什么是内部控制？理论界存在各种观点。由于表述众多，本文仅选择几个权威定义进行分析。
1949年，美国会计师协会的审计程序委员会在《内部控制：一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告中，对内部控制首次作了权威性定义：“内部控制包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。这些方法和措施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，推动企业坚持执行既定的管理政策。”
1992年，美国“反对虚假财务报告委员会”下属的由美国会计学会、注册会计师协会、国际内部审计人员协会、财务经理协会和管理会计学会等组织参与的发起组织委员会（COSO）发布报告《内部控制-整体框架》（即“COSO报告”）。该报告将内部控制定义为：是受企业董事会、管理当局和其他职员的影响，目的在于取得经营效果和效率、财务报告的可靠性、遵循适当的法规等目标而提供合理保证的一种过程。
我国1997年开始实施的《独立审计具体准则第九号-内部控制与审计风险》的定义是：“内部控制是被审计单位为了保证业务活动的有效进行，保护资产的安全与完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序。”
上述三个定义具有几个共同特点：一是都将内部控制解释为一种政策或程序（过程）；二是都在定义中说明了内部控制的目标；三是都是从审计的角度做出的定义。笔者认为，这些定义普遍存在以下几个缺陷：
1、定义出发点过于狭隘。控制是一个应用非常广泛的概念，有生产控制、人口控制、经济控制、军事控制等，从不同的角度（学科）出发，会给出不同的控制概念。虽然内部控制与审计存在密切的联系，但是，不论从内部控制的产生，还是内部控制的现实需要来看，内部控制都应该属于管理范畴。“可以肯定地说，内部控制最初是在组织中内生的，而不是外力（外部管制、规范的要求；审计）催生的。”（方红星，2002）并且，我国建立内部控制制度，制定《内部会计控制规范》的直接目的也不是为了审计需要，而是提高会计信息质量，加强单位内部管理的迫切要求。过去，由于一直把内部控制与审计相联系，企业对建立内部控制制度缺乏积极性，甚至产生抵触心理，这在一定程度上阻碍了内部控制的建立和实施。如果我们从管理学的角度重新认识内部控制，把它作为单位内部管理的手段和方法，相信内部控制必然会得到各单位的高度重视，从而自觉地加强内部控制制度的建设。
2、没有明确内部控制的主体和客体。任何一种控制系统，都既应该有施控主体，也应该有受控对象（客体）。一般认为，内部控制的客体是人、财、物及其在经营过程中所形成的一系列组合关系和组合形式。这一点几乎没有争论。存在争论的主要是内部控制的主体问题，第一种观点认为，内部控制主体是单位经营者。但是，经营者如何界定，又存在五种观点：①包括董事长、总经理；②包括董事会成员、总经理班子；③包括董事会成员、总经理班子、党员班子；④包括董事会成员、总经理班子、党委班子、监事会成员；⑤包括董事会成员、总经理班子、党委班子、监事会成员、工会主席。第二种观点认为，单位内部经营管理者和广大职工群众在内的所有员工都构成内部控制的主体，单位中每一个员工既是内部控制的主体，同时又是内部控制的客体（课题组，2001）；第三种观点认为，内部控制主体既包括所有者（股东），也包括经营者，分为两个层次（阎达五、宋建波，2002）。但有的学者将董事会纳入所有者范畴，有的学者则将董事会作为经营者；第四种观点认为，内部控制主体包括股东、经营者、管理者和职工四个层次（郑石桥等，2000）。
笔者认为，要正确认识内部控制的主体，首先必须区分单位内部控制主体和单位外部控制主体。我们可以借鉴财务会计（外部会计）和管理会计（内部会计）的划分方法，股东（或股东大会）属于会计信息的外部使用者，只能作为单位外部的控制主体。股东、监事会、董事会和经理之间的相互关系，通过公司治理结构加以解决。不能混淆公司治理结构和内部控制的关系，不能把内部控制的范围无限扩大化。监事会作为股东监督企业的代表，属于外部监督，也不应纳入单位内部控制主体。董事会虽然是所有者的代表，但同时也是企业的经营者，是企业的法人权力机构和法人代表机构，因此董事会应该作为重要的内部控制主体。另外，企业的经理人、管理者和广大职工也都是内部控制主体。一般认为控制仅指上级对下级的控制，这其实是误解。控制是相互的，上级控制下级，下级（职工）也可以控制上级（经营者和管理者）。中国企业提倡的民主理财、群众监督就是一种很好的、以职工作为控制主体的内部控制方式。