通过控制风险来创造价值
内部控制目标，是企业建立内部控制所要达到的预期目的和效果。内部控制本身是一种手段，是一个为了达到某些目的而进行的过程，而这些目的便是内部控制的目标。
一般来说，企业目标是尽可能地创造价值，使企业价值最大化。企业内部控制的目标应该与社会发展和企业发展目标相一致，应服务于企业整体目标。在企业管理中，内部控制只是一个针对风险控制的管理系统，是企业管理的一个有机组成部分。因此，其目标必须和企业的总体目标保持一致。企业内部控制应该是嵌入在企业经营管理系统中，是企业管理系统的一个组成部分，因此，内部控制目标必然会企业目标之间存在着一定的关联性和对应关系，局部性目标要服从整体目标，企业内部控制目标一定要服从于企业整体目标的。如果企业内部控制的目标与企业目标不一致，甚至相矛盾，就需要对企业内部控制目标进行必要的修正，以保证与企业整体目标相协调。
企业应将内部控制的目标与企业的战略发展目标结合起来，通过内部控制的实施，促进企业战略发展目标的实现。企业内部控制目标应与企业目标发展战略目标相一致，这是没有错的，但目前甚至在比较长的时间内我国大多数企业很难把战略目标作为内部控制的真正目标。战略目标中通常不会有“处于受控状态”，因为很少有人知道是什么意思，也没有人能够准确说出在任何时点上管理是否事实上处于受控状态。内部控制目标设定定时，需要考虑目标的实现程度问题，即设定的目标在多大程度上能够得到实现。从这个角度讲，将内部控制目标设定得非常理想化或者说要求太高是不可取的。因为这样的目标通常是无法实现的。而一旦某个目标不能实现尤其是长期不能实现时，那么作为目标它就失去了应有的存在价值和意义。
企业的内部控制目标应服务于企业整体目标，与企业目标在总体方向是一致，但内部控制目标与企业目标是不同层次的，不能把企业目标和内部控制目标混为一谈。这点COSO内部控制报告也是非常明确的，并把目标的类别作为建立共同语言的一部分。因此,实际工作中,不能把企业目标等同内部控制目标，并按照COSO内部控制报告中目标分类来构建自身的内部控制手册，这是一种机械的照搬。
由此看来，企业内部控制目标，就是通过控制风险来创造价值，保证企业发展战略目标的实现。企业不可能也没有必要完全消除风险，企业内部控制就要把企业风险水平永远控制在可接受的范围内，要将风险控制在与企业总体目标相适应并可承受的范围内。
从理论上讲，要使企业价值最大化，基本途径是增加收益、减少损失。显然，内部控制作为一个风险的预防和控制系统，在增加收益方面是无能为力的，而在减少损失方面却是大有可为。通常情况下损失来自风险的爆发。因此，企业内部控制的基本使命的就是要预防和控制风险。这也是企业实现战略发展目标的客观需要。如果企业不能对风险进行有效的预防和控制，即使收益增加的很快，也可能由于风险的爆发而落败。这方面的事例比比皆是，教训是深刻的。
市场经济本身就是风险经济，企业在市场经济环境中，在追求收益的同时也不可避免会遇到各种风险，在承担着各种风险。企业内部控制正因为有风险而存在，并通过建立健全内部控制制度，通过一套严格控制程序和程序的有效履行，来识别、评估、应对、控制风险，促使企业防范风险、化解风险，规避损失和危害，消除隐患。
企业要生存发展就要通过生产经营管理活动来创造价值，而企业内部控制是要通过有效控制风险，促使企业不断改善企业经营的效率和效益（创造利润能力增强、创现金能力增强、资产周转效率的提高、人工效率的提高、经营周期的缩短等），改善管理水平，提高企业创造价值的能力，从而达到自身创造价值的目的。
