现代商业银行是以多种金融资产和金融负债为经营对象，具有综合性服务功能的金融企业。它通常具有以下特征：经营大量货币性项目，要求建立健全严格的内部控制制度；从事的交易种类繁多、次数频繁、金额巨大，要求建立严密的会计系统，并广泛使用计算机系统及电子资金转账系统；分支机构众多，分布区域广，会计处理和控制职能分散，要求保持统一的操作规程和会计体系；存在大量不涉及资金流动的资产负债表外业务，要求采取控制程序进行记录和监控；高负债经营，债权人众多，与社会公众利益密切相关，受到银行监管法规的严格约束和政府有关部门的严格监管。

    商业银行本身所具有的特征决定了要想平稳地开展各项业务，实现既定的发展目标，必须有一套完整、有效、合理的内部控制体系。尽管各国在金融监管上的力度不断加强，成效明显，特别是巴塞尔委员会近年来就银行监管问题发布了一系列原则、标准和建议后，国际金融监管更是取得了突破性进展。但同一时期的金融业务的复杂性大大增加，衍生金融工具及其市场、银行表外业务急剧发展，国际金融市场上的金融投资组合的调整与资金的全球性流动已是瞬息万变，金融监管防范措施有时显得束手无策，特别是当金融机构管理人员极力想掩盖内部风险或者有时对内部风险没有察觉的情况下，金融监管当局就很难发现这些风险。因此，金融机构加强其内部控制制度的作用日益显著。实践表明，许多金融机构发生的重大问题，往往就是因为内部控制的失效。

    商业银行内部控制是银行为保护资产安全完整，防范金融风险，保证会计数据的真实性可靠性，提高经济效益，贯彻执行高层管理者所制定的各项管理政策，保证经营目标的实现而制定并实施的组织规划和对内部各部门与人员相互制约和协调的一系列制度、措施、程序和方法。目的在于确保一家银行的业务能根据银行管理层制定的政策以最合理的方式进行，保证经营业务规范化，将各种风险控制在最小范围内以实现其经营目标。有效的商业银行内控制度应大体由下表（见右栏）各部分组成。

    （一）银行内部会计控制

    银行内部会计控制是指与维护银行资产安全完整，保证会计资料真实可靠直接相关的所有制度、组织、程序、方法等。它主要包括：

    1.资产保全。会计的主要责任就是保证企业资产安全完整、会计资料真实可靠。一方面，对于实物资产做到所有权明确，保管、处理责任范围界定清晰，审批制度严格，以免出现私自转移银行资产中饱私囊，或是肆意损坏物资给银行造成损失。另一方面，就信息资料而言，商业银行应当真实、全面、及时地记载每一笔经济业务，正确进行会计核算，建立完整的会计、统计和各种业务资料的档案并妥善保管，定期核对，确保原始记录的合同、契约、各种信息资料数据的真实完整。

    2.授权审批。授权是指银行最高管理层向管理者及其下级机关和工作人员赋予的一种能够代表银行从事一项业务或某些业务的权利。严格的授权审批制度对任何银行的业务活动都是必不可少的。商业银行要做到“有法必依”，即严格执行既定的规章制度，尽量避免越权、未授权行为的发生；实行逐级有限授权制度，并根据被授权人的实际情况实行区别授权或及时调整授权；对越权行为必须予以严厉处罚，越权产生的损失应追究相应的赔偿责任。对于重要的银行业务活动必须经两人以上审批签署方可生效，行使审批权利必须承担相应的责任。

    3.职责划分。根据此原则，在分配任务和明确责任时，应避免让同一工作人员担任不可兼容的职责，通过相互牵制的约束，以减少差错和舞弊行为的出现或发生；明确各管理部门和职能部门的权力和责任，建立权力制衡机制，使责、权、利有机地结合起来。合理的职责分工和恰当的责任分离能够使各部门各岗位人员各司其职，在各自的工作范围内完成相应的任务，保证工作各个环节的完整和安全。

