《商业银行法》第五十九条规定：“商业银行应当按照有关规定，制定本行的业务规则，建立、健全本行的风险管理和内部控制制度。”商业银行是经营货币的特殊企业，以安全性、流动性、效益性为经营原则。根据这一原则，商业银行应当按照有关规定，制定本行的业务规则，建立、健全本行的风险管理和内部控制制度，实行制度化、规范化管理。一般来说，商业银行应当建立以下主要业务规则和制度：
（一）建立业务管理制度。商业银行的业务管理制度主要包括：1、资产负债比例管理制度。为了适应新的金融管理体制，增强商业银行自我约束和自我发展能力，保证商业银行的稳定发展，对商业银行的信贷资金实行比例管理。通过建立、健全商业银行内部资金比例管理制度，加强对商业银行资金自给率、拆借资金占存款比例、风险贷款比例等的检查与考核，努力将其控制在规定的标准之内。在此基础上，按照总量平衡、期限对称、结构合理的原则，建立商业银行资产负债管理机制，使商业银行能够根据资金的来源确定资金的运用，做到资产规模与负债规范相适应，资产结构和性质与负债的结构和性质的比例关系相适应。2、抵押贷款和保证贷款制度。商业银行要逐步降低信用放款比重，提高抵押、保证贷款和贴现比重。商业银行要不断扩大抵押贷款的范围，提高抵押贷款和保证贷款占贷款总量的比重。商业银行应当逐步使抵押、保证贷款成为商业银行的主要贷款方式，建立起抵押贷款和保证贷款制度，减少信用放款比重，以分散银行信贷资金风险，提高银行信贷资金的安全性和流动性。3、建立风险管理制度。商业银行应建立健全贷款审查审批制度、完善信贷风险准备制度，对贷款企业要建立科学规范化的信用评级制度，对各类新增贷款和投产项目要认真进行市场调查和预测，进而确定资金投向和调整结构的着力点。此外，要建立贷款“三查”、岗位分离和审贷职能分离制度，健全贷款制约机制。要积极利用现行的呆账准备金，尽快将呆账核销工作开展起来，力争使每年提取的呆账准备金能按规定用于呆账贷款的核销，防止风险积累。要实行国际通行的风险度管理办法，参照巴塞尔《有效银行监管的核心原则》，用量化指标预测和评估各类贷款风险度，据以作为考核贷款质量、划分贷款审批权限的依据。4、加强建立经营效益的考核制度。建立健全切合实际的考核指标体系和奖惩办法，促使商业银行形成自我发展和自我约束机制。建立以实现利润和防范风险为中心的指标考核体系，加强考核，严格奖惩。5、建立、健全储蓄利率管理制度。储蓄存款是商业银行重要的资金来源，商业银行在开展储蓄存款业务时，不得擅自抬高或降低利率。商业银行应根据中国人民银行有关储蓄、利率方面的具体规定，建立、健全本系统储蓄、利率管理的规章制度。6、建立各项会计结算管理制度。商业银行在具体办理存款、贷款、储蓄、现金出纳等业务中，必然引起资金的增减变动，这就要求运用银行会计做出连续的、系统的、全面的记录和反映。银行结算是社会经济活动各项资金清算的中介，是商业银行的一项重要业务。商业银行结算的任务根据经济往来合理组织结算和准确、及时、安全办理结算。因此，商业银行要按照《票据法》、《票据管理办法》、《支票结算办法》等结算规定，通过建立本行的结算制度来加强结算管理，保障结算活动的正常进行。
（二）建立现金管理制度。商业银行的现金管理是商业银行根据国务院和中国人民银行有关授权，对开户单位的现金收付活动，即对使用现金的数量和范围进行控制和管理的制度。商业银行在经营活动中要对现金业务进行监督，对开户单位的库存现金和现金使用情况进行审查和检查，通过制定本行的现金管理制度，来完成现金管理任务。
（三）建立各项安全防范制度。商业银行有大量的现金和有价证券，为确保资金安全，商业银行应建立健全各项安全防范制度，具体包括现金库、银行账务、保管箱及消防、安全保卫等方面的防范措施。
