四、初步评价内部控制和风险评估