其行为与其他员工行为之间的关联，以及对公司目标实现的贡献是非常重要的。
授权的增加与扁平式的组织结构相联系。组织结构的变革会鼓励员工的创造性、主动性，以及快速反应能力，这些都会提升企业的竞争力，以及客户满意度。同样，授权增大要求员工能力达到一个更高的水平，要求有更多的报告责任，也要求管理层建立更有效的流程来监控决策的效果。
如何避免企业授权管理中出现的“一放就乱、一收就死”的怪圈，是公司治理水平良好的中国企业家们最迫切需要解决的问题。
人力资源政策及实务
内部控制是由人来进行设计并实施的，保证组织内所有成员具有一定水准的诚信、道德观和能力的人力资源方针与实践，是内部控制有效的关键因素之一。
人力资源实务包括招聘、指导、培训、评价、咨询、提升、薪酬以及一些有关员工预期的正直、道德行为和能力水准的改进措施。比如说，如果企业雇用高素质员工，强调受教育背景、工作经验，以及正直与道德行为的记录，表明公司对有能力、值得信任的员工的一种承诺。再比如，在招聘过程中对应聘者面试的深度，对公司历史、文化和经营风格的培训也表明了这一点。
提高员工能力，使员工的行为与绩效达到预期可以有多种方式，比如培训政策，根据定期的绩效评估进行轮岗与提升，通过有竞争力的薪酬计划或奖励机制来鼓励和强化员工实现突出的业绩，通过有效的控制来避免业绩操纵或虚报成绩，等等。
为了让员工能够应对各种各样的新的挑战，教育或者培训(上课、自学或在职培训)都是让员工适应变革环境所必需的。教育流程必须持续不断地进行。
结束语
企业内部环境是企业风险管理其他要素发挥作用的基础，对企业风险管理系统的实施以及职能的发挥产生重大、持久的影响。
尽管内部环境的各要素都非常重要，但不同企业内部环境的各要素也不相同。小型企业不一定需要建立正式的职责框架及详细的运营政策，但依然可以有一个为风险管理提供适当基础的内部环境。
