套用三层防御模型的话，内控属于第二层，内审属于第三层。
内控会参与到日常工作管理中，而内审为了保持独立性一般不直接参与事前的管控设计工作。
企业对这两者的期待有所不同，理想情况下，内控部门应该熟悉各业务线的风险(维护风险列表)，并针对性的设计控制措施(编制风险控制矩阵); 而内审是要评估这些控制的设计和执行是否有效，并督促管理层持续改善。（ foxtimes）