第一節商業銀行內部控製的定義
內部控製是商業銀行為實現經營目標，通過製定和實施一係列製度、程序和方法，對風險進行事前防範、事中控製、事後監督和糾正的動態過程和機製（《商業銀行內部控製指引》，中國銀行業監督管理委員會令（2007年第6號）。）。
第二節商業銀行內部控製的目標
巴塞爾銀行監管委員會把內控的三大目標分解為操作性目標、信息性目標和合規性目標。操作性目標不隻針對經營活動，而且包括其他各種活動。信息性目標包括管理信息，明確要求實現財務和管理信息的可靠性、完整性和及時性。
（1）操作性目標（O）。
各種活動的效果和效率。
（2）信息性目標（F）。
財務和管理信息的可靠性、完整性和及時性。
（3）遵從性目標（C）。
遵從現行法律和規章製度（三大目標在以後敘述中分別用“O”、“F”、“C”代表。）。
這三大目標滿足不同的需要，又相互交叉。首先，內部控製是保證各種活動發展的，而不是妨礙其發展的。其次，銀行不能為實現經營性目標而不遵從法規，更不能為實現遵從性目標或操作性目標而違反財務和管理信息的可靠性、完整性和及時性。
我國銀監會頒布的《商業銀行內部控製指引》認為商業銀行內部控製目標為：
（1）確保國家法律規定和商業銀行內部規章製度的貫徹執行。
（2）確保商業銀行發展戰略和經營目標的全麵實施和充分實現。
（3）確保風險管理體係的有效性。
（4）確保業務記錄、財務信息和其他管理信息的及時、真實和完整。
第三節商業銀行內部控製的原則
商業銀行內部控製應當貫徹全麵、審慎、有效、獨立的原則，包括以下方麵：
（1）內部控製應當滲透商業銀行的各項業務過程和各個操作環節，覆蓋所有的部門和崗位，並由全體人員參與，任何決策或操作均應當有案可查。
（2）內部控製應當以防範風險、審慎經營為出發點，商業銀行的經營管理，尤其是設立新的機構或開辦新的業務，均應當體現“內控優先”的要求。
（3）內部控製應當具有高度的權威性，任何人不得擁有不受內部控製約束的權力，內部控製存在的問題應當能夠得到及時反饋和糾正。
（4）內部控製的監督、評價部門應當獨立於內部控製的建設、執行部門，並有直接向董事會、監事會和高級管理層報告的渠道。
內部控製應當與商業銀行的經營規模、業務範圍和風險特點相適應，以合理的成本實現內部控製的目標。
第四節商業銀行內部控製的組成要素
COSO委員會認為，內部控製包括控製環境、風險評估、控製活動、信息與交流和監督評審五大要素。銀監會印發的《商業銀行內部控製指引》、《商業銀行內部控製評價試行辦法操作說明》也將內部控製分為這五大組成部分，並根據巴塞爾委員會頒發的適用於銀行一切表內外業務的《內部控製係統評估框架》以及中國的國情，具體規定了商業銀行內部控製的組成要素。
一、控製環境
控製環境是推動控製工作的發動機，是所有內控組成部分的基礎，它奠定組織的風尚和結構，涉及所有活動的核心——人。“以人為本”的管理思想的核心是強調人是發展的動力，是一切事物的基礎。控製環境塑造企業文化，影響企業員工的控製意識。商業銀行內部審計部門應根據控製環境的每一要素，判定銀行是否存在積極的控製環境。內控環境主要包括以下因素：
1．商業銀行公司治理
（1）是否建立以股東大會、董事會、監事會、高級管理層等為主體的公司治理組織架構？
（2）是否設立了提名委員會、風險管理委員會、人事和薪酬委員會、審計委員會、關聯交易控製委員會等其他專門委員會？
（3）是否定期或不定期召開股東大會年會和臨時會議，是否向全體股東彙報？股東大會是否實行律師見證製度？是否製定內容完備的股東大會議事規則並由股東大會審議通過，包括通知、文件準備、召開方式、表決形式、會議記錄及簽署、關聯股東的回避製度等？
（4）董事會是否建立了議事規則和決策程序？議事規則是否完備，包括通知、文件準備、召開方式、表決形式、會議記錄及簽署、董事會的授權規則等？董事會是否定期（每季一次）或不定期召開例會和臨時會議？
（5）監事會是否建立了議事規則和決策程序？議事規則是否完備，包括通知、文件準備、召開方式、表決形式、會議記錄及其簽署等？是否定期（每季一次）或不定期召開例會和臨時會議？
（6）是否建立了獨立董事和外部監事製度並設立了2名（含）以上獨立董事和2名（含）以上外部監事？
