中国商业银行内部控制问题研究
来源： 湖南金融管理干部学院课题组
2003-09-12
普通
近年来，国际金融领域风险不断显现与发生，且有愈演愈烈之势，严重威胁着金融业的安全和发展，对世界经济产生不良的影响。特别是1997年的东南亚金融风暴，给我国商业银行敲响了警钟。目前，我国商业银行的经营风险也正在逐步由隐性转向显性，主要是贷款质量下降、呆帐增加、经营亏损严重、支付能力不足而引起的信用风险，从业人员欺诈与越权经营而产生的操作风险，决策管理层缺乏科学管理和经营而导致的管理风险等。这些风险的产生，无不与商业银行的内部控制制度相关联。因此，加强对商业银行内部控制问题的研究，不仅对现在而且对将来都有着十分重要的意义。
一、商业银行内部控制的基本架构
商业银行内部控制就是对商业银行内部的经营管理活动及其内容进行衡量和校正，以保证银行目标以及为此而拟定的计划得以实现的过程。根据我国经济和金融体制改革的总体要求，国有商业银行内部控制的基本架构可由纵向控制、横向制约、相向反馈三部分组成。
1、纵向控制。内部控制是相对于一个独立的法人单位而言的，国有商业银行的内部控制必须立足于国有商业银行的特点。国有商业银行实行总、分行制，属于统一法人单位。因此，内部控制建立的理论基础不是两权分离，而是起源于实行总、分行制条件下的分层次多级管理的需要。所以，国有商业银行的内部控制应该满足内部管理的需要，逐级对下实施监控，控制机构及内容从纵向上分层次设置：（1）最高权力层控制决策层。股东大会是商业银行的最高权力机关，有关商业银行重大的决策、措施、行动纲领等都由其做出，并直接控制决策层。（2）决策层控制管理层。总行设立直接向行长负责，集行政检查监督，业务稽核审计和内部管理控制于一身的内控机构，对全行经营管理活动和经营风险进行控制，并直接控制管理层。管理层包括一级分行和准一级分行行长。（3）管理层控制执行层。各一级分行和准一级分行行长直接向下层分支机构设立内控机构，由上级行和同级分行双重领导，一级行和准一级行的监管内控部门在上级行的直接领导下，主要对总行法人负责，对所在行经营管理活动及其资产质量、资产负债比例、经营效益进行监督，对经营风险进行全面控制。（4）执行层控制操作者。县支行以下不设立专职的内控部门，但由二级分行指派专职监督管理员，参与其经营决策，行使对县支行及其以下机构的日常经营管理活动的监督管理权。另外，各职能部门应该自上而下纵向设置内控机制，对本职能部门所处理的业务进行控制。
2、横向制约。这是商业银行内部控制基本架构的第二个方面，它要求商业银行各部门各岗位人员都要处于制约机制的约束之中。具体而言，主要包括以下几个约束机制：（1）民主决策制约机制。即本行的有关重大决策都要经过有关部门的充分论证，不搞个人拍板，更不搞“一言堂”。（2）业务经营制约机制。遵循资产负债的内在联系，加强资产负债的比例管理。要尽快按照《贷款通则》的要求，建立起风险防范、风险监测、风险转化、风险责任约束机制。其实，商业银行按会计制度的要求，其财务管理、帐务核算，款项收付等必须做到帐帐、帐卡、帐据、帐实、帐表、帐款六相符，这六相符使得各岗位之间真正做到相互制约和监督，对于新型业务应根据目前的经营状况和发展趋势，按照《人民银行法》、《商业银行法》和《贷款通则》等法律法规的要求，进一步完善其规章制度。（3）成本核算和财务收支约束机制。商业银行应按照“三性”原则的要求，也要讲究效益，改变目前各部门围绕自身目标的运转现状，一切为了效益，按市场经济的要求，建立现代商业银行财务管理机制，对成本核算、财务收支都要与业务活动及行长的业绩直接挂钩，注重成本控制，按照目标成本或开支标准，对影响成本的各个环节加以控制，建立成本费用约束机制。（4）利润分配约束机制。保证利润合理分配，使企业有自我发展的能力，将利润与行长业绩挂钩，打破行与行之间分配上的“大锅饭”体制。（5）人事管理与劳工用工机制。内控要以人为本，充分发挥人的潜能，做到人尽其才，能者上，庸者下，任人唯贤。（6）稽核监督机制。内部稽核是内控的重要组成部分。从内控层次上看，第一层次是各部门、岗位人员按业务规章、操作规程、法律法规的要求自律；第二层次是管理部门对其它各部门按岗位责任制和目标责任制进行考核管理；第三层次是稽核部门对业务经营财务会计活动进行再监督，实行对县行一级的稽核派驻制，发挥稽核的事前、事中的预警作用。
3、相向反馈。商业银行内部控制制度系统的建立，还必须包括一系列的对内控执行情况的反馈系统。（1）预警预报系统。这个系统既能全面显示金融风险大小、预测预警信号，又能及时了解经营管理状况以及各项指标考核的完成情况，既有全局的、又有局部性的。建立预警预报系统的目的是为了预知可能出现的错误；及时发现经营过程中的问题，防患于未然，减少失误和损失。因此，商业银行应围绕经营行为、业务管理、风险防范、资财安全，建立定期业务分析、信贷资产质量评估、运用风险评估制度；建立定期实物盘点、各种帐证、帐表的核对制度以及业务活动的事前、事中和事后监督制度；健全完善内部控制系统的评审和反馈，以及带有苗头性、倾向性的问题的预测、预报，把业务风险降到最低。（2）信息反馈系统。信息资料是对业务的全面记载，是商业银行经营活动的重要凭证。为此，商业银行必须保证信息畅通及时，以便于决策和纠偏。如果没有信息及其变换过程，就不存在反馈。如果没有信息反馈作用，也就不存在控制的机能。控制的全过程离不开信息及其变换反馈过程，内部控制系统要通过信息系统的处理才能达到目的。所以说控制的基础是信息，而信息需要通过反馈系统来取得，反馈是实现有效控制的必要条件。（3）内控评价系统。商业银行需要了解内控的效果，监管当局需要掌握金融机构内控的状况，这都涉及内控的评价。没有内控评价，就不知道内控的效果如何，也就不可能为以后的内控工作的优化创造条件。商业银行内控评价包括评价的内容、评价的方法和评价的步骤。①评价的内容。一是健全性评价。指评价商业银行现行的规章制度等是否涵盖了各业务环节，每项规章制度是否在深度上到位。二是符合性评价。指评价商业银行现行的规章制度是否被认真执行，现实的规章制度是否不切实际而无法执行。三是功能性评价。指评价商业银行的内控制度，内控体系，内控办法是否能发挥应有的作用并取得满意的效果。②评价方法。主要包括调查问卷法、流程图法，关键控制点计分评价法、询问检查法等。③评价的步骤。分为两步，第一步，健全性测试。测试的内容有：一是控制环境。