（四）建立内部控制制度。通过外部监管，促使其内部建立严格的内部控制制度，这是有效防范风险的根据手段。内部控制是商业为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。根据《有效银行监管的核心原则》，内部控制制度可高度概括为“制约”两个字，体现在：一是双人原则，又具体体现为双人签字。银行不能一个人说了算，正副领导要双人签字，银行重要事务才能得到执行。二是在组织机构上严格做到审贷与发贷的分离，不仅可以防止风险，而且可以防止贷款被欺诈。三是建立独立的内部审计制度。要求内部审计有适当的地位和适当的报告程序。一些国家的商业银行，应监管者的要求，在董事会设立“审计委员会”。目的是促进董事会有效地行使其监督权。四是在银行内部建立合规性检查部门，因为如果一旦银行违法，不但损害银行名誉，而且可能招致巨额罚款。所以必须保障法律、法规的贯彻和章程的执行。五是在会计规则方面要建立对账、控制单、定期核算等制度。六是对资产和投资的实物控制。七是严格“了解你的客户”的政策，防止洗黑钱。这涉及到对客户身份的确认以及有关记录的保存。
商业银行内部控制的目标是：1、国家法律规定和商业银行内部规章制度的贯彻执行；2、商业银行发展战略和经营目标的全面实施和充分实现，确保风险管理体系的有效性；3、业务记录、财务信息和其他管理信息的及时、真实和完整。商业银行内部控制应当贯彻全面、审慎、有效、独立的原则，包括：（1）控制应当渗透到商业银行的各项业务过程和各个操作环节，覆盖所有的部门和岗位，并由全体人员参与，任何决策或操作均应当有案可查。（2）控制应当以防范风险、审慎经营为出发点，商业银行的经营管理，尤其是设立新的机构或开办新的业务，均应当体现“内控优先”的要求。（3）控制应当具有高度的权威性，任何人不得拥有不受内部控制约束的权力，内部控制存在的问题应当能够得到及时反馈和纠正。（4）控制的监督、评价部门应当独立于内部控制的建设、执行部门，并有直接向董事会、监事会和高级管理层报告的渠道。内部控制应当与商业银行的经营规模、业务范围和风险特点相适应，以合理的成本实现内部控制的目标。内部控制应当包括以下要素：（1）控制环境；（2）识别与评估；（3）控制措施；（4）交流与反馈；（5）评价与纠正。
商业银行应当建立良好的公司治理以及分工合理、职责明确、报告关系清晰的组织结构，为内部控制的有效性提供必要的前提条件。商业银行董事会、监事会和高级管理层应当充分认识自身对内部控制所承担的责任。董事会负责审批商业银行的总体经营战略和重大政策，确定商业银行可以接受的风险水平，批准各项业务的政策、制度和程序，任命高级管理层，对内部控制的有效性进行监督；董事会应当就内部控制的有效性定期与管理层进行讨论，及时审查管理层、审计机构和监管部门提供的内部控制评估报告，督促管理层落实整改措施。高级管理层负责执行董事会批准的各项战略、政策、制度和程序，负责建立授权和责任明确、报告关系清晰的组织结构，建立识别、计量和管理风险的程序，并建立和实施健全、有效的内部控制，采取措施纠正内部控制存在的问题。监事会在实施财务监督的同时，负责对商业银行遵守法律规定的情况以及董事会、管理层履行职责的情况进行监督，要求董事会、管理层纠正损害银行利益的行为。商业银行应当建立科学、有效的激励约束机制，培育良好的企业精神和内部控制文化，从而创造全体员工均充分了解且能履行职责的环境。商业银行应当设立履行风险管理职能的专门部门，制定并实施识别、计量、监测和管理风险的制度、程序和方法，以确保风险管理和经营目标的实现。商业银行应当建立涵盖各项业务、全行范围的风险管理系统，开发和运用风险量化评估的方法和模型，对信用风险、市场风险、流动性风险、操作风险等各类风险进行持续的监控。商业银行应当对各项业务制定全面、系统、成文的政策、制度和程序，并在全行范围内保持统一的业务标准和操作要求，避免因管理层的变更而影响其连续性和稳定性。