以内部审计部门和董事会审计委员会为第三道防线；内部审计是一个独立、客观的审查和咨询业务单位，监控企业内部和其他企业所关心的问题。其目的在于改善企业的经营和增加企业价值。它通过系统的方法评价和改进企业的风险管理、控制和治理流程效益，帮助企业实现经营目标。
组织风险管理机制的设立和有效实施有赖于组织文化的重大改变。风险管理文化使风险管理理念扎根于组织及其每一个员工的日常行为和经营活动中。