任何控制的实施都是在特定的环境背景下实现的，控制环境的好坏直接关系到控制点的运转。因此，要检查了解是否有合理有效的组织机构，是否按职责分离的原则设立，部门间、人员间是否互相制约、互相牵制；人员素质和业务能力是否适合。二是控制制度，检查各项制度是否健全。三是控制程序。检查各项业务的处理程序和手续。第二步，有效性措施。测试关键控制点，在经营活动中是否真实，内控制度是否贯彻执行，执行程序如何，是否发挥其功能，是否采取控制措施，控制目标是否达到。（4）标准调整系统。内部控制是相对于外部监管而言的。整个过程主要由组织内部实施，这包括制定标准、根据标准衡量工作成效和采取措施纠正偏差三个要素。简单的控制可能只涉及到指出并纠正某一具体问题，而充分的内部控制则可能包括重新修订目标、制订新目标、调整标准和机构，以便及时在领导方法上做出更大的改变。传统的业务内部控制标准是过去沿用下来的，需要进行调整和补充。对于新兴业务应根据业务开展可能发生的问题，调整、设计新的内控标准，从而建立起符合商业银行各项业务开展的内控制度。
二、商业银行内部控制的基础——制度建设
商业银行内部控制制度的建立是有效防止商业银行发生金融风险的关键，同时也是商业银行内部控制的基础。一方面，人民银行要根据《中国人民银行法》和《商业银行法》对商业银行进行有效的监管；另一方面，商业银行要有一套行之有效的内部控制制度，加强自律，切实防范业务运作中可能产生的种种风险。商业银行建立内控制度，应注重以下四个方面：一是任何工作和业务制度的建立，都要从该项工作和业务的控制目的出发，针对其中的主要环节，做出相应的规定。二是建立内部控制制度，要注重程序牵制。按照内部控制的原则，任何业务的处理，都应有授权、批准、执行、记录、检查等程序，并且，这些程序不能由一个人或一个部门去完成，特别是不相容的职务一定要分离。三是内部控制制度一定要做到权责明确。即不仅要规定各职能部门和岗位人员处理业务的权限，更要明确规定其应承担的责任，并且各职能部门和岗位人员的权责要相适应。四是内部控制一定要做到奖惩分明。要对任何不执行制度，不履行职责的行为，制定相应的追究、查处责任的措施和惩罚办法。商业银行内部控制制度主要包含以下几个方面：
1、科学决策制度。商业银行应建立科学有效的决策管理组织，要改革商业银行决策和内部管理制度，健全治理机构，完善股东大会、董事会、监事会和经营管理组织，明确各自的职责和权限；还应建立如资产负债管理委员会、信贷审查委员会等各种经营决策协调部门，以及咨询、顾问机构；建立有效的议事规划，确保业务决策的科学性、民主性、准确性。科学的决策制度是保证商业银行的经营方向、经营措施、经营目标得以全面贯彻落实的最根本的保障。商业银行要建立严格的、明确的决策程序和办事程序。所有重要业务、重大事项、重要决策都必须严格按规定程序进行，并应保留可核实的记录，防止个人的独断专行，超越违法程序都应受到处罚。在各级商业银行的经营过程中，都要实行民主管理，充分体现职工的主人翁意识，在提高决策的科学性上发挥重要的作用。特别是对贷款发放的可行性，要按合法性、政策性、安全性、风险性、效益性等进行认真的评估，严格把关，坚持集体讨论，集体审批，确保资金安全。
2、授权授信制度。随着现代金融业经营规模的不断扩大，经营环节日趋增多，业务活动日益纷繁复杂，因此，上级行必须将权、责进行合理划分，对下级授权、分权，明确各级人员处理某项业务的权力，同时权责挂钩，权责对等。从我国实际出发，借鉴国外经验设计一套行之有效的贷款授权审批制。如总行根据各分行的资产负债情况，授权分行信贷委员会的最高审批限额，分行根据最高审批限额再转授权。建立科学的业务授权控制系统应包括建立授权内容，确定合理的授权层次和权限，授权规定必须合法合规及采用先进技术进行授权四个方面内容。另外，要通过对企业信用与经营者素质、企业的经济实力、经营效益、发展潜力以及企业能否还贷等方面进行定量、定性分析，确定企业信用等级，根据不同的等级给予不同的授信。通过合理的授权授信，防止系统失控、保证资金安全。
3、岗位责任制度。商业银行经营目标的实现是由内部各个岗位的共同配合、共同努力完成的，所以建立岗位责任制度尤为重要。首先，需要制定出切合实际的业务操作规程，对那些容易出现问题和错误的地方一一列举出来，整理成文成册，发放到员工手中，便于遵照执行；其次，主管部门通过制定完善岗位责任制度，明确各岗位职责，赋予各岗位相应的职权，建立相互配合、相互监督、相互制约的工作关系；再次，对重要岗位人员要定期轮换，以保证继任者对上一任的工作进行考察，发现缺陷和不足；最后，岗位责任制度要求各项业务活动的核准、记录、经办应当尽可能做到相互独立。商业银行内部严格分离的岗位有：现金有价证券、空白重要凭证、印签、密押、贷款核保、会计、财务、资金交易、计算机等。
4、业务操作制度。商业银行应建立以操作规程为基础，岗位独立、人员分工、职责分明的业务操作制度。业务操作规程是程序控制的问题，它是商业银行控制业务风险的基础环节，一是严格岗位分工，切实根据业务运作的实际需要，因事设岗、因岗设人。二是按照每一项业务至少必须有两个岗位或两个以上人员参与记录、核算和管理的要求，明确各岗位或员工业务操作中的责权划分，按各自的工作性质权限承担相应的工作责任。三是加强业务操作的事后检查，每项业务要求由一名业务主管或专门岗位对该项业务处理的流程进行综合把关和全过程检查，确保各岗位按职责要求正确处理同一业务，发现问题及时纠正。会计部门是商业银行内部的第一监控部门，会计内部控制制度总括起来讲，是由有关法规、会计、结算、联行、财务制度、核算办法、操作程序、会计计算机程序、工作计划、管理办法、岗位责任制等组成。控制的内容有决策控制、操作控制、监督检查控制、授权控制、质量控制、财务控制、成本控制、标准控制、重要岗位业务环节控制、人员控制等等。按控制环节，商业银行会计控制包括事前控制、现场控制和反馈控制。商业银行信贷内控机制，一要解决制度有无的问题，解决制度设计原则和方法问题；二要解决执行的问题，健全的制度要付诸实施；三要解决检查监督问题。目前信贷业务操作制度的建立应着眼于以下几个方面：建立健全审贷分离决策制度；建立符合《贷款通则》和《商业银行法》的贷款操作细则；建立健全贷款监控制度；建立健全贷款风险权责对应制度；建立健全贷款业务目标控制制度；建立健全内部贷款稽核审计制度。
