Politiche e procedure, progettate per fornire la ragionevole certezza che saranno raggiunti gli obiettivi specifici di entità. Si compone di: ambiente di controllo, valutazione dei rischi, attività di controllo, informazione e comunicazione e di monitoraggio.