首先，内控与合规有明显的区别。比如，内控主要关注企业的财务问题或现金流向等问题。从制度层面来讲，内控通常会关注与财务相关的规章制度等问题，而合规则更关注根本性的、关系公司全局性的问题。如果从一个更高层面来讲，内控仅关注制度，而合规是一个公司全局性的完善的体系，涉及公司内部规章制度、公司管理层态度、沟通与交流、培训、不断持续改进、调查、惩戒等，合规最终的目标是确保公司的各项运营，不但符合法律法规和公司内部规章制度，以避免行政处罚或刑事处罚所带来的风险，而且最终是期望建立一个合法合规的公司理念与文化。从这个角度看，内控只是合规体系的一部分。

其次，这两个部门之间也有很紧密的联系。比如目标都是一样的，都期望帮助公司做好预防工作，将风险防患于未然，而且在做合规审计和持续改进时，合规部门通常会邀请内控部门一起组成工作组，进行合规审计，撰写合规审计报告，并就审计中发现的问题，提出改进意见，以做到持续改进等。

对于企业而言，风险是各种各样的，按照不同标准划分也可以分成不同的风险，比如按照是否与法律直接相关，就可以简单分为商业风险和法律风险。早在2006年国务院国资委颁布的《中央企业全面风险管理指引》第三条就指出，企业风险是未来的不确定性对企业经营可能产生的各方面的影响，包括战略风险、财务风险、市场风险、运营风险、法律风险等。因此，只要是为控制企业风险而采取的各种措施都可以纳入风险控制体系。而合规风险则是企业整个风险中的一部分，而且通常是法律风险中最重要的一些风险，即与行政监管和刑事司法有关的、容易引起企业生死存亡的重大法律风险，所以现在世界各国普遍把合规风险单独列出来做为一类风险并提倡建立相应的合规管理体系。国务院国资委在出台央企风险管理指引多年后，又在2018年出台央企合规管理指引，或许正是基于这种考虑。