5、内部稽查制度。商业银行内部控制运行的状况如何、运行质量怎样，需要进行稽核和不断修正，内部稽查是内部控制的最后一道防线，是控制的关键。为了提高内部监管效率，首先，应建立独立的、具有监督权威的内部稽核部门。在商业银行一级法人和行长负责制下，稽核的人事权上收总行，实行行长领导下的总稽核负责制。其次，建立合理有序的内部稽核检查制度。一是上级行稽核部门对下级行稽核部门的业务检查，其目的侧重于工作辅导、评比督促和整体推进。二是上级行稽核部门对下级行业务部门的定期与不定期的常规或专项检查，侧重于检查业务的合规性、风险性和慎审度。三是派驻分支行稽核人员对业务部门的日常检查。再次，设置科学的量化监控指标体系，形象反映监控对象的主要内容，作为警戒线对监控对象的状况做出快捷的判断，并采取必要的措施。
6、资料保全制度。信息资料是对业务过程的全面记载，是商业银行经营活动的重要凭证，对业务检查和稽核至关重要。对这些资料建立保全制度，甚至对某些重要合同、文件等制作副本进行保管，是业务顺利进行的必要保证。因此，商业银行应真实、全面、及时地记载每一笔业务，正确进行会计核算和业务核算，对原始凭证、明细帐、总帐应归档保存，对存贷客户的一切详细资料应分类保管，对空白重要凭证应严格管理，定期核对，确保原始记录、合同契约、各种数据资料信息的真实完整，特别是电脑软件资料，建立计算机应用、系统开发、信息处理的使用管理制度，确保各项资产、支付清算系统、电脑微机的安全有序运行，确保商业银行内部控制资料保全制度的建立。
7、信息反馈制度。控制的基础是信息，而信息要通过反馈系统取得，反馈是实现有效控制的必要条件。商业银行应充分利用现代化的信息处理和通讯技术，建立灵敏的信息收集、加工、反馈信息，建立完整的信息反馈制度，使各项决策和业务经营活动建立在充分的信息支持的基础上，利用各种信息及时调整业务经营方针和发展策略，加强决策和经营管理活动的针对性和主动性。信息反馈制度的原则是：目标导向原则。目标是引导系统运行的特定方向和目的，是进行制度控制的依据；动态封闭原则。制度内的控制反馈网络应首尾相接，环环相扣，形成封闭的回路。
8、奖惩制度。目前商业银行内部控制存在以下几个主要问题是制度执行随意性大、有章不循的现象普遍存在、越权现象不同程度存在、内部管理存在诸多漏洞等。对于人为的因素造成失控或者发生问题，商业银行应依据人民银行总行《关于对金融系统工作人员违反金融规章制度行为处理的暂行规定》和各商业银行的有关规章制度及实施细则，对各类违章行为严惩不贷，决不姑息迁就，以达到处罚一部分教育一大片的目的。同时对那些在执行制度、办理业务过程中表现突出的员工及执行内控表现优异的稽核人员应大力表彰，以达到鼓励先进、鞭策后进的作用。
三、商业银行内部控制的主体——人的行为
商业银行内部控制最关键的因素是人。建立商业银行内部控制必须遵守以人为本原则，即各项内控活动都应以调动人的主观能动性为根本。各项内控制度的制定、内控标准的确定、内控效果的计量和内控制度的执行终归都必须由人去做，在以人为本原理下必须遵守三个原则，人尽其才原则、激励原则和行为原则。
1、员工的素质。商业银行员工素质的高低，直接影响到各项业务处理的质量，高素质的员工不仅是内部控制发挥作用的基础，而且可以弥补内部控制制度的不足。随着金融创新业务不断增多，服务领域不断拓展，商业银行内控队伍素质不高已成为严重制约商业银行发展的桎梏。内控队伍素质不高主要表现为“四多四少”。一是熟悉会计结算业务的人员多，熟悉其它业务的人员少，精通各项金融业务的人员则更少。造成这种局面的原因是商业银行片面理解内部控制就是查错防弊，内部控制就是会计控制，所以在配备内控人员时，只注重对会计结算人员的调配，而忽视了对其它人员的调配，造成内控队伍业务单一，对其它业务控制显得力不从心。二是熟悉传统金融业务的人员多，熟悉银行新兴业务的人员少。大多数商业银行在建立内控队伍之初，把具有丰富经验的老同志充实到内控岗位上，尽管这些同志对传统业务精通，但却对现代的新兴业务则知之较少。事实上不断创新的金融实践，使得新兴金融业务日新月异地发展，仅凭过去的经验已远远不能适应新知识、新技术、新业务不断推广的需要。三是熟悉传统操作技术的人员多，熟悉新兴业务操作技术的人员少，现行内控队伍中能够熟练运用计算机的很少。传统的手工方式已远远不能满足业务发展的需要。四是懂国内金融业务的多，懂国际金融业务的少。国际金融业务的快速发展，已对内控队伍提出了更高的要求，而商业银行的内控人员中缺乏应有的国际金融理论和实践知识的准备，国际金融知识相当贫乏，难以胜任商业银行国际业务拓展的需要。
2、干部的选拔与使用。针对目前商业银行内控队伍素质的现状，有针对性地采取积极有效措施，造就一支政治过硬、业务精湛、技术全面、智能互补的内控干部队伍成为当前加强内控制度建设的中心议题。（1）择优录用。商业银行要根据人民银行规定的内控人员比例，确定本行全部内控人员的数量。内控人员的录用应坚持理论与实践相结合的原则、国内金融业务与国际金融业务人才相统一的原则、操作型与管理型人才相匹配原则、传统业务与新业务相兼顾的原则。同时，按照各种不同岗位的工作技能要求，向系统内或系统外公开招聘各类专业人才，通过定岗与公开招聘的办法既可以改变内控队伍力量单薄的现状，又塑造了一批高起点、知识和技能互补的内控专业人才，从而为保证内控措施执行打下基础。（2）员工培训。开展对岗位职工的制度培训和政治、业务学习，既是目前商业银行员工素质的迫切要求，又是商业银行经营、发展之必需。高素质的员工固然可从人才市场上取得，但如果长期得不到培训，他们的知识会老化、素质会降低，内部控制的功效得不到充分的发挥。因此针对内控员工素质要求高的特点，应有目的的在以下几个方面对员工进行培训。一是加强形势政策教育和职业道德强化训练，确保内控队伍廉洁高效地开展工作。二是开展短期培训和业余培训相结合的办法，逐步夯实内控人员的理论水平。三是实行岗位轮换。这不仅是培养、锻炼中层管理人员和培养员工全面发展的手段，而且是堵塞岗位工作中的漏洞和隐患的重要措施。四是保证基本功训练、规章制度、新知识的学习不间断，狠抓员工新岗位培训和上岗考核。五是建立对员工定期考核制度。（3）“人尽其才”。这是内控干部在使用上必须遵守的一项最基本的原则，充分发挥每个内控人员在内控中的作用，有利于内控效率的提高。
