Een internecontrolesysteem heeft beperkingen aangezien bepaalde risico’s nooit helemaal kunnen uitgesloten worden (bv. Fouten maken is menselijk, heirkracht). Het kan dus nooit absolute zekerheid bieden. Het komt m.a.w. overeen met een niveau waarbij men voldoende vertrouwen heeft aangaande het goed bestuur van een organisatie.