風險管理與內控制這二者的區別和聯絡，一直是理論界和實務界爭論的熱點話題，且至今仍未達成共識。從諮詢實踐和實際應用的角度而言，我們沒必要關心這些爭論，但應該認識到風險管理和內部控制是兩個不同的概念，兩種不同的管理體系，但是兩者又有緊密的關係。

管理學中有一個“木桶理論”。假如有一個木桶，我們的目標是讓這個木桶的盛水量最大化，對一個企業來說，這個盛水量就是企業的效益了。要實現這個目標，我們應該採取什麼管理活動呢？

一、戰略管理

盛水的木桶是由多塊木板箍成的，盛水量首先是由這些木板的高度共同決定的。假如其中一塊木板最短，那麼這個木桶的盛水量就取決於那塊最短的木板，最短木板的高度就是桶內水的高度。比如在一個企業，技術領先，產品質量好，資金充足，員工素質高，但是這些優勢並不一定意味著企業效益就一定好，那還得看這個企業有沒有短板，如果市場營銷這個環節薄弱，產品雖好但賣不出去，營銷就是這個企業的短板，這個短板決定了企業的效益，技術再好也沒用。所以，第一步就是要補齊短板，加強營銷管理，這個工作叫戰略管理，是對企業管理結構的整體佈局和規劃。

二、風險管理

木桶的短板補齊了，盛水量增加了，到這個階段我們關心的是木桶內的水能不能一直保持這個高度。所以，下一步就是要系統的分析可能存在的、影響盛水量穩定的風險因素，並且採取有效的管控措施。比如，木桶放置在屋外，桶內的水被偷了，或者木桶雖然放到了安全的地方，但放置不穩，木桶翻倒水流失了，或者這個木桶中間有小縫隙，時間久了水慢慢滲漏了等等，以上存在的種種情況都是影響盛水量的風險，針對這些風險採取防控措施，實現木桶盛水量穩定的目標，就是風險管理。

三、內部控制

影響木桶盛水量穩定的風險有多個，我們現在來分析木桶本身存在的風險，可以說是內部的風險，比如被偷竊，那是外部風險，不在我們現在分析的範圍之內。戰略管理是解決補齊短板的問題，而內部控制是要在盛水之前仔細檢查木桶的各個部位，看木板上面有沒有小孔或者木板之間有沒有縫隙，發現後立即堵塞這些小孔或縫隙，實現木桶盛水量穩定的目標。以企業為例，假如企業找出了短板，加強市場營銷管理，採取了組建銷售團隊、制定銷售策略、招聘和培訓業務人員等措施，企業是不是就一定能實現高效益呢？還是不一定，補齊短板和風險管理不是同一回事，如果這個企業的市場存在嚴重竄貨現象，價格體系混亂，銷售員和經銷商勾結有舞弊行為、銷售人員截留貨款等行為，這些風險如果得不到有效的管控，企業的效益也很難保證。

經營活動中的風險是固有的，我們不能消滅這些風險，但能透過實施風險管理可以降低風險發生時對企業造成的損失和影響。對風險進行管控的方法有很多，其中一個重要的措施就是內部控制。單位或者企業都有自己想達成的目標，首先要認真分析實現這個目標的過程中存在的風險，然後針對這些風險採取管控措施，最後還要要求工作人員嚴格執行，這個以目標為導向的管理過程就是內部控制建設工作了。