3、权力的制衡。近年来，商业银行普遍执行行长负责制，但没有建立有效的监督制约机制，使某些行长权力过大，独断专行。近几年专项稽核时发现的许多重大问题不少都与行长越权行事有关。有的行长业务水平和管理水平低下，置银行的基本规章制度和起码职业道德于不顾，贪污腐化，使内控制度成为一纸空文。针对权力制衡中存在的问题，要做好以下几项工作：（1）完善决策层面的制衡机制，防止个人随意性和非理性行为对全行重大决策的影响。商业银行每一级行领导都要坚持分工负责制、民主制基础上的行长负责制。对全行的重大经营决策、重大贷款的发放应集体研究，少数服从多数，由审贷委员会决定。（2）根据人民银行颁布的《商业银行授权授信管理暂行办法》，进一步明确本行的权限。（3）建立行长年审制度。每年年终由上级行的稽核监察部门对下一级行行长本年度的经营管理情况、重大决策情况、执行制度情况等进行稽核、检查评价。对于评价的结果除在适宜的范围和场合通报外，应计入个人档案。（4）提高业务主管部门对规章制度垂直管理的权威性。明确规定其管理的基本原则，各级领导不得随意变通，不能越权行使。规定各级业务主管部门对属于本职管辖范围的重大原则问题必须坚持原则，如遇疑难问题应及时向上级业务主管部门请示报告，否则要对不良后果负连带责任。（5）完善干部异地交流和岗位轮换制度。目前这项制度在商业银行内部发展不够平衡，有的力度太小，又不规范，应该对领导干部任期和交流，重要业务工作岗位上一般干部的任期和交流做出明确的规定，使之逐步实现制度化、规范化。（6）推行决策失误责任制度，以此促进各级行长提高决策能力，减少决策失误，防止金融风险。（7）完善行长离任和重要工作岗位上干部换岗审计制度。在行长任职期满、重要工作岗位上干部交流时，应有人事、稽核、会计、信贷、计划等有关部门对其任职期间的任期目标完成情况和经营管理情况进行稽核，并存档管理。（8）增强各行业务运作和决策的透明度，自觉接受群众的民主监督。
四、商业银行内部控制的关键——稽查评价
稽查评价是向商业银行内控中枢提供反馈的通道和使内控中枢得到真实信息的重要来源。一个内部控制系统运行的状况如何，运行质量怎样，需要进行稽核和不断修正，内部稽核是内部控制的最后一道防线，是控制的关键。
1、过程稽核。商业银行的稽核部门是内控制度的检查和评价部门，但由于目前稽核部门负责面广、人手紧，往往不能用很大精力对基层营业部门进行全面稽核，而且稽核部门一般是在事后进行稽核，查出的问题往往已无法补救了。因此可在有条件的基层营业部门设立内部稽核岗作为补充，由它负责对本部门业务进行事前、事中、事后稽核。由于商业银行经营风险具有多发性、连带性与易扩散性等特点，决定了商业银行的内部控制必须努力做到事前防范、事中控制和事后稽核检查三个阶段共同进行。特别是稽核时机上要经常在业务活动中进行，以使稽核工作能真正渗透到业务活动全过程。
2、结果评价。中国人民银行应该对商业银行内部控制效果进行综合评价，这也是中央银行今后稽核监管工作的重点。综合评价的基本方法有两种：一种是健全性评价，另一种是符合性评价。这样有利于防范和化解金融风险、保障金融业的稳健运行。人民银行要把内控制度是否健全和完善作为监管与评价商业银行的重要指标之一，以促使商业银行加强内部控制，并且还要特别关注商业银行高层管理人员是否遵守内部控制制度。另外，对于内控结果的评价，还应聘请一些社会中介组织如信用评级机构、会计师事务所、审计师事务所来对商业银行内控制度的建设和执行情况进行评价。除此之外，商业银行内部控制还应充分发挥社会监督和内部员工监督的作用。如建立公开投诉电话、定期不定期征求客户意见或建议，以综合评价商业银行内部控制制度的健全与完善。另外，还应对商业银行内控制度建设的成本与收益进行综合评价，以确定商业银行内控执行的效益性。
3、赏罚分明。人民银行对商业银行的内部控制结果评价之后，对于内控制度执行好的银行应奖励，同时对那些具有违规行为的行要认真查处，建议人民银行保留商业银行分支行行长的行政处分建议权，从根本上解决领导行为失控的问题。商业银行内部的上级行应经常对下级行的内控执行状况进行检查，对内控制度执行得好的分支行予以奖励，同时，对有违规行为行的也应查处，并且把内控制度执行状况直接与领导的政绩挂钩，从根本上杜绝由于领导行为所引起的内部失控现象。
4、调整及时。通过对商业银行内部控制的检查评价及在业务开拓过程中，发现的不合理的制度或制度上出现的空白点应及时做出调整。简单的控制可能只涉及到指出并纠正某一具体问题，而充分的内部控制则可能包括重新修订目标、制订新目标、调整组织机构、改善人员配备以及在领导方法上做出重大改变等。
五、商业银行内部控制的保障——组织体系
商业银行内控组织体系的设立，一要符合内控的基本原理及一般原则，二要符合商业银行的经营原则，三要符合经济规律。商业银行的内控组织体系由决策机构（施控系统），执行机构（受控系统）、监督反馈机构（反馈系统）构成。自上而下形成层次分明的多级递阶控制系统。决策机构发布控制指令，执行机构执行，监督反馈机构对执行机构的执行情况进行检查监督，查错补漏。商业银行内部机构的设置应当符合决策系统、执行系统、监督反馈系统相分离的原则。
1、决策机构要有权威。商业银行最佳的组织形式是股份制，按股份制的要求，最高权力机构是股东大会，由此选举产生的决策机构是董事会。董事会负责做出的有关全行的发展战略、业务经营等重大决策应不受其他任何干扰，具有相当大的权威性。但由于商业银行尚未脱离按行政区划设置机构的传统模式束缚，从而很难摆脱行政干预和长官意识，而且为了迎合地方政府追求经济高速发展的需要，把最大满足地方资金供给作为考核银行主要领导政绩的重要条件。因此，为了达到某种目的，决策机构在决策权威性方面大打折扣，严重影响商业银行经营与发展。
2、执行机构要精干、高效。商业银行经营管理部门或分支机构是受控系统，应严格执行决策机构的指令，并在各自授权的职责范围内行使职权，办理业务。
3、监督机构要独立。商业银行的内部稽核部门是对内部控制的综合管理部门，因此，要创造条件向监事会负责或向一级法人负责，适应商业银行稳健经营和防范风险的需要，赋予内部稽核部门一定的独立性和权威性。内部稽核部门的主要职责是：对各项业务提出内部控制建议；检查和评估有关部门内部控制情况；对内部控制制度的执行稽核检查；对违反内部控制的部门和个人建议进行处分和处理。由于以下原因，目前稽核部门的监督职能有所弱化：（1）审计地位不超脱。商业银行实行在本行长领导下的稽核管理体制或总稽核负责制，稽核部门作为同级行的内部机构而存在，这种稽核管理体制，不能对由于行长决策而造成的损失进行有效的监督。（2）稽核部门不能独立行使监督职能。稽核部门要对本行行长负责，对审计查出的问题，不经行长同意就不能上报，不能独立做出处罚决定。（3）监督的滞后性。稽核部门是对已发生的经营行为进行监督，是事后监督，没有渗入到经营管理的开始与过程中进行监督。（4）机构不健全，人员编制较少。（5）稽核手段落后，工作效率低下等。为此，要想商业银行内部控制得以正常进行，必须健全和完善稽核再控制机构。
