内控不是一套制度文件，而是一个持续运行的过程。内控五要素是一个整体：控制环境是地基，风险评估是雷达，控制活动是铠甲，信息与沟通是神经系统，内部监督是免疫系统。五个要素中任何一个薄弱，整个内控体系就会出问题。
内控不是万能的。管理层的凌驾（老板自己越过内控）、串通舞弊（两人以上串通，内控常常失效）、成本效益考量（100%的控制不现实）。投资者必须明白：即使内控被评价为有效，也仅提供合理保证而非绝对保证。
A股主板公司必须按《企业内部控制基本规范》及其配套指引进行内控自评和审计。科创板和创业板实行差异化要求。中小市值成长型公司的内控往往较薄弱——快速成长期的公司把精力放在业务拓展上，内控建设跟不上。投资这类公司时，内控风险要多打折扣。
美国SOX法案要求管理层对财务报告内控的有效性进行评价和报告。中概股公司必须同时满足美国SEC和中国监管要求——合规成本高。SOX 404条款（内控审计）被认为是中概股私有化的驱动因素之一——合规成本每年数百万美元，对小市值中概股是不小的负担。