符合性測試的具體方法包括抽樣法、穿行測試法、證據檢查法和壓力測試法等。
第四十二條測試抽樣。
抽樣樣本取決於被評價機構或被評價項目的風險、業務頻次、重要性等。可在根據業務頻次抽樣的基礎上，結合被評價項目的風險和重要性進行調整。
根據業務頻次確定的抽樣量參考標準如下：
（一）每月執行一次的業務或事項，抽樣量應保持在2—6個之間。
（二）每周執行一次的業務或事項，抽樣量應保持在4—10個之間。
（三）每日執行一次的業務或事項，抽樣量應保持在10—25個之間。
（四）每日執行多次的業務或事項，全年10000次以下的，抽樣量應保持在25—50個之間；全年10000次以上的，抽樣量應保持在50個以上。
第四十三條指標分析。
應收集被評價機構內部控製結果指標的相關信息，進行核實、對比分析和趨勢分析，從而對內控目標實現情況做出評價。
第五章評分標準和評價等級
第四十四條內部控製評價采取評分製。對內部控製的過程和結果分別設置一定的標準分值，並根據評價得分確定被評價機構的內部控製等級。
第四十五條內部控製過程評價的標準分為500分，其中：內部控製環境100分、風險識別與評估100分、內部控製措施100分、信息交流與反饋100分、監督評價與糾正100分。上述五部分評價得分加總除以5，得到過程評價的實際得分。
第四十六條在對內部控製過程評價時，應按照第三章評價內容的要求，結合本辦法第八條的四個方麵展開，轉換為具體評價問題，並根據測試情況對被評價項目進行評分。
第四十七條初次實施內部控製評價時，須對所有業務活動、管理活動和支持保障活動進行評價。再次評價時，至少應包括：授信業務、資金業務、存款及櫃台業務、主要中間業務、計劃財務、會計管理、計算機信息係統等。其他活動在每三次再次評價周期內應至少覆蓋一次。
第四十八條內部控製過程評價的具體評分標準如下：
（一）被評價對象的過程和風險已被充分識別的，可得該項分值的20%。
（二）在滿足前項的基礎上，被評價項目的過程和對風險的控製措施被規定並遵循要求的，可得該項分值的30%。
（三）在滿足前兩項的基礎上，被評價項目的規定得到實施和保持，可再得該項分值的30%。
（四）在滿足前三項的基礎上，被評價項目在實現風險控製的結果方麵，控製措施有效且適宜的，可再得該項分值的20%。
第四十九條在測試過程中遇有業務缺項或問題“不適用”時，應將涉及的分值在評價項目總分中扣減。為了保持可比性，在得出其餘適用項的總分後，還應將該評價項目的總得分進行調整。
調整後評價項目總得分=所有適用項目得分/（評價項目總分-不適用項目總分）×100%
單項分值小計和總分分值有小數時四舍五入。
第五十條若涉及需要采取抽樣測試確定評價結論的，應根據以下情況確定：
（一）如果在抽樣範圍內未發現違規，該項評價得滿分；在抽樣範圍內，發現兩項以上違規（含兩項），該項評價不得分；僅發現一項違規的，應擴大一倍抽樣，在擴大抽樣範圍內未發現新的違規的，可得該評價項目分值的50%，在擴大抽樣範圍內又發現新的違規的，該評價項目不得分。
（二）發現險情或事故的，直接扣除該評價項目的分值。
第五十一條內部控製的結果評價。結果評價主要評價內部控製目標的實現情況，對這些指標的量化評價可以通過非現場的方式進行。結果評價主要包括十項指標：資本利潤率、資產利潤率、成本收入比、大額風險集中度指標、關聯方交易指標、資產質量指標、不良貸款撥備覆蓋率、資本充足指標、流動性指標、案件指標等，指標說明及控製比例見附錄。內控結果評價指標的標準分值為500分，轉化為百分製後得出實際得分。
銀監會可以根據商業銀行整體風險情況、經濟金融情況和銀監會工作的重點，補充、修訂或調整有關評價指標及其標準分值。
第五十二條根據過程評價和結果評價綜合確定內部控製體係的總分。其中，過程評價的權重為70%，結果評價的權重為30%，兩項得分加總得出綜合評價總分。
第五十三條根據綜合評價總分確定被評價機構的內部控製體係評價等級，應按評分標準對被評價機構內部控製項目逐項計算得分，確定評價等級。定級標準為：
一級：綜合評分90分以上（含90分）。指被評價機構有健全的內部控製體係，在各個環節均能有效執行內部控製措施，能對所有風險進行有效識別和控製，無任何風險控製盲點，控製措施適宜，經營效果顯著。
二級：綜合評分80—89分。指被評價機構內部控製體係比較健全，在各個環節能夠較好執行內部控製措施，能對主要風險進行識別和控製，控製措施基本適宜，經營效果較好。
三級：綜合評分70—79分。指被評價機構內部控製體係一般，雖建立了大部分內部控製，但缺乏係統性和連續性，在內部控製措施執行方麵缺乏一貫的合規性，存在少量重大風險，經營效果一般。
四級：綜合評分60—69分。被評價機構內部控製體係較差，內部控製體係不健全或重要的內部控製措施沒有貫徹執行或無效，管理方麵存在重大問題，業務經營安全性差。
五級：綜合評分60分以下（不含60分）。被評價機構內部控製體係很差，內部控製體係存在嚴重缺失或內部控製措施明顯無效，存在明顯的管理漏洞，經營業務失控，存在重大金融風險隱患。
上述等級也適用於單項評級，單項評級結果主要用於對比分析。
