内部控制一个很大的局限性就在于它的“单向性”，即内控很大程度上是一人自上而下的控制。
为了将这一局限性降到小就必须在董事会、权责分配、组织架构等方面进行严格的规范，以满足COSO对于控制环境的要求。
《企业内部控制基本规范》被称为是中国的萨班斯法案，但其与萨班斯法案的区别在于后者是一个法律，对于蓄意出具虚财报的CEO和CFO的处罚是500万美元罚款、20年监禁或并罚。
要将《企业内部控制基本规范》推行下去，恐怕立法是一条早晚要走的路，否则该规范继续被推迟。
内控、复旦大学会计学教授李若山曾经在接受记者专访时提到：
“目前我国企业往往在制定内控制度的时候很积极，但在具体实施时就几乎全部搁浅，而且，企业的内控自我评估报告都是千人一面。”
记者：您研究企业内控已十几年了，可否总结一下，哪一类企业需要内控？李若山：转型期的企业需要做内控。即资产过亿、人员过百的企业需要做内控。处在创业期的企业规模小，管理者凭借智慧可以掌控企业，但到了转型期，特别是在所有权和经营权没有分离的时候，管理者的精力变得很有限，这其中也包括国有企业。在这种情况下的企业需要做内控，因为这个阶段容易出风险。李若山：包括内部压力过大、转型期企业的文化氛围以及冲突、需要淘汰的效率优先的业务流程等环节，都潜伏着出现灾难性风险的因素。过去企业讲求建立在对人的信任的基础上，所以忽视了监督，而小企业和创业期的企业都只讲求过程不讲求结果，只要成本低、利润高、结果好，过程可以忽略不计。
它们若想存活下来，就只能追求效率而不能搞制约。但到了转型期，这些矛盾一触即发。李若山：目前我国90%的企业都处在转型期，特别是大中型企业，要特别注意的是，我国企业所处的是一个高压的转型期。企业做大之后，利益分配是首要问题。企业文化氛围不可能在短时间内就积累起来，需要时间去沉淀。这个时期的企业能做的就是将灾难发生的几率降到。这就要靠内控和流程来控制。李若山：我认为内控不该是一套单独的制度，而应该是融于企业的整个流程之中。就像不可能有一套制度来制约人如何吃饭，但却存在很多健康的吃法一样。比如企业的一套健康合理的采购制度中就隐含着内控。为什么现在企业采购用招标的方法行不通，因为其中存在那么多暗箱操作和潜规则，招标的流程被打破了。这说明采购流程不健康，企业在完善流程的时候，不会仅仅只完善招标流程，还要完善供应商管理等流程，从而优化整个采购流程，使其健康、理性。