    4.流程控制。这里的流程是指账务处理过程，要从业务发生、填制原始凭证开始，经审核、记账、结账至编制报表完毕。在这一过程中，涉及到凭证的设计和使用账簿的种类及相互关系以及会计资料的接触、使用、保存等多重环节。会计凭证的格式与内容必须要符合财务会计法规的规定及企业自身的情况；填制与传递及时、准确；力求账簿之间的结、转、勾稽关系正确无误；对书面资料应妥善保存，必须力求做到授权接触；所有重要业务事项与决策都必须按规定进行，并应保留可核实的记录，防止个人独断专行，等等。总之，账务处理过程中事无巨细，都要有严密的控制制度来相应地执行和监控。

    5.防范系统。主要包括复核检查和预警预报。

    （1）复核检查。一是对会计核算及与其相关的业务要进行复核。二是银行对业务部门所开展的业务的事后检查，它可分为两个层次：即业务经办部门对自身办理的业务的事后检查，以及内部稽核部门（专职监察部门）对所开展的业务的事后检查。实际上，后者所说的复核检查应该在银行内部管理控制中体现，为了保持这一问题的完整性，在这里一并谈及。

    （2）预警预报。建立预警预报系统的目的是为了预知可能出现的错误和问题，及时发现经营过程中的问题，防患于未然，减少失误和损失。因此，商业银行应围绕经营项目、业务管理、风险防范、资产安全等内容，定期进行业务风险分析、信贷资产质量评价、资金运用风险评估；建立定期实物盘点和各种账证、账表的核对制度以及业务活动的事前、事中和事后监督制度；健全完善内部控制系统的评审和反馈，对带有苗头性、倾向性的问题进行预测预报，从而把业务风险降到最低。同时，对各个重要部门、营业网点等制定明确的应急应变措施，以保证业务持续顺利进行。针对可能遇到的断电、失火、台风、抢劫等紧急情况，商业银行应当在考虑各种可能因素的前提下制定出有效的应急应变措施。

    （二）银行内部管理控制

    商业银行内部管理控制主要是指与提高银行经营管理水平有关的内容，其目的是提高企业经营效率，促进企业经营方针的贯彻和经营目标的实现。它主要包括：

    1.组织管理。就是商业银行通过合理设置与安排内部组织结构来保证银行业务流动的通畅、高效、合法、合规，以实现其经营目标。首先，商业银行分支机构应根据商品生产和流通的不同特点来设置，即根据不同的经济区，设置以总行为核心的各地支行，并且做到：对分支机构权力适当下放，妥善处理总行与分支行的关系；对分支行的经营业绩进行客观的评价考核，并根据考核结果采取适当措施；针对商业银行的电子化处理系统制定切实可行的管理监控措施。其次，银行经营决策层的管理人员在聘用前必须经过严格的考核和多方面的培训。作为一个合格的管理人员必须具备良好的道德品质，正直的秉性特征，扎实的业务知识与技能，丰富的实践经验，宽阔的视野，创造性的思维，熟知金融及相关法规，通晓各国经济金融环境。

    2.财务管理。商业银行财务管理主要是指商业银行对各职能部门、分支机构的成本费用和利润进行控制考核，其目的是降低整体经营成本、提高经济效益。内部控制中的财务管理是与银行的经营目标密切相关的。同时，识别和评价银行所面临的各种风险，并判断各种风险对银行的影响程度和造成损失的大小，是有效的内部控制必不可少的内容。这就要求银行运用科学的方法对自身所面临的各种风险进行较全面的分析，采用定性和定量相结合的方法来估测风险发生的概率和损失程度，并通过一定防范化解措施，将各种风险可能带来的损失最小化。通过设置科学的风险考核指标体系，如存贷比率、资本充足率、贷款回收比率、信用风险比率等指标，来进行数据对比，综合分析研究，客观地评价一定时期本单位的经营业绩和经营工作水平。