一、商业银行内部控制的基本架构
商业银行内部控制就是对商业银行内部的经营管理活动及其内容进行衡量和校正，以保证银行目标以及为此而拟定的计划得以实现的过程。根据我国经济和金融体制改革的总体要求，国有商业银行内部控制的基本架构可由纵向控制、横向制约、相向反馈三部分组成。
1、纵向控制。内部控制是相对于一个独立的法人单位而言的，国有商业银行的内部控制必须立足于国有商业银行的特点。国有商业银行实行总、分行制，属于统一法人单位。因此，内部控制建立的理论基础不是两权分离，而是起源于实行总、分行制条件下的分层次多级管理的需要。所以，国有商业银行的内部控制应该满足内部管理的需要，逐级对下实施监控，控制机构及内容从纵向上分层次设置：（1）最高权力层控制决策层。股东大会是商业银行的最高权力机关，有关商业银行重大的决策、措施、行动纲领等都由其做出，并直接控制决策层。（2）决策层控制管理层。总行设立直接向行长负责，集行政检查监督，业务稽核审计和内部管理控制于一身的内控机构，对全行经营管理活动和经营风险进行控制，并直接控制管理层。管理层包括一级分行和准一级分行行长。（3）管理层控制执行层。各一级分行和准一级分行行长直接向下层分支机构设立内控机构，由上级行和同级分行双重领导，一级行和准一级行的监管内控部门在上级行的直接领导下，主要对总行法人负责，对所在行经营管理活动及其资产质量、资产负债比例、经营效益进行监督，对经营风险进行全面控制。（4）执行层控制操作者。县支行以下不设立专职的内控部门，但由二级分行指派专职监督管理员，参与其经营决策，行使对县支行及其以下机构的日常经营管理活动的监督管理权。另外，各职能部门应该自上而下纵向设置内控机制，对本职能部门所处理的业务进行控制。
2、横向制约。这是商业银行内部控制基本架构的第二个方面，它要求商业银行各部门各岗位人员都要处于制约机制的约束之中。具体而言，主要包括以下几个约束机制：（1）民主决策制约机制。即本行的有关重大决策都要经过有关部门的充分论证，不搞个人拍板，更不搞“一言堂”。（2）业务经营制约机制。遵循资产负债的内在联系，加强资产负债的比例管理。要尽快按照《贷款通则》的要求，建立起风险防范、风险监测、风险转化、风险责任约束机制。其实，商业银行按会计制度的要求，其财务管理、帐务核算，款项收付等必须做到帐帐、帐卡、帐据、帐实、帐表、帐款六相符，这六相符使得各岗位之间真正做到相互制约和监督，对于新型业务应根据目前的经营状况和发展趋势，按照《人民银行法》、《商业银行法》和《贷款通则》等法律法规的要求，进一步完善其规章制度。（3）成本核算和财务收支约束机制。商业银行应按照“三性”原则的要求，也要讲究效益，改变目前各部门围绕自身目标的运转现状，一切为了效益，按市场经济的要求，建立现代商业银行财务管理机制，对成本核算、财务收支都要与业务活动及行长的业绩直接挂钩，注重成本控制，按照目标成本或开支标准，对影响成本的各个环节加以控制，建立成本费用约束机制。（4）利润分配约束机制。保证利润合理分配，使企业有自我发展的能力，将利润与行长业绩挂钩，打破行与行之间分配上的“大锅饭”体制。（5）人事管理与劳工用工机制。内控要以人为本，充分发挥人的潜能，做到人尽其才，能者上，庸者下，任人唯贤。（6）稽核监督机制。内部稽核是内控的重要组成部分。从内控层次上看，第一层次是各部门、岗位人员按业务规章、操作规程、法律法规的要求自律；第二层次是管理部门对其它各部门按岗位责任制和目标责任制进行考核管理；第三层次是稽核部门对业务经营财务会计活动进行再监督，实行对县行一级的稽核派驻制，发挥稽核的事前、事中的预警作用。
3、相向反馈。商业银行内部控制制度系统的建立，还必须包括一系列的对内控执行情况的反馈系统。（1）预警预报系统。这个系统既能全面显示金融风险大小、预测预警信号，又能及时了解经营管理状况以及各项指标考核的完成情况，既有全局的、又有局部性的。建立预警预报系统的目的是为了预知可能出现的错误；及时发现经营过程中的问题，防患于未然，减少失误和损失。因此，商业银行应围绕经营行为、业务管理、风险防范、资财安全，建立定期业务分析、信贷资产质量评估、运用风险评估制度；建立定期实物盘点、各种帐证、帐表的核对制度以及业务活动的事前、事中和事后监督制度；健全完善内部控制系统的评审和反馈，以及带有苗头性、倾向性的问题的预测、预报，把业务风险降到最低。（2）信息反馈系统。信息资料是对业务的全面记载，是商业银行经营活动的重要凭证。为此，商业银行必须保证信息畅通及时，以便于决策和纠偏。如果没有信息及其变换过程，就不存在反馈。如果没有信息反馈作用，也就不存在控制的机能。控制的全过程离不开信息及其变换反馈过程，内部控制系统要通过信息系统的处理才能达到目的。所以说控制的基础是信息，而信息需要通过反馈系统来取得，反馈是实现有效控制的必要条件。（3）内控评价系统。商业银行需要了解内控的效果，监管当局需要掌握金融机构内控的状况，这都涉及内控的评价。没有内控评价，就不知道内控的效果如何，也就不可能为以后的内控工作的优化创造条件。商业银行内控评价包括评价的内容、评价的方法和评价的步骤。①评价的内容。一是健全性评价。指评价商业银行现行的规章制度等是否涵盖了各业务环节，每项规章制度是否在深度上到位。二是符合性评价。指评价商业银行现行的规章制度是否被认真执行，现实的规章制度是否不切实际而无法执行。三是功能性评价。指评价商业银行的内控制度，内控体系，内控办法是否能发挥应有的作用并取得满意的效果。②评价方法。主要包括调查问卷法、流程图法，关键控制点计分评价法、询问检查法等。③评价的步骤。分为两步，第一步，健全性测试。测试的内容有：一是控制环境。任何控制的实施都是在特定的环境背景下实现的，控制环境的好坏直接关系到控制点的运转。因此，要检查了解是否有合理有效的组织机构，是否按职责分离的原则设立，部门间、人员间是否互相制约、互相牵制；人员素质和业务能力是否适合。二是控制制度，检查各项制度是否健全。三是控制程序。检查各项业务的处理程序和手续。第二步，有效性措施。测试关键控制点，在经营活动中是否真实，内控制度是否贯彻执行，执行程序如何，是否发挥其功能，是否采取控制措施，控制目标是否达到。（4）标准调整系统。内部控制是相对于外部监管而言的。整个过程主要由组织内部实施，这包括制定标准、根据标准衡量工作成效和采取措施纠正偏差三个要素。简单的控制可能只涉及到指出并纠正某一具体问题，而充分的内部控制则可能包括重新修订目标、制订新目标、调整标准和机构，以便及时在领导方法上做出更大的改变。传统的业务内部控制标准是过去沿用下来的，需要进行调整和补充。对于新兴业务应根据业务开展可能发生的问题，调整、设计新的内控标准，从而建立起符合商业银行各项业务开展的内控制度。
