第三，建立职权分离、相互制约的风险控制制度框架。上面的独立性的制度组织架构，实际上也同时体现了职权分离、相互制约的风险控制理念。只有体现出职权分离、相互制约，才能有效地避免利益冲突，实现相互约束监督。在职权分离、相互制约的框架下，主要是实现：①首先是业务经营权和风险控制权的分离，在制度上主要是设立如上所述的相对独立的垂直的风险控制体系。②风险控制权与银行行政管理权的分离，也是通过相对独立的风险控制体系来实现。在实际执行中避免风险控制岗位与业务经营岗位、行政领导岗位的分离，风险控制人员不能兼任银行业务经营及行政领导岗位。每级行政管理人员负责本机构的内部风险控制运作，但不参与总行垂直的风险控制体系。③风险控制权内部权力的分离和相互制约。其一，在授信业务中，贷款（申贷、初评）权、审批权与放款权、贷后监控权的相互分离，由不同的部门和不同岗位来行使，以便对不同环节的风险控制进行相互制约和监督，减少利益冲突的可能。借鉴民生银行和国外银行经验，在分行层面设立评审中心、放款中心、贷后检查中心分别行使评审、放款和贷后监控权力。其二，在总行终审的评审权方面，也根据授信业务的风险种类，由不同的相对独立部门分别从信用风险、市场风险、合规性风险三方面行使独立的评审权，分别出具独立的评审意见。
第四，建立有效的内部控制评价监督机制。首先，设立相对独立的内部审计稽核部门对风险控制过程和结果进行评价，这是内部控制的重要约束机制。内部审计机构不再局限于银行经营业务等本身的审计监督，还要对内部风险控制机制、运行全流程及内部控制结果进行监督，并独立对董事会负责。内部审计稽核部门的另一重要职责是制定银行内部控制评价规则。其次，银行监管部门负责对风险控制机制进行外部评价。内部控制评价主要包括两部分内容：一是要求商业银行建立一个符合要求的、系统的、透明的、文件化的内部控制体系，这是商业银行的责任；二是由监管当局从过程评价和结果评价两方面对商业银行的内部控制体系开展评价，这是监管当局应承担的职能。其三，设定银行、董事、高级管理层以及信贷风险控制人员的法律责任。同时，应加强商业银行在风险控制方面的法律责任，并增强个人对于风险控制的责任。目前，我国公司和金融监管法对董事、高管及信贷风险控制人员的个人责任规定欠缺，可借鉴美国公司改革法案等国外最新法律的原则，对董事、高管及风险控制人员的风险控制责任实现严格责任规则。
第五，进一步完善风险控制法规，促进风险控制制度创新。采取强制性规范与任意性规范相结合，鼓励风险控制自律创新的风险控制制度立法原则。有关风险控制的法律法规和规范性文件，应当适应金融开放条件下的金融市场变化和监管部门职能变化要求，减少强制性机械的规定，不必强制规定统一的风险管理模式，而是更多赋予商业银行在风险管理体制上进行有效的创新，鼓励商业银行根据开放金融条件下的市场特点积极创新，相关监管法规和监管部门更多地侧重于对风险控制的机制的有效性进行评价和监督。实际上诸如独立垂直评审制度等有效的风险控制制度设计，最初都是由一些商业银行自行创新并由其他银行逐步采用的。因此，除少数的监管法规的强制性规定、法定的风险控制制度设计（如要求设立董事会、内审机构）以及对风险控制机制的评价机制等规定外，内部控制规则的制定、内部组织形式设计、内部控制机制的运行等应主要由商业银行按照监管部门的指引自行组织实施，并赋予更多的任意性条款，鼓励探索有效的风险控制机制的创新。