商业银行设立新的机构或开办新的业务，应当事先制定有关的政策、制度和程序，对潜在的风险进行计量和评估，并提出风险防范措施。商业银行应当建立内部控制的评价制度，对内部控制的制度建设、执行情况定期进行回顾和检讨，并根据国家法律规定、银行组织结构、经营状况、市场环境的变化进行修订和完善。商业银行应当明确划分相关部门之间、岗位之间、上下级机构之间的职责，建立职责分离、横向与纵向相互监督制约的机制。涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。商业银行应当根据不同的工作岗位及其性质，赋予其相应的职责和权限，各个岗位应当有正式、成文的岗位职责说明和清晰的报告关系。关键岗位应当实行定期或不定期的人员轮换和强制休假制度。商业银行应当根据各分支机构和业务部门的经营管理水平、风险管理能力、地区经济环境和业务发展需要，建立相应的授权体系，实行统一法人管理和法人授权。授权应适当、明确，并采取书面形式。商业银行应当利用计算机程序监控等现代化手段，锁定分支机构的业务权限，对分支机构实施有效的管理和控制。下级机构应当严格执行上级机构的决策，在自身职责和权限范围内开展工作。商业银行应当建立有效的核对、监控制度，对各种账证、报表定期进行核对、对现金、有价证券等有形资产及时进行盘点，对柜台办理的业务实行复核或事后监督把关，对重要业务实行双签有效的制度，对授权、授信的执行情况进行监控。商业银行应当按照规定进行会计核算和业务记录，建立完整的会计、统计和业务档案，妥善保管，确保原始记录、合同契约和各种报表资料的真实、完整。商业银行应当建立有效的应急制度，在各个重要部位、营业网点等发生供电中断、火灾、抢劫等紧急情况时，京九急措施应当及时、有效，确保各类数据信息的安全和完整。商业银行应当独立的法律事务部门或岗位，统一管理各类授权、授信的法律事务，制定和审查法律文本，对新业务的推出进行法律论证，确保每笔业务的合法和有效，维护银行的合法权益。
商业银行授信内部控制的重点是：实行统一授信管理，健全客户信用风险识别与监测体系，完善授信决策与审批机制，防止对单一客户、关联企业客户和集团客户风险的高度集中，防止违反信贷原则发放关系人贷款和人情贷款，防止信贷资金违规投向高风险领域和用于违法活动。商业银行应当设立独立的授信风险管理部门，对不同币种、不同客户对象、不同种类的授信进行统一管理，避免信用失控。商业银行授信岗位设置应当做到分工合理、职责明确，岗位之间应当相互配合、相互制约，做到审贷分离、业务经办与会计账务处理分离。商业银行应当建立有效的授信决策机制，包括设立审贷委员会，负责审批权限内的授信。行长不得担任审贷委员会的成员。审贷委员会审议表决应当遵循集体审议、明确发表意见、多数同意通过的原则，全部意见应当记录存档。被审贷委员会两次否决的贷款申请半年内不得提交审贷委员会审议。商业银行应当建立严格的授信风险垂直管理体制，下级机构应当服从上级机构风险管理部门的管理，严格执行各项授信风险管理政策和制度。商业银行应当对授信实行统一的法人授权制度，上级机构应当根据下级机构的风险管理水平、资产质量、所处地区经济环境等因素，合理确定授信审批权限。商业银行应当根据风险大小，对不同种类、期限、担保条件的授信确定不同的审批权限，审批权限应当逐步采用量化风险指标。商业银行各级机构应当明确规定授信审查人、审批人之间的权限和工作程序，严格按照权限和程序审查、审批业务，不得故意绕开审查、审批人。商业银行应当防止授信风险的过度集中，通过实行授信组合管理，制定在不同期限、不同行业、不同地区的授信分散化目标，及时监测和控制授信组合风险，确保总体授信风险控制在合理的范围内。商业银行应当对同一客户的贷款、贸易融资、票据承兑和贴现、透支、保理、担保、贷款承诺、开立信用证等各类表内外授信实行一揽子管理，确定总体授信额度。商业银行应当以风险量化评估的方法和模型为基础，开发和运用统一的客户信用评级体系，作为授信客户选择和项目审批的依据，并为客户信用风险识别、监测以及制定差别化的授信政策提供基础。商业银行应当对集团客户实行统一授信管理，将同一集团内各个企业的授信纳入统一的授信额度内，核定集团总的授信额度，防止借款人通过多头开户、多头贷款、多头互保套取银行资金，防止对关联企业授信的失控。商业银行应当建立统一的授信操作规范，规定贷前调查、贷时审查、贷后检查各个环节的工作标准和操作要求。