二、商业银行内部控制的基础——制度建设
商业银行内部控制制度的建立是有效防止商业银行发生金融风险的关键，同时也是商业银行内部控制的基础。一方面，人民银行要根据《中国人民银行法》和《商业银行法》对商业银行进行有效的监管；另一方面，商业银行要有一套行之有效的内部控制制度，加强自律，切实防范业务运作中可能产生的种种风险。商业银行建立内控制度，应注重以下四个方面：一是任何工作和业务制度的建立，都要从该项工作和业务的控制目的出发，针对其中的主要环节，做出相应的规定。二是建立内部控制制度，要注重程序牵制。按照内部控制的原则，任何业务的处理，都应有授权、批准、执行、记录、检查等程序，并且，这些程序不能由一个人或一个部门去完成，特别是不相容的职务一定要分离。三是内部控制制度一定要做到权责明确。即不仅要规定各职能部门和岗位人员处理业务的权限，更要明确规定其应承担的责任，并且各职能部门和岗位人员的权责要相适应。四是内部控制一定要做到奖惩分明。要对任何不执行制度，不履行职责的行为，制定相应的追究、查处责任的措施和惩罚办法。商业银行内部控制制度主要包含以下几个方面：
1、科学决策制度。商业银行应建立科学有效的决策管理组织，要改革商业银行决策和内部管理制度，健全治理机构，完善股东大会、董事会、监事会和经营管理组织，明确各自的职责和权限；还应建立如资产负债管理委员会、信贷审查委员会等各种经营决策协调部门，以及咨询、顾问机构；建立有效的议事规划，确保业务决策的科学性、民主性、准确性。科学的决策制度是保证商业银行的经营方向、经营措施、经营目标得以全面贯彻落实的最根本的保障。商业银行要建立严格的、明确的决策程序和办事程序。所有重要业务、重大事项、重要决策都必须严格按规定程序进行，并应保留可核实的记录，防止个人的独断专行，超越违法程序都应受到处罚。在各级商业银行的经营过程中，都要实行民主管理，充分体现职工的主人翁意识，在提高决策的科学性上发挥重要的作用。特别是对贷款发放的可行性，要按合法性、政策性、安全性、风险性、效益性等进行认真的评估，严格把关，坚持集体讨论，集体审批，确保资金安全。
2、授权授信制度。随着现代金融业经营规模的不断扩大，经营环节日趋增多，业务活动日益纷繁复杂，因此，上级行必须将权、责进行合理划分，对下级授权、分权，明确各级人员处理某项业务的权力，同时权责挂钩，权责对等。从我国实际出发，借鉴国外经验设计一套行之有效的贷款授权审批制。如总行根据各分行的资产负债情况，授权分行信贷委员会的最高审批限额，分行根据最高审批限额再转授权。建立科学的业务授权控制系统应包括建立授权内容，确定合理的授权层次和权限，授权规定必须合法合规及采用先进技术进行授权四个方面内容。另外，要通过对企业信用与经营者素质、企业的经济实力、经营效益、发展潜力以及企业能否还贷等方面进行定量、定性分析，确定企业信用等级，根据不同的等级给予不同的授信。通过合理的授权授信，防止系统失控、保证资金安全。
3、岗位责任制度。商业银行经营目标的实现是由内部各个岗位的共同配合、共同努力完成的，所以建立岗位责任制度尤为重要。首先，需要制定出切合实际的业务操作规程，对那些容易出现问题和错误的地方一一列举出来，整理成文成册，发放到员工手中，便于遵照执行；其次，主管部门通过制定完善岗位责任制度，明确各岗位职责，赋予各岗位相应的职权，建立相互配合、相互监督、相互制约的工作关系；再次，对重要岗位人员要定期轮换，以保证继任者对上一任的工作进行考察，发现缺陷和不足；最后，岗位责任制度要求各项业务活动的核准、记录、经办应当尽可能做到相互独立。商业银行内部严格分离的岗位有：现金有价证券、空白重要凭证、印签、密押、贷款核保、会计、财务、资金交易、计算机等。
4、业务操作制度。商业银行应建立以操作规程为基础，岗位独立、人员分工、职责分明的业务操作制度。业务操作规程是程序控制的问题，它是商业银行控制业务风险的基础环节，一是严格岗位分工，切实根据业务运作的实际需要，因事设岗、因岗设人。二是按照每一项业务至少必须有两个岗位或两个以上人员参与记录、核算和管理的要求，明确各岗位或员工业务操作中的责权划分，按各自的工作性质权限承担相应的工作责任。三是加强业务操作的事后检查，每项业务要求由一名业务主管或专门岗位对该项业务处理的流程进行综合把关和全过程检查，确保各岗位按职责要求正确处理同一业务，发现问题及时纠正。会计部门是商业银行内部的第一监控部门，会计内部控制制度总括起来讲，是由有关法规、会计、结算、联行、财务制度、核算办法、操作程序、会计计算机程序、工作计划、管理办法、岗位责任制等组成。控制的内容有决策控制、操作控制、监督检查控制、授权控制、质量控制、财务控制、成本控制、标准控制、重要岗位业务环节控制、人员控制等等。按控制环节，商业银行会计控制包括事前控制、现场控制和反馈控制。商业银行信贷内控机制，一要解决制度有无的问题，解决制度设计原则和方法问题；二要解决执行的问题，健全的制度要付诸实施；三要解决检查监督问题。目前信贷业务操作制度的建立应着眼于以下几个方面：建立健全审贷分离决策制度；建立符合《贷款通则》和《商业银行法》的贷款操作细则；建立健全贷款监控制度；建立健全贷款风险权责对应制度；建立健全贷款业务目标控制制度；建立健全内部贷款稽核审计制度。
5、内部稽查制度。商业银行内部控制运行的状况如何、运行质量怎样，需要进行稽核和不断修正，内部稽查是内部控制的最后一道防线，是控制的关键。为了提高内部监管效率，首先，应建立独立的、具有监督权威的内部稽核部门。在商业银行一级法人和行长负责制下，稽核的人事权上收总行，实行行长领导下的总稽核负责制。其次，建立合理有序的内部稽核检查制度。一是上级行稽核部门对下级行稽核部门的业务检查，其目的侧重于工作辅导、评比督促和整体推进。二是上级行稽核部门对下级行业务部门的定期与不定期的常规或专项检查，侧重于检查业务的合规性、风险性和慎审度。三是派驻分支行稽核人员对业务部门的日常检查。再次，设置科学的量化监控指标体系，形象反映监控对象的主要内容，作为警戒线对监控对象的状况做出快捷的判断，并采取必要的措施。