（7）董事會審計委員會負責人是否由獨立董事擔任？是否要求銀行報送內部審計報告並進行評價？獨立董事是否對董事會討論的有關商業銀行內部控製事項發表客觀、公正的獨立意見？是否對董事會決議中違反法律、法規或商業銀行章程的條款提出反對意見？
（8）審計委員會負責人是否由外部監事擔任？外部監事是否根據監事會決議組織開展商業銀行內部控製相關審計工作？是否及時向外部監管部門報告監督檢查中發現的問題？
（9）采取何種措施確保商業銀行根據內部審計、外部審計和外部監管部門改進內部控製的意見和建議實施有效的整改？
2．董事會、監事會和高級管理層責任
（1）董事會是否審批了商業銀行整體經營戰略和重大政策並定期檢查、評價執行情況？
（2）董事會是否設定了商業銀行可接受的風險程度，並審批管理層所製定的風險防範措施及額度設置？是否確保商業銀行充分了解資本充足、風險集中度、關聯交易、不良資產管控和處置的有關規定，並指導和監督具體政策、程序的產生和實施？
（3）董事會是否及時審查銀行內部審計機構和外部監管部門對銀行內部控製的評價報告，並督促管理層落實整改措施？
（4）監事會是否通過適當的方式對銀行內部控製進行監督？
（5）監事會是否組織對銀行內部控製相關檢查？是否對董事會及董事、管理層及高級管理人員履行內部控製職責情況進行檢查？
（6）監事會是否在發現董事、董事長及高級管理人員有損害商業銀行利益的行為時要求其糾正？
（7）高級管理人員是否明確其在內控體係方麵的職責？在各項業務和管理活動中是否製定了明確的內部控製政策？
（8）是否定期評審內部控製狀況的充分性和有效性？是否及時審查外部監管部門、內部和外部審計部門對內部控製體係的評價報告？是否及時聽取了審計部門和外部監管部門有關內部控製體係缺失的建議與意見，並部署采取糾正整改措施？
（9）董事會、高級管理層是否能及時了解銀行的業務風險和操作業績？銀行內部的信息流動是否通暢（包括信息上報、信息下達及機構內部信息的橫向流動）？內部控製政策相關每一項信息是否都傳達到每一相關人員？
（10）是否建立了授權和責任明確、報告關係清晰的組織結構？是否采取措施引導管理人員和全體員工參與到內部控製活動中，以保證內部控製的各項職責得到有效履行？
3．內控政策
（1）是否已建立文件化的政策（包括人力資源政策、財務管理政策、信貸總量和信貸結構政策、流動性風險和市場風險政策、信息交流政策等等）？
（2）政策的內容是否：第一，為製定和評審目標提供框架；第二，與商業銀行的宗旨和發展戰略相一致；第三，符合適用法律法規和監管要求；第四，指導員工實施風險控製；第五，體現持續改進內控體係的要求。
（3）政策是否已為員工所理解？
（4）政策是否可以並已向相關方公開，同時尋求互利合作？
（5）各級各類政策是否定期評審，需要時及時更新？
4．內部控製目標
（1）商業銀行已建立了哪些內部控製目標？是否形成文件？
（2）各個目標是否可測量並分解為指標？是否已展開到相關職能和層次？通過哪些方式傳達到相關員工？
（3）內控體係的目標是否能確保與法律法規、監管要求相一致並使之滿足？能否確保商業銀行的發展戰略和經營目標的全麵實施與實現？確保風險控製的有效性？確保業務記錄、財務信息和其他相關信息的及時、真實和完整？
（4）在建立和評審內控目標時，是否考慮了可供選擇的技術方案、財務、運作和經營要求、風險相關方的要求等？
（5）內控目標是否符合內控政策？如何體現對持續改進的承諾？
5．組織結構
（1）商業銀行的組織結構狀況如何？包括：部門分工合理性、職責明確程度和報告關係清晰程度。
（2）是否考慮職責分離、相互監督製約？
（3）涉及資產、負債、財務和重要人事變動的事項如何決定？
（4）是否建立關鍵崗位輪換和強製休假製度？
（5）是否建立統一授權體係？
（6）是否設立了全行係統垂直管理、具有充分獨立性的內部審計部門？
（7）內部審計部門是否配備了具有相應資質和能力的審計人員？
（8）是否建立了內部審計風險評級體係？每年是否根據審計風險評級結果確定審計頻率，以及對機構和業務的審計覆蓋率？
（9）內部審計部門是否有權獲得商業銀行的所有經營信息和管理信息？