（二）商业银行内部控制的要素和原则
1.商业银行内部控制的要素
（1）内部控制环境
自我完善：
董事会负责保证商业银行建立并实施充分而有效的内部控制体系；
高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估；
监事会负责监督董事会、高级管理层完善内部控制体系；
董事会、高级管理层负责在商业银行内部应当建立科学、有效的激励约束机制，培育良好的企业精神和内部控制文化，履行相关内部控制职责。
监管评价：
商业银行公司治理，董事会、监事会、高级管理层的责任；内部控制政策、目标；组织结构；企业文化；人力资源情况
（2）风险识别与评估
自我完善：
商业银行应当设立履行风险管理职能的专门部门；制定并实施识别、计量、监测和控制风险的制度、程序和方法；确保风险管理和经营目标的实现，特别是确保对商业银行经营管理目标有不利影响的重要风险被确认和评估；内控体系需要适时修改，以应对任何新的或之前未能有效控制的风险。
监管评价：
银行经营管理活动风险识别与评估情况；法律法规、监管要求和其他要求的识别情况；内控方案等。
（3）内部控制措施
自我完善：
内部控制是日常经营管理的重要部分，每个业务/岗位都要建立控制措施，分清责任范围，并接受仔细、独立的监控。
监管评价：
运营控制、应急准备和处置情况；信息系统环境下的控制
（4）监督与纠正
自我完善：
确保内控状况能被连续监控、掌握；内部审计部门应直接向董事会、审计委员会或高级管理人员报告对内控状况/效果的评价结果；内部控制不足之处应及时向适当的管理人员汇报并及时处理和纠正。
监管评价：
内部控制绩效监测、意外事件处置和纠正及预防措施，内部控制体系评价管理评审，以及持续改进情况
（5）信息交流与反馈
自我完善：
具有可靠、及时、充分的内部财务数据信息以及与决策相关事件、情况的外部市场信息；具有能够覆盖所有经营活动的、可靠的信息系统；具有有效的沟通渠道，保证所有人员能够完全理解并正确执行各项政策和程序；同时保证组织机构内部各级管理层之间和部门之间信息充分流动；建立程序，规定对内部控制相关活动中所涉及记录的控制。
监管评价：
信息交流与沟通；内控体系对文件的要求；是否建立并保持必要的内控体系，同时对文件进行有效控制。
2.商业银行内部控制的主要原则
商业银行的内部控制必须贯彻全面、审慎、有效、独立的原则，具体来说：
（一）内部控制应当渗透到商业银行的各项业务过程和各个操作环节，覆盖所有的部门和岗位，并由全体人员参与，任何决策或操作均应当有案可查。
（二）内部控制应当以防范风险、审慎经营为出发点，商业银行的经营管理，尤其是设立新的机构或开办新的业务，均应当体现“内控优先”的要求。
（三）内部控制应当具有高度的权威性，任何人不得拥有不受内部控制约束的权力，内部控制存在的问题应当能够得到及时反馈和纠正。
（四）内部控制的监督、评价部门应当独立于内部控制的建设、执行部门，并有直接向董事会、监事会和高级管理层报告的渠道。
三、商业银行风险文化
（一）商业银行风险文化的定义和内涵
风险文化是商业银行在经营管理活动中逐步形成的风险管理理念、哲学和价值观，通过商业银行的风险管理战略、风险管理制度以及广大员工的风险管理行为表现出来的一种企业文化。
健康的风险文化以商业银行整体文化为背景，以经营价值最大化为目标，贯穿以人为本的经营理念，有机地融合先进的风险管理技术和科学的风险管理手段；始终面向不断变化的市场、客户，在与市场的不断博弈中完善政策制度，与时俱进地指导商业银行风险管理实践，是科学、高效、完整和可控的全面风险管理体系的灵魂。 |
