20世纪40年代至70年代，内部控制发展进入系统阶段，也称制度阶段，由于这一阶段的内部控制已经超越了会计领域，扩展到了管理领域，因此也称为内部控制二要素阶段。

20世纪20年代末30年代初，以美国为代表的西方资本主义国家爆发了严重的经济危机，这种经济危机很快演变成为世界性的经济大萧条。许多生产线关闭，企业倒闭，工人大量失业，甚至牛奶倒入大海的事情也屡见不鲜，迫使很多企业为求生存，免受破产厄运，加强生产经营的控制和监督，这也促使企业内部控制工作第一次将管理视角超越了会计范畴，深入到所有部门及整个企业管理活动，如生产标准、质量管理、内部稽核、统计分析等方面，甚至第一次将管理效率、经营效率也纳入视野。

1938年的麦克森·罗宾斯案件，催生了美国《审计程序文告第一号》。1938 年美国Price & Water House会计公司已按一般公认的审计程序对麦克森公司进行了审计，但事后发现仍未能暴露公司的欺诈行为，他们在检讨中说：“原有的审计程序缺少了对内部控制和会计处理程序的审查步骤”，于是他们提出，从开展审计业务的实际出发，把企业的内部控制从企业的管理活动中抽出来，进行单独的研究和分析、评价。这就导致美国会计师协会审计程序委员会颁布了《审计程序文告第一号》，第一次增加了对内部控制审查的内容。1940年10月，美国证券交易委员会正式要求审计人员在签署审计报告中相应增加类似的内容。

20世纪40年代开始，资本主义经济快速发展，所有权与经营权进一步分离，在注册会计师行业的推动下，内部控制由早期的内部牵制逐渐演变为涉及组织结构、岗位职责、人员素质、业务处理程序和内部审计等比较严密的内部控制系统。在这一阶段，建立健全内部控制系统开始上升为法律要求；同时，为适应注册会计师评价被审计单位内部控制的需要，一些国家开始将内部控制划分为内部会计控制和内部管理控制。其中，内部会计控制主要是针对会计记录系统和相关的资产保护实施的控制；内部管理控制主要是针对经济决策、交易授权和组织规划等实施的控制。

以美国为例，1949年，美国注册会计师协会（以下简称“AICPA”）所属的审计程序委员会发表了一份题为《内部控制：系统协调的要素及其对管理部门和独立公共会计师的重要性》的特别报告，首次正式提出了内部控制的权威性定义，即“内部控制包括组织机构的设计和企业内部采取的所有协调方法和措施，旨在保护资产、检查会计信息的准确性和可靠性，提高经营效率，促进既定管理政策的贯彻执行”，这就形成了内部控制系统思想。这一定义强调内部控制系统不局限于与会计和财务部门相关的控制方面，还包括预算控制、成本控制、定期报告、统计分析和内部审计等。

但是，由于注册会计师认为该定义的含义过于宽泛，因此AICPA于1953年在其颁布的第19号审计程序公告《审计程序说明》中，对内部控制定义做了正式修正，并将内部控制按照其特点分为会计控制和管理控制两部分，前者在于保护企业资产，检查会计数据的准确性和可靠性；后者在于提高经营效率、促使有关人员遵守既定的管理方针。这种划分是为了规范内部控制检查和评价的范围，目的在于缩小注册会计师的责任范围。

1958年，出于注册会计师测试与财务报表有关的内部控制的需要，AICPA审计程序委员会发布了第29号审计程序公告《独立审计人员评价内部控制的范围》，也将内部控制分为内部会计控制和内部管理控制两类，其中前者涉及与财产安全和会计记录的准确性、可靠性有直接联系的所有方法和程序，如授权与批准控制、从事财物记录与审核的职务及从事经营与财产保管的职务实行分离控制、实物控制和内部审计等。后者主要是与贯彻管理方针和提高经营效率有关的所有方法和程序，一般与财务会计只是间接相关，如统计分析、时间动作研究、业绩报告、员工培训、质量控制等。1963年10月，美国会计师协会审计程序委员会（CAP）在《审计程序公告第33号——审计准则与程序（汇编）》中强调，独立审计师应主要检查会计控制。1972年11月，《审计程序公告第54号——审计师对内部控制的研究与评价》，对管理控制和会计控制的定义进行了修订和充实。

1972年11月，美国审计准则执行委员会（ASB）发布《审计准则公告第1号——审计准则和程序汇编》，将内部控制一分为二，重新并更加明确地提出了内部会计控制和管理控制的定义，指出内部会计控制包括但不限于组织规划、保护资产安全和保证财务报表可靠性有关的程序和记录；内部管理控制包括但不限于组织规划以及管理部门授权办理经济业务的决策过程有关的程序和记录。这种授权活动是管理部门的职责，它直接与管理部门执行该组织的经营目标有关，同时也是对经济业务进行内部会计控制的起点。这一划分使得注册会计师在研究和评价企业内部控制制度的基础上来确定实质性测试的范围和方式成为可能。