第五十四條若被評價機構在評價期內發生重大責任事故，應在上述評級的基礎上下調一級。
重大責任事故包括：
（一）因安全防範措施不當，發生金融詐騙、盜竊、搶劫、爆炸等案件，造成重大影響或損失。
（二）因經營管理不善發生擠提事件。
（三）業務係統故障，造成重大影響或損失。
（四）經查實的重大信訪事件。
第五十五條內部控製體係連續在三個評價期內得不到改善的機構，其內部控製評價等級應適當下調。
第六章組織和實施
第五十六條內部控製評價按照“統一領導，分級管理”的原則進行。
第五十七條根據評價的範圍，內部控製評價可分為以下層次：
（一）銀監會及其派出機構對商業銀行法人機構的整體評價，原則上每兩年一次。
（二）銀監會及其派出機構對商業銀行總部的評價，原則上每兩年一次。
（三）銀監會及其派出機構對商業銀行不同層次分支機構的評價，每三年一個評價周期，每年至少覆蓋1/3以上的分支機構，三年內必須覆蓋全部分支機構。
第五十八條應當根據風險大小和重要性確定對商業銀行及其分支機構內部控製評價的頻率和範圍，當商業銀行發生管理層重大變動、重大的並購或處置、重大的營運方法改變或財務信息處理方式改變等情況，或銀監會認為必要時，應對商業銀行內部控製進行整體評價。
第五十九條銀監會對商業銀行法人機構整體評價時，總部占整體評價得分的60%，分支機構平均得分占整體評價得分的40%，形成最終評級結果。其中，初次整體評價時，應覆蓋總行和所有分支機構；再次進行整體評價時，應抽取不少於1/3的分支機構。
銀監會各派出機構對轄內商業銀行分支機構的內部控製評價可比照進行。
第六十條銀監會及其派出機構應及時整理、分析和掌握被評價機構報送的非現場監管數據、國家審計部門的審計結果和被評價機構的內部審計信息，充分利用監管部門對被評價機構的各種現場檢查結果。
第六十一條銀監會或其派出機構應對被降價機構內部控製體係的改進情況進行後續跟蹤，責令被評價機構針對發現的違規或風險隱患製定糾正措施，並對糾正情況及其有效性進行驗證。
第六十二條內部控製評價各階段涉及的有關記錄、表格、評價報告以及跟蹤驗證的相關資料均應作為監管檔案妥善保管。
第六十三條銀監會可根據需要委托外部中介機構對商業銀行內部控製體係進行評價。受托中介機構和人員必須熟悉商業銀行業務和運作，具備商業銀行內部控製體係建立或評價方麵的經驗。各派出機構選聘中介機構時，必須報銀監會批準。
受托中介機構對商業銀行的內部控製評價須按照本辦法執行。
第七章罰則
第六十四條銀監會根據評級結果及評價報告所反映的情況，針對被評價機構內部控製體係存在問題的性質及嚴重程度，可分別采取以下一項或多項監管措施：
（一）約見被評價機構第一負責人或董事長。
（二）就評價對象內部控製體係存在問題可能引發的風險，向被評價機構進行提示和警告。
（三）要求被評價機構對內部控製體係存在的問題限期整改。
（四）加大現場檢查力度及頻率。
（五）建議調整管理層。
（六）取消有關人員一定期限或終身銀行業從業資格。
（七）責令整頓或暫停辦理相關業務。
（八）延緩批準或拒絕受理增設分支機構、開辦新業務的申請。
第六十五條對內部控製評價中發現的違規、違法行為，應根據有關規定，采取相應處罰措施。
第六十六條未經批準或許可，任何單位和個人不得對外公布對被評價機構的內部控製體係等級評定結果。凡擅自公布等級評定結果，應追究有關人員的責任。
第八章附則
第六十七條本辦法涉及的重要名詞術語解釋如下：
（一）體係：相互關聯或相互作用的一組要素。
（二）文件：信息及其承載媒體。媒體可以是紙張，計算機磁盤、光盤或其他電子媒體，或其組合。
（三）程序：為進行某項活動或過程所規定的途徑。程序可以形成文件，也可以不形成文件；當程序形成文件時，通常稱為書麵程序。
（四）風險相關方：與商業銀行在風險及其控製方麵有利益關係的個人或團體。風險相關方包括風險直接承擔者和間接利害關係者，前者如商業銀行投資者、顧客或員工，後者如監管機構。
（五）內部控製績效：根據內部控製政策和目標，在控製風險方麵所取得的可測量的結果（績效測量包括內部控製活動和結果的測量）。
（六）事故：造成損失的非預期事件。
（七）險情：可能造成損失的事件。
（八）違規：未滿足規定的要求，既可能是人員主觀造成的，也可能是其他客觀原因導致的。
（九）預防措施：為消除潛在違規、險情或事故的原因所采取的措施。
（十）糾正措施：為消除已發現的違規、險情和事故的原因所采取的措施。
第六十八條商業銀行應根據本辦法製定相應的實施細則並報銀監會或其派出機構備案。
第六十九條本辦法適用於在中華人民共和國境內依法設立的國有商業銀行、股份製商業銀行、外資商業銀行、城市商業銀行、農村商業銀行、商業銀行和郵政儲蓄機構。對政策性銀行、城鄉信用社和非銀行金融機構的評價可參照本辦法執行。
第七十條未進行股份製改造的商業銀行和郵政儲蓄機構、政策性銀行、城鄉信用社和非銀行金融機構，應由高級管理層負責內部控製體係的建立、維護和改進，並明確相對獨立的決策、監督和執行的職責和權限。
第七十一條本辦法由銀監會負責解釋與修訂。
第七十二條本辦法自2005年2月1日起施行。