2004年9月，COSO结合《萨班斯—奥克斯利法案》的相关要求，颁布了一个概念全新的报告，即《企业风险管理—整体框架》(以下简称“ERM”框架)。框架的出台顺应了各方需求。与1992年的《内部控制—整体框架》相比，ERM 框架在内部控制的内涵、目标、要素以及内部控制责任承担等层面作了全新突破，对企业风险管理作出了更为详尽的阐述。ERM 框架并没有取代《内部控制—整体框架》，而是基于该框架并将其融入其中，全面推进了内部控制标准的发展。

在ERM中明确提出了风险管理的8要素，即：内部环境、目标设定、事件识别、风险评估、风险应对、控制活动、信息与沟通、内部监督。