根据风险的来源以及范围，COSO内部控制报告认为企业层面的风险来自外部因素或内部因素，中国内部审计协会颁布的《风险管理审计准则》将风险分为外部风险和内部风险。
1.外部风险
外部风险，包括法律风险、政治风险和经济风险。法律风险、政治风险和经济风险是相互影响、相互联系的。一个国家的法律健全稳定，政治也会相应比较稳定，同时，市场竞争也会处在法律法规的框架内运行，竞争会更公平和规范，企业的整体经营环境会更好一些，决策和行动具有可预期性。
2.内部风险
内部风险，包括战略风险、财务风险、经营风险等企业的内部风险。源自于企业自身的经营业务，包括企业战略的制定、财务的运行和经营的活动等方方面面的风险。与外部风险相比，内部风险一般更容易识别和管理，并可以通过一定的手段来降低风险和控制风险。
