หลักเกณฑ์กระทรวงการคลังว่าด้วยมาตรฐานและหลักเกณฑ์ปฏิบัติการควบคุมภายในสำหรับหน่วยงานของรัฐ พ.ศ. 2561

จริยธรรมจะมีผลต่อระบบเมื่อถูกสะท้อนในสิ่งที่ผู้บริหารทำจริง ตั้งแต่การกำหนดมาตรฐานพฤติกรรม การจัดการผลประโยชน์ขัดกัน การพิจารณาข้อร้องเรียน ไปจนถึงการตอบสนองต่อการฝ่าฝืนโดยไม่เลือกปฏิบัติ ผู้กำกับดูแลต้องได้รับข้อมูลเพียงพอและสามารถตั้งคำถามต่อฝ่ายบริหาร ส่วนโครงสร้างต้องทำให้รู้ว่าใครอนุมัติ ใครบันทึก ใครถือครองทรัพย์สิน และใครตรวจทาน การแยกหน้าที่ช่วยลดโอกาสที่คนเดียวจะสร้าง อนุมัติ และปกปิดรายการ แต่หากข้อจำกัดด้านคนทำให้แยกไม่ได้ หน่วยงานต้องออกแบบการทบทวนชดเชยโดยผู้ที่เป็นอิสระและมีข้อมูลเพียงพอ มิใช่ปล่อยช่องว่างโดยอ้างขนาดองค์กร

องค์ประกอบที่สองคือการประเมินความเสี่ยง มีหลักการสี่ข้อซึ่งต่อจากรากฐานดังกล่าวโดยตรง หน่วยงานต้องกำหนดวัตถุประสงค์ให้ชัดพอที่จะระบุความเสี่ยงได้ จากนั้นระบุและวิเคราะห์ความเสี่ยงทั่วทั้งหน่วยงานเพื่อกำหนดวิธีจัดการ พิจารณาความเป็นไปได้ของการทุจริตแยกจากความผิดพลาดทั่วไป และระบุพร้อมประเมินการเปลี่ยนแปลงที่อาจกระทบระบบอย่างมีนัยสำคัญ หากวัตถุประสงค์คลุมเครือ คำว่าความเสี่ยงจะกลายเป็นรายชื่อปัญหากว้าง ๆ ที่ไม่รู้ว่าขัดขวางผลใด และกิจกรรมควบคุมที่ตามมาก็อาจไม่สัมพันธ์กับภารกิจจริง

การประเมินความเสี่ยงควรเริ่มจากกระบวนงานกับผลที่ต้องการ แล้วพิจารณาเหตุการณ์ทั้งภายในและภายนอก โอกาสเกิด ผลกระทบ การควบคุมที่มีอยู่ และความเสี่ยงที่ยังเหลือ การพิจารณาทุจริตต้องคำนึงถึงแรงจูงใจ โอกาส การบิดเบือนรายงาน การใช้ทรัพย์สินผิด และความสามารถของผู้มีอำนาจในการหลีกเลี่ยงขั้นตอน ขณะเดียวกัน การเปลี่ยนกฎหมาย เทคโนโลยี ภารกิจ โครงสร้าง ผู้บริหาร บุคลากร หรือคู่สัญญาอาจทำให้การควบคุมเดิมหมดความเหมาะสม การประเมินจึงเป็นกิจกรรมที่ทบทวนตามข้อมูลใหม่ ไม่ใช่เอกสารซึ่งจัดทำครั้งเดียวแล้วนำมาใช้ซ้ำทุกปี

ความเชื่อมโยงระหว่างสององค์ประกอบนี้เห็นได้ชัดเมื่อเกิดความเสี่ยงสูงแต่ไม่มีเจ้าของ หากองค์กรมีโครงสร้าง อำนาจ และความรับผิดชอบชัด ความเสี่ยงแต่ละเรื่องจะถูกส่งถึงผู้ตัดสินใจที่เหมาะ มีบุคลากรซึ่งเข้าใจสาเหตุและมีหน้าที่จัดการ แต่หากวัฒนธรรมลงโทษผู้รายงานข่าวร้าย ข้อมูลความเสี่ยงจะถูกลดทอนก่อนถึงผู้บริหาร และการประเมินที่ดูครบแบบก็ไม่สะท้อนสภาพจริง ในอีกด้านหนึ่ง วัฒนธรรมที่ดีแต่ไม่ประเมินความเสี่ยงย่อมพึ่งเจตนาดีโดยไม่มีมาตรการพอเพียง ระบบจึงต้องมีทั้งฐานพฤติกรรมที่น่าเชื่อถือและกระบวนการมองความไม่แน่นอนอย่างเป็นระบบก่อนออกแบบกิจกรรมควบคุม