이사회는 위험관리와 내부통제에 관한 정책 수립 및 효과적 운영에 대한 책임을 진다. 경영진은 이 정책에 상응하는 내부통제시스템을 구축, 운영하고 그 결과를 감시한다.
한편, 이사회는 위험관리와 내부통제시스템 운영의 중심에 있다. 이사회는 위험관리와 내부통제에 관한 정책 수립과 효과적인 운영에 대한 책임을 진다. 내부통제시스템은 특히 위험관리에 효과적어야 한다(FRC, 2010: 19). 내부통제정책과 건실한 내부통제시스템 구축은 위험평가에 기초하므로, 회사가 직면할 위험의 특성과 정도, 회사가 용인할 수 있는 위험의 종류와 범위, 위험의 중대성에 대한 판단에 기초하여 내부통제정책과 구축방향을 결정한다. 경영진은 이사회의 위험관리정책에 상응하는 내부통제시스템을 설계․구축․운영하고, 그 결과를 감시하는 역할을 한다.