COSO模型只是一个理论框架，这类框架解决的是个理论边界问题，解释了内控的目标、层面、构成要素等内容，重在概念的理解，但决不是一个内控操作手册。COSO框架本身也缺乏对不同行业、不同管理方式、不同发展阶段的企业内部控制具体操作的详细指导。所以不论是COSO内控框架的5个部分还是COSO-ERM的8要素，对公司，包括需要满足SOX要求的公司，指导意义均局限在对内控的理解这个方面。
具体应用而言，通常是通过内控手册，风险控制矩阵（RCM）等工具来实现的。RCM列明了各个业务流程的主要风险，与风险对应的控制点，以及控制点的详细描述，其实对应的就是COSO框架中的“控制活动”。COSO的“监督”通常就是通过对内控的自我评估、内控审计来完成的。COSO的其他几个部分通常比较虚一些，企业里通常是通过管理层访谈以问答的形式记录下来并进行评价的。（COSO-ERM的框架是在COSO内控框架的基础上完善的，但业内反映并不佳，风险管理和内控确实是两个相关但不同的概念）
对中小企业而言，风险管理（此处我不确定您指的是全面风险管理，还是只有和内控相关的风险）的存在意义还是十分必要的。我曾经给一家准备上市的公司做过相关咨询项目。整个管理团队最大的困惑就是企业在迅速发展壮大的过程中面临种种问题疲于应付，只能头痛医头脚痛医脚，企业上下也不清楚各种政策、规章、制度的必要性在哪儿，只知道照着行业标杆来抄。风险管理就帮这个企业建立了全面的风险地图，对照这个地图，企业高管对这个企业所有可能面临的风险一目了然，利用风险评估工具，迅速识别了不同风险的风险等级，对照风险等级来设计和调整企业管控制度（企业内控只能解决可控可预知的风险）。有风险才需要设计控制措施，进而通过制度来规范；无风险或风险小到可以容忍，就无需设计控制点，不需要各类签字审批。通过风险管理，明确管理措施的意义，并根据风险大小执行对应控制措施，在控制风险前提下最简化管控措施以提升效率，我想，这是对中小企业最大的管理价值了。