商业银行应当建立资产质量监测报告体系，严格监测资产质量的变化，分析不良资产形成的原因，及时制定防范和化解风险的对策。商业银行应当建立贷款风险分类制度，规范贷款质量的认定标准和程序，严禁掩盖不良贷款的真实状况，确保贷款质量的真实性。商业银行应当建立授信风险责任制，明确规定各个部门、岗位的风险责任。商业银行应当建立完善的授信管理信息系统，对授信全过程进行持续监控，并确保提供真实的授信经营状况和资产质量状况信息，对授信风险与收益情况进行综合评价。商业银行应当建立完善的客户管理信息系统，全面集中掌握客户的资信水平、经营财务状况、偿债能力等信息，对客户进行分类管理，对已列入“黑名单”、有逃废债等行为的资信不良的借款人实施授信禁入。商业银行资金业务内部控制的重点是：对资金业务对象和产品实行统一授信，实行严格的前后台职责分离，建立中台风险监控和管理制度，防止资金交易员从事越权交易，防止欺诈行为，防止因违规操作和风险识别不足导致的重大损失。商业银行资金业务的组织结构应当体现权限等级和职责分离的原则、业务操作与风险监控分离，建立岗位之间的监督制约机制。
商业银行应当根据分支机构的经营管理水平，核定各个分支机构的资金业务经营权限。对分支机构的资金业务应当定期进行检查，对异常资金交易和资金变动应当建立有效的预警和处理机制。未经上级机制批准，下级机构不得开展任何未设权限的资金交易。
商业银行应当建立资金业务的风险责任制，明确规定各个部门、岗位的风险责任：1、资金交易员应当承担越权交易和虚假交易的责任，并对未执行止损规定形成的损失负责；2、监控人员应当承担对资金交易员越权交易报告的责任，并对风险报告失准和监控不力负责；3、结算人员应当对结算的操作性风险负责；4、管理层应当对资金交易出现的重大损失承担相应的责任。商业银行存款及柜台业务内部控制的重点是：对基层营业网点、要害部位和重点岗位实施有效监控，严格执行账户管理、会计核算制度和各项操作规程，防止内部操作风险和违规经营行为，防止内部挪用、贪污以及洗钱、金融诈骗、逃汇、骗汇等非法活动，确保商业银行和客户资金的安全。商业银行应当严格执行账户管理的有关规定，认真审核存款人身份和账户资料的真实性、完整性和合法性，对账户开立、变更和撤销的情况定期进行检查，防止存款人出租、出借账户或利用其存款账户从事违法活动。商业银行应当严格管理预留签章和存款支付凭据，提高对签章、票据真伪的甄别能力，并利用计算机技术，加大预留签章管理的科技含量，防止诈骗活动。商业银行应当对存款账户实施有效管理，与除储蓄存款以外的其他存款的所有人定期进行对账，并确保对账的适时有效。商业银行应当对内部特种转账业务、账户异常变动等进行持续监控，发现异常情况应当进行跟踪和分析。对异常现金存取和异常转账情况，应当采取设置标识等监控措施，必要时向有关部门报告。商业银行应当对大额存单签发、大额存款支取实行分有授权和双签制度，按规定对大额款项收付进行登记和报备，确保存款等交易信息的真实、完整。商业银行应当对每日营业终了的账务实施有效管理，当天的票据当天入账，对发现的错账和未提出的票据或退票，应当履行内部审批、登记手续。商业银行应当严格执行“印、押、证”三分管制度，使用和保管重要业务印章的人员不得同时保管相关的业务单证，使用和管理密押、压数机的人员不得同时使用或保管相关的印章和单证。