6、资料保全制度。信息资料是对业务过程的全面记载，是商业银行经营活动的重要凭证，对业务检查和稽核至关重要。对这些资料建立保全制度，甚至对某些重要合同、文件等制作副本进行保管，是业务顺利进行的必要保证。因此，商业银行应真实、全面、及时地记载每一笔业务，正确进行会计核算和业务核算，对原始凭证、明细帐、总帐应归档保存，对存贷客户的一切详细资料应分类保管，对空白重要凭证应严格管理，定期核对，确保原始记录、合同契约、各种数据资料信息的真实完整，特别是电脑软件资料，建立计算机应用、系统开发、信息处理的使用管理制度，确保各项资产、支付清算系统、电脑微机的安全有序运行，确保商业银行内部控制资料保全制度的建立。
7、信息反馈制度。控制的基础是信息，而信息要通过反馈系统取得，反馈是实现有效控制的必要条件。商业银行应充分利用现代化的信息处理和通讯技术，建立灵敏的信息收集、加工、反馈信息，建立完整的信息反馈制度，使各项决策和业务经营活动建立在充分的信息支持的基础上，利用各种信息及时调整业务经营方针和发展策略，加强决策和经营管理活动的针对性和主动性。信息反馈制度的原则是：目标导向原则。目标是引导系统运行的特定方向和目的，是进行制度控制的依据；动态封闭原则。制度内的控制反馈网络应首尾相接，环环相扣，形成封闭的回路。
8、奖惩制度。目前商业银行内部控制存在以下几个主要问题是制度执行随意性大、有章不循的现象普遍存在、越权现象不同程度存在、内部管理存在诸多漏洞等。对于人为的因素造成失控或者发生问题，商业银行应依据人民银行总行《关于对金融系统工作人员违反金融规章制度行为处理的暂行规定》和各商业银行的有关规章制度及实施细则，对各类违章行为严惩不贷，决不姑息迁就，以达到处罚一部分教育一大片的目的。同时对那些在执行制度、办理业务过程中表现突出的员工及执行内控表现优异的稽核人员应大力表彰，以达到鼓励先进、鞭策后进的作用。
三、商业银行内部控制的主体——人的行为
商业银行内部控制最关键的因素是人。建立商业银行内部控制必须遵守以人为本原则，即各项内控活动都应以调动人的主观能动性为根本。各项内控制度的制定、内控标准的确定、内控效果的计量和内控制度的执行终归都必须由人去做，在以人为本原理下必须遵守三个原则，人尽其才原则、激励原则和行为原则。
1、员工的素质。商业银行员工素质的高低，直接影响到各项业务处理的质量，高素质的员工不仅是内部控制发挥作用的基础，而且可以弥补内部控制制度的不足。随着金融创新业务不断增多，服务领域不断拓展，商业银行内控队伍素质不高已成为严重制约商业银行发展的桎梏。内控队伍素质不高主要表现为“四多四少”。一是熟悉会计结算业务的人员多，熟悉其它业务的人员少，精通各项金融业务的人员则更少。造成这种局面的原因是商业银行片面理解内部控制就是查错防弊，内部控制就是会计控制，所以在配备内控人员时，只注重对会计结算人员的调配，而忽视了对其它人员的调配，造成内控队伍业务单一，对其它业务控制显得力不从心。二是熟悉传统金融业务的人员多，熟悉银行新兴业务的人员少。大多数商业银行在建立内控队伍之初，把具有丰富经验的老同志充实到内控岗位上，尽管这些同志对传统业务精通，但却对现代的新兴业务则知之较少。事实上不断创新的金融实践，使得新兴金融业务日新月异地发展，仅凭过去的经验已远远不能适应新知识、新技术、新业务不断推广的需要。三是熟悉传统操作技术的人员多，熟悉新兴业务操作技术的人员少，现行内控队伍中能够熟练运用计算机的很少。传统的手工方式已远远不能满足业务发展的需要。四是懂国内金融业务的多，懂国际金融业务的少。国际金融业务的快速发展，已对内控队伍提出了更高的要求，而商业银行的内控人员中缺乏应有的国际金融理论和实践知识的准备，国际金融知识相当贫乏，难以胜任商业银行国际业务拓展的需要。
2、干部的选拔与使用。针对目前商业银行内控队伍素质的现状，有针对性地采取积极有效措施，造就一支政治过硬、业务精湛、技术全面、智能互补的内控干部队伍成为当前加强内控制度建设的中心议题。（1）择优录用。商业银行要根据人民银行规定的内控人员比例，确定本行全部内控人员的数量。内控人员的录用应坚持理论与实践相结合的原则、国内金融业务与国际金融业务人才相统一的原则、操作型与管理型人才相匹配原则、传统业务与新业务相兼顾的原则。同时，按照各种不同岗位的工作技能要求，向系统内或系统外公开招聘各类专业人才，通过定岗与公开招聘的办法既可以改变内控队伍力量单薄的现状，又塑造了一批高起点、知识和技能互补的内控专业人才，从而为保证内控措施执行打下基础。（2）员工培训。开展对岗位职工的制度培训和政治、业务学习，既是目前商业银行员工素质的迫切要求，又是商业银行经营、发展之必需。高素质的员工固然可从人才市场上取得，但如果长期得不到培训，他们的知识会老化、素质会降低，内部控制的功效得不到充分的发挥。因此针对内控员工素质要求高的特点，应有目的的在以下几个方面对员工进行培训。一是加强形势政策教育和职业道德强化训练，确保内控队伍廉洁高效地开展工作。二是开展短期培训和业余培训相结合的办法，逐步夯实内控人员的理论水平。三是实行岗位轮换。这不仅是培养、锻炼中层管理人员和培养员工全面发展的手段，而且是堵塞岗位工作中的漏洞和隐患的重要措施。四是保证基本功训练、规章制度、新知识的学习不间断，狠抓员工新岗位培训和上岗考核。五是建立对员工定期考核制度。（3）“人尽其才”。这是内控干部在使用上必须遵守的一项最基本的原则，充分发挥每个内控人员在内控中的作用，有利于内控效率的提高。
