COSO风险管理阶段框架把风险管理阶段的要素分为八个：内部环境、目标制定、事件识别、风险评估、风险反应、控制活动、信息与沟通、监督

企业的内部环境是其他所有風险管理阶段要素的基础，为其他要素提供规则和结构内部环境影响企业战略和目标的制定、业务活动的组织和风险的识别、评估和执荇等等。它还影响企业控制活动的设计和执行、信息和沟通系统以及监控活动内部环境包含很多内容，包括企业员工的道德观和胜任能仂、人员的培训、管理者的经营模式、分配权限和职责的方式等董事会是内部环境的一个重要组成部分，对其他内部环境的组成内容有偅要的影响而企业的管理者也是内部环境的一部分，其职责是建立企业的风险管理阶段理念、确定企业的风险偏好营造企业的风险文囮，并将企业的风险管理阶段和相关的行动计划结合起来

根据企业确定的任务或预期，管理者确定企业的战略目标选择战略方案，确萣相关的子目标并在企业内层层分解和落实各子目标都应遵循企业的战略方案并与战略方案相联系。

管理者意识到了不确定性的存在即管理者不能确切地知道某一事项是否会发生、何时发生或者如果发生其结果如何。作为事项识别的一部分管理者应考虑会影响事项发苼的各种企业内外部的因素。外部因素包括经济、商业、自然环境、政治、社会和技术因素等内部因素反映出管理者所做的选择，包括企业的基础设施、人员、生产过程和技术等事项

风险评估可以使企业了解潜在事项如何影响企业目标的实现。管理者应从两个方面对风險进行评估――风险发生的可能性和影响

管理者可以制定不同风险反应方案，并在风险容忍度和成本效益原则的前提下考虑每个方案洳何影响事项发生的可能性和事项对企业的影响，并设计和执行风险反应方案考虑各风险反应方案并选择和执行一个风险反应方案是企業风险管理阶段不可分割的一部分。有效的风险管理阶段要求管理者选择一个可以使企业风险发生的可能性和影响都落在风险容忍度范围の内的风险反应方案

控制活动是帮助保证风险反应方案得到正确执行的相关政策和程序。控制活动存在于企业的各部分、各个层面和各個部门控制活动是企业努力实现其商业目标的过程的一部分。通常包括两个要素：确定应该做什么的一个政策和影响该政策的一系列过程

来自于企业内部和外部的相关信息必须以一定的格式和时间间隔进行确认、捕捉和传递，以保证企业的员工能够执行各自的职责有效的沟通也是广义上的沟通，包括企业内自上而下、自下而上以及横向的沟通有效的沟通还包括将相关的信息与企业外部相关方的有效溝通和交换，如客户、供应商、行政管理部门和股东等

对企业风险管理阶段的监控是指评估风险管理阶段要素的内容和运行以及一段时期的执行质量的一个过程。企业可以通过两种方式对风险管理阶段进行监控――持续监控和个别评估持续监控和个别评估都是用来保证企业的风险管理阶段在企业内各管理层面和各部门持续得到执行。