使用和保管密押的人员应当保持相对稳定，人员变动应当经主管领导批准，并办好交接和登记手续。人员离岗，“印、押、证”应当落锁入柜，妥善保管。商业银行应当对现金收付、资金划转、账户资料变更、密码更改、挂失、解挂等柜台业务，建立复核制度，确保交易的记录完整和可追溯。柜台人员的名章、操作密码、身份识别卡等应当实行个人负责制，妥善保管，按章使用。商业银行应当对现金、贵金属、重要空白凭证和有价单证实行严格的核算和管理，严格执行入库、登记、领用的手续，定期盘点查库，正确、及时处理损益。
商业银行应当建立会计、储蓄事后监督制度，配置专人负责事后监督，实现业务与监督在空间与人员上的分离。商业银行应当认真遵循“了解你的客户”的原则，注意审查客户资金来源的真实性和合法性，提高对可疑交易的鉴别能力，如发现可疑交易，应当逐级上报，防止犯罪分子进行洗钱活动。商业银行应当严格执行营业机构重要岗位的请假、轮岗制度，逐步推行离岗审计制度。对要害部门和重点岗位应当实施有效管理，对非营业时间进入营业场所、电脑延长开机时间等应当办理审批、登记手续。
商业银行会计内部控制的重点是：实行会计工作的统一管理，严格执行会计制度和会计操作规程，运用计算机技术实施会计内部控制，确保会计信息的真实、完整和合法，严禁设置账外账，严禁乱用会计科目，严禁编制和报送虚假会计信息。商业银行应当依据企业会计准则和国家统一的会计制度，制订并实施本行的会计规范和管理制度。下级机构应当严格执行上级机制制定的会计规范和管理制度，确保统一的会计规范和管理制度在本行得到实施。商业银行应当确保会计工作的独立性，确保会计部门、会计人员能够依据国家统一的会计制度和本行的会计规范独立地办理会计业务，任何人不得授意、暗示、指示、强令会计部门、会计人员违法或违规办理会计业务。对违法或违规的会计业务，会计部门、会计人员有权拒绝办理，并向上级机构报告，或者按照职权予以纠正。商业银行会计岗位设置应当实行责任分离、相互制约的原则，严禁一人兼任非相容的岗位或独立完成会计全过程的业务操作。商业银行应当明确会计部门、会计人员的权限，各级会计部门、会计人员应当明确会计部门、会计人员的权限的，须经授权后，方可办理。商业银行应当以会计账务处理的全过程实地监督，会计账务应当做到账账、账据、账款、账实、账表和内外账的六相符。凡账务核对不一致的，应当按照权限进行纠正或报上级机构处理。商业银行应当建立规范的信息披露制度，按照规定及时、真实、完整地披露会计、财务信息，满足股东、监管当局和社会公众对其信息的需求。商业银行应当完善会计档案管理，严格执行会计档案查阅手续，防止会计档案被替换、更改、毁损、散失和泄密。
商业银行应当建立内部控制的风险责任制：1、董事会、高级管理层应当对内部控制的有效性负责，并对内部控制失效造成的重大损失承担责任：2、审计部门应当对检查发现问题隐瞒不报、上报虚假情况或检查监督不力，承担相应的责任；3、部门和分支机构应当及时纠正内部控制存在的问题，并对出现的风险和损失承担相应的责任；4、管理层应当对违反内部控制的人员，依据法律规定、内部管理制度追究责任和予以处分，并承担处理不力的责任。国务院银行业监督管理机构对商业银行做出的内部控制评价结果是商业银行风险评估的重要内容，也是国务院银行业监督管理机构进行市场准入管理的重要依据。巴塞尔银行监管委员会长期致力于银行监管问题的解决，1998年9月该委员会通过了《银行业组织内部控制体系框架》。该《框架》阐明了内部控制框架的目的和作用，指出了内部控制程序的主要因素，并详细阐述了评估内部控制体系的13条原则。目前，国内各银行特别是四大国有商业银行已认识到内部控制的重要性，并着手建立和完善本银行的内部矛盾控制体系。特别是在中国“入世”后，国有商业银行面临的竞争更加严峻，按照国际标准建立有效的内部控制体系，就显得更加重要。
