企业选定了风险应对策略之后，就要开始确定这些风险应对得以恰当和及时实施所需的控制活动。在选择控制活动的过程中，企业要考虑控制活动是如何彼此关联的。在一些情况下，一项单独的控制活动可以实现多项风险应对。而在另一些情况下，一项风险应对需要多项控制活动。此外，企业可能会发现现有的控制活动足以确保新的风险应对得以有效执行。

控制活动是有助于确保管理层的风险反应被执行的一些方针政策和程序，它有助于确保采取必要的行动进行风险管理和保证公司总体目标的实现，它贯穿于公司的所有级别和职能部门。

控制活动中的政策主要是指企业进行风险控制的制度文档，而程序主要是指人们直接或通过技术的应用来执行政策的行动，是一个动态的执行过程。

控制活动是指企业根据风险评估结果，结合风险应对策略，确保内部控制目标得以实现的方法和手段。

一、控制活动的特殊性

每个企业在目标的结构和相关控制活动上存在不同。即使两个企业具有同一的目标和结构，其控制活动也会不同。

企业的复杂性及其活动的性质和范围，也影响其控制活动。行为多样的复杂组织较之行为单一的简单组织，可能面临更困难的控制问题。分权经营的企业将重点放在地区自治和改革上，较之高度集权的企业，具有不同的控制环境。其他影响企业复杂性和控制性质的因素包括：地区地理分布、经营的广泛性和复杂性以及信息处理方法等。