许多企业在谈到企业内控的时候，往往想到的更多的是如何建立更加完善严格的企业内控制度来约束员工、领导的行为，如何通过组织结构的调整保障企业内控的执行等等，但这些只是为了实现企业内控所采取的“硬约束”，事实上有些企业尽管有着比较完善的制度，但依然会触发一些风险，因为虽然有制度却有人不遵守，正如美国虚假财务报告委员会下属的发起人委员会在其COSO报告的整体框架中也承认“无论内部控制设计得如何完美，执行得如何良好，它也只能对企业所要达到的目标……提供合理的保证。”延展咨询认为，真正能够影响到人的行为，让员工自觉自愿的执行制度的则是一个企业的文化。如果说一个企业的组织机构是企业内控的躯干，内控流程和制度则是内控的血液循环系统，那么企业文化则是企业内控实现的真正的灵魂所在。
首先，作为企业内控的不可或缺的组成部分，无论是组织机构还是流程制度本身，都仅仅是一种表象，是企业文化外延的体现。前者通过内部控制目标设定到风险识别、风险评估以及风险应对，建立起一套企业内控的管理体系来保证企业内控目标的实现，而这套体系本身依赖的是人的执行，如果企业缺乏企业文化的支撑，则这套体系只能看作是一种“硬约束”，无法得到真正的执行。另一方面，内控中无论是组织、流程还是制度，也都依赖于企业文化的指引，企业文化是企业在长期生产经营活动中确立的，被企业全体员工普遍认可和共同遵循的价值观念和行为规范，这种认同反过来又会体现在流程或是制度当中，成为约束员工行为的一种准则。
其次，企业文化体现在企业内控的核心要素中。中国颁布的《企业内部控制基本规范》中借鉴了COSO报告将内部控制划分为五个要素, 即: 内部环境、风险评估、控制活动、信息与沟通、内部监督。这5个要素当中，内部环境是企业内控实现的基础，其好坏直接决定了内控实施的效果，而在《规范》中，明确的要求在内部环境中“企业应当加强文化建设，培育积极向上的价值观和社会责任感”。这说明企业文化在内部环境的建设过程中占据着重要的地位，显然只有具有凝聚力的企业文化才能让内部环境处于一个合适的状态当中，才能确保其他要素的正常执行。
最后，企业文化代表的是人文的因素，而人才是企业的根本。在财政部解读《企业内部控制应用指引第5 号——企业文化》的文章中指出“‘以人为本’是企业文化建设应当信守的重要原则。” 在COSO报告中，也指出“组织中的每一个人对内部控制都有责任。”企业内控不同于其他的管理手段，其核心在于对企业内部行为的控制，而这种控制一是体现在对人的行为的控制，另一方面这种控制也是由人来执行、监督。如果人不能自觉自愿的去执行和监督，那么这种控制体系本身也是低效甚至无效的。从美国的安然公司破产到中航油巨额亏损，甚至富士通的员工跳楼事件可以看出，这些企业并非只在于刚性制度的不足, 而更大程度上在于是否形成一种能让员工自觉自愿的行为准则，因此只有具有企业文化这种“软约束”的企业内控才是真正具有可执行性和高效的内控体系。
