（二）内部控制政策和目标。
（三）关键岗位及其职责与权限。
（四）不可接受的风险及其预防和控制措施。
（五）控制程序、作业指导、方案和其他内部文件。
第三十条 文件控制。
商业银行应建立并保持书面程序，以确保内部控制体系所要求的文件满足下列要求：
（一）易于查询。
（二）实施前得到授权人的批准。
（三）定期评审，必要时予以修订并由授权人员确认其适宜性。
（四）所有相关岗位都能得到有效版本。
（五）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用。
（六）及时识别、处置外来文件并进行标识，必要时转化为内部文件。
（七）留存的档案性文件和资料应予以适当标识。
第三十一条 记录控制。
商业银行应建立并保持书面程序，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。
记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。
第四章 评价程序和方法
第三十二条 内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。
第三十三条 评价准备。
组成评价组。评价组应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。
制订评价实施方案。实施方案应明确本次评价的目的、范围、准则、时间安排和相应的资源配置。
准备必要的工作文件。主要包括评价问卷、抽样计划、被评价机构的内部控制体系文件及相关记录等。
在现场评价前应先与被评价机构建立初步联系，以便确认有关评价事项和安排。
第三十四条 评价实施。
评价组应按照既定的评价方案实施评价。在评价实施中应就评价组内部以及评价组与被评价机构之间的沟通做出正式安排，通过适当的方法收集与评价目的、范围和准则有关的信息，根据评价方案对被评价项目进行测试，对有关数据进行确认和分析，并予以记录。
评价实施的具体方法见第三十九条至四十三条。
第三十五条 评价报告形成。
评价组根据评价实施情况，撰写评价报告，应重点分析以下方面：
（一）被评价机构内部控制体系现状、存在问题及趋势分析。
（二）同类银行比较。
（三）监管建议。
（四）可能的谅解因素。
第三十六条 评价反馈。
对被评价机构内部控制体系进行综合评价后，应与被评价机构管理层沟通，以核对数据，确认事实，并就评价中的问题征求意见。
第三十七条 银监会及其派出机构根据评价报告，依据有关法律和规定，做出评价结论和处理决定，并以书面形式正式发送被评价机构，限期整改。同时，评价结论应报上级机构。
第三十八条 内部控制评价方法是为实现评价目的，对被评价机构内部控制体系进行分析和评价而采取的技术和手段的总称。
第三十九条 内部控制评价实施包括：
了解内部控制体系。应了解被评价机构内部控制体系的基本情况，确认评价范围，确定被评价机构的内部控制体系的健全程度，然后决定实施测试所采取的方法。
实施测试和分析。实施测试和分析是在了解内部控制体系的基础上，评价内部控制体系的运行与绩效。具体可以采取符合性测试和指标分析等，其中，对内部控制过程评价主要采取符合性测试法；对内部控制结果评价，主要采取指标分析法。
第四十条 了解内部控制体系。
了解被评价机构内部控制体系主要通过询问、查阅、观察、流程图等方法进行，以初步评价被评价机构内部控制体系的充分性和合规性。
第四十一条 符合性测试。
符合性测试是获得评价证据以证实内部控制在实际中的合规性、有效性和适宜性，即相关规定在实际中是否被一贯执行，控制措施能否达到控制目的，控制措施是否恰当。符合性测试分为两种形式：
（一）业务测试，即对重要业务或典型业务进行测试，按照规定的业务处理程序进行检查，确认有关控制点是否符合规定并得到认真执行，以判断内部控制的遵循情况。
（二）功能测试，即对某项控制的特定环节，选择若干时期的同类业务进行检查，确认该环节的控制措施是否一贯或持续发挥作用。