3、权力的制衡。近年来，商业银行普遍执行行长负责制，但没有建立有效的监督制约机制，使某些行长权力过大，独断专行。近几年专项稽核时发现的许多重大问题不少都与行长越权行事有关。有的行长业务水平和管理水平低下，置银行的基本规章制度和起码职业道德于不顾，贪污腐化，使内控制度成为一纸空文。针对权力制衡中存在的问题，要做好以下几项工作：（1）完善决策层面的制衡机制，防止个人随意性和非理性行为对全行重大决策的影响。商业银行每一级行领导都要坚持分工负责制、民主制基础上的行长负责制。对全行的重大经营决策、重大贷款的发放应集体研究，少数服从多数，由审贷委员会决定。（2）根据人民银行颁布的《商业银行授权授信管理暂行办法》，进一步明确本行的权限。（3）建立行长年审制度。每年年终由上级行的稽核监察部门对下一级行行长本年度的经营管理情况、重大决策情况、执行制度情况等进行稽核、检查评价。对于评价的结果除在适宜的范围和场合通报外，应计入个人档案。（4）提高业务主管部门对规章制度垂直管理的权威性。明确规定其管理的基本原则，各级领导不得随意变通，不能越权行使。规定各级业务主管部门对属于本职管辖范围的重大原则问题必须坚持原则，如遇疑难问题应及时向上级业务主管部门请示报告，否则要对不良后果负连带责任。（5）完善干部异地交流和岗位轮换制度。目前这项制度在商业银行内部发展不够平衡，有的力度太小，又不规范，应该对领导干部任期和交流，重要业务工作岗位上一般干部的任期和交流做出明确的规定，使之逐步实现制度化、规范化。（6）推行决策失误责任制度，以此促进各级行长提高决策能力，减少决策失误，防止金融风险。（7）完善行长离任和重要工作岗位上干部换岗审计制度。在行长任职期满、重要工作岗位上干部交流时，应有人事、稽核、会计、信贷、计划等有关部门对其任职期间的任期目标完成情况和经营管理情况进行稽核，并存档管理。（8）增强各行业务运作和决策的透明度，自觉接受群众的民主监督。
四、商业银行内部控制的关键——稽查评价
稽查评价是向商业银行内控中枢提供反馈的通道和使内控中枢得到真实信息的重要来源。一个内部控制系统运行的状况如何，运行质量怎样，需要进行稽核和不断修正，内部稽核是内部控制的最后一道防线，是控制的关键。
1、过程稽核。商业银行的稽核部门是内控制度的检查和评价部门，但由于目前稽核部门负责面广、人手紧，往往不能用很大精力对基层营业部门进行全面稽核，而且稽核部门一般是在事后进行稽核，查出的问题往往已无法补救了。因此可在有条件的基层营业部门设立内部稽核岗作为补充，由它负责对本部门业务进行事前、事中、事后稽核。由于商业银行经营风险具有多发性、连带性与易扩散性等特点，决定了商业银行的内部控制必须努力做到事前防范、事中控制和事后稽核检查三个阶段共同进行。特别是稽核时机上要经常在业务活动中进行，以使稽核工作能真正渗透到业务活动全过程。
2、结果评价。中国人民银行应该对商业银行内部控制效果进行综合评价，这也是中央银行今后稽核监管工作的重点。综合评价的基本方法有两种：一种是健全性评价，另一种是符合性评价。这样有利于防范和化解金融风险、保障金融业的稳健运行。人民银行要把内控制度是否健全和完善作为监管与评价商业银行的重要指标之一，以促使商业银行加强内部控制，并且还要特别关注商业银行高层管理人员是否遵守内部控制制度。另外，对于内控结果的评价，还应聘请一些社会中介组织如信用评级机构、会计师事务所、审计师事务所来对商业银行内控制度的建设和执行情况进行评价。除此之外，商业银行内部控制还应充分发挥社会监督和内部员工监督的作用。如建立公开投诉电话、定期不定期征求客户意见或建议，以综合评价商业银行内部控制制度的健全与完善。另外，还应对商业银行内控制度建设的成本与收益进行综合评价，以确定商业银行内控执行的效益性。
3、赏罚分明。人民银行对商业银行的内部控制结果评价之后，对于内控制度执行好的银行应奖励，同时对那些具有违规行为的行要认真查处，建议人民银行保留商业银行分支行行长的行政处分建议权，从根本上解决领导行为失控的问题。商业银行内部的上级行应经常对下级行的内控执行状况进行检查，对内控制度执行得好的分支行予以奖励，同时，对有违规行为行的也应查处，并且把内控制度执行状况直接与领导的政绩挂钩，从根本上杜绝由于领导行为所引起的内部失控现象。
4、调整及时。通过对商业银行内部控制的检查评价及在业务开拓过程中，发现的不合理的制度或制度上出现的空白点应及时做出调整。简单的控制可能只涉及到指出并纠正某一具体问题，而充分的内部控制则可能包括重新修订目标、制订新目标、调整组织机构、改善人员配备以及在领导方法上做出重大改变等。
五、商业银行内部控制的保障——组织体系
商业银行内控组织体系的设立，一要符合内控的基本原理及一般原则，二要符合商业银行的经营原则，三要符合经济规律。商业银行的内控组织体系由决策机构（施控系统），执行机构（受控系统）、监督反馈机构（反馈系统）构成。自上而下形成层次分明的多级递阶控制系统。决策机构发布控制指令，执行机构执行，监督反馈机构对执行机构的执行情况进行检查监督，查错补漏。商业银行内部机构的设置应当符合决策系统、执行系统、监督反馈系统相分离的原则。
1、决策机构要有权威。商业银行最佳的组织形式是股份制，按股份制的要求，最高权力机构是股东大会，由此选举产生的决策机构是董事会。董事会负责做出的有关全行的发展战略、业务经营等重大决策应不受其他任何干扰，具有相当大的权威性。但由于商业银行尚未脱离按行政区划设置机构的传统模式束缚，从而很难摆脱行政干预和长官意识，而且为了迎合地方政府追求经济高速发展的需要，把最大满足地方资金供给作为考核银行主要领导政绩的重要条件。因此，为了达到某种目的，决策机构在决策权威性方面大打折扣，严重影响商业银行经营与发展。
2、执行机构要精干、高效。商业银行经营管理部门或分支机构是受控系统，应严格执行决策机构的指令，并在各自授权的职责范围内行使职权，办理业务。
3、监督机构要独立。商业银行的内部稽核部门是对内部控制的综合管理部门，因此，要创造条件向监事会负责或向一级法人负责，适应商业银行稳健经营和防范风险的需要，赋予内部稽核部门一定的独立性和权威性。内部稽核部门的主要职责是：对各项业务提出内部控制建议；检查和评估有关部门内部控制情况；对内部控制制度的执行稽核检查；对违反内部控制的部门和个人建议进行处分和处理。由于以下原因，目前稽核部门的监督职能有所弱化：（1）审计地位不超脱。商业银行实行在本行长领导下的稽核管理体制或总稽核负责制，稽核部门作为同级行的内部机构而存在，这种稽核管理体制，不能对由于行长决策而造成的损失进行有效的监督。（2）稽核部门不能独立行使监督职能。稽核部门要对本行行长负责，对审计查出的问题，不经行长同意就不能上报，不能独立做出处罚决定。（3）监督的滞后性。稽核部门是对已发生的经营行为进行监督，是事后监督，没有渗入到经营管理的开始与过程中进行监督。（4）机构不健全，人员编制较少。（5）稽核手段落后，工作效率低下等。为此，要想商业银行内部控制得以正常进行，必须健全和完善稽核再控制机构。