    3.业务流程管理。商业银行各项业务活动的发生、进展、变化情况，都要有明确的报告渠道和程序。一般来说，商业银行各项业务的开展都要经过授权、执行和记录。每一项业务的具体处理要根据各项业务的内容和特点来确定。例如，合理、完善的贷款业务程序应是：贷款调查与评估（包括企业信用等级评定、项目可行性分析等）→审查（审查贷款的直接用途、企业近期财务状况等）→批准→发放→监督（信贷及管理人员对贷款使用情况的定期检查及稽核人员检查贷款的发放是否合规）→收回

    4.人力资源管理。所谓人力资源管理是指把银行内部人与人以及人与银行的关系协调妥当，使银行的人力资源最有效地发挥作用。商业银行一般均视人力资源为本身最重要的资产，因为银行的其他资源如机器、物料等都必须通过人力的作用才能发挥效能，内部控制风险一定程度上也是由人来控制的。因此，通过加强人事管理，建立岗位制约机制，建立健全人事聘用制度，可以充分挖掘劳动潜力来提高各部门、岗位以及员工的工作效率。人力资源管理控制一般包括：人力资源规模、员工招募选拔、岗位分配、薪酬管理、培训考核、员工福利及保障、不合格人员解聘制度。

    （三）内部稽核

    商业银行内部稽核的目的是维护资产的完整，促进资源的有效利用，通过执行一定的审计程序来检查核证资产的完整性、评估内部控制的效验性、效率性和效益性。通过内审，不但可以发现业务中的错弊，定期、不定期的内审还会起到威慑作用。

    比较完善的内部稽核部门作业范围应当包括：网络、执业的安全性；管理制度制定的合理性和执行的有效性；环境与银行自身发展的协调性（风险评价）；技术的完善与先进性；财务、会计内控的严密性；业务创新的合理性及可行性等各方面，并设立真正独立于其他管理层的内审机构。同外部审计一样，内部稽核人员必须具备独立、客观、公正的原则和立场，并具有一定的权利——有权接触银行的一切记录、财产和人员，有权获得有关人员在工作上的配合，有权向高级管理层汇报审计中发现的问题。具有独立性、权威性的内部审计机构应直接向最高管理层负责，而不受被监督人员和部门的权利限制。

    在商业银行的经营和管理过程中，电脑技术在业务的自动化方面，在管理的信息化方面，在服务的客户化方面，都得到广泛的应用。因此，利用现代化的信息系统来实现内部稽核的严格、有效、及时、完善的运作是必不可少的。

    1.电脑稽核。在商业银行内部和电脑中心分别设立专职电脑稽核人员。该类人员从银行内部资深的专门从事系统软件或设计开发金融软件的计算机专业技术人员中选择。他们首先应当具备较高的道德素质，应当善于发现和纠正日常业务处理流程和系统设置中的薄弱环节，以便监督业务人员、电脑人员以及电脑系统，从而使越权使用计算机处理业务和非法侵犯计算机的行为都处于稽核的监控之中。

    2.实时监控。我国目前商业银行的内部审计行为都是一种事后监督审计，只是对一些书面资料进行检查分析。由于信息不对称，效用滞后，大大降低了内审的效果。银行内部审计部门应利用科学技术来改善审计手段，建立适用于新形势的计算机审计网络，并与人民银行等金融监管机构联合建立非现场监督系统，通过网络可随时全面掌握商业银行的经营动态和会计信息，实现事前的预防和事中的监控。内审部门在严格保密制度和确保安全的前提下可根据授权在线访问，通过internet直接进入银行内部信息系统调阅有关信息，经过对数据的分析处理，对银行发展中带有苗头性和倾向性的问题及时开展分析研究，把事前、事中、事后的监管兼顾起来，加大非现场监督力度，改变传统的现场审计等落后的人工事后监督的做法，提高审计的综合监督职能。