第二十三条 注册会计师应据总体审计计划制定具体审计计划，以合理确定审计程序的性质、时间和范围。
第四章 内部控制测试
第二十四条 注册会计师应当充分了解商业银行的相关内部控制，以制定审计计划，并确定有效的审计方法。
第二十五条 商业银行的相关内部控制应当实现以下目标：（一）所有交易经管理当局一般授权或特别授权方可执行；（二）所有交易和事项以正确的金额，在恰当的会计期间及时记录于适当的账户，使编制的会计报表符合
企业会计准则的要求；（三）只有经过管理当局授权才能接触资产和记录；（四）将记录的资产与实有资产定期进行核对，并在出现差异时采取适当的措施；（五）恰当履行受托保管协议规定的职责。
第二十六条 注册会计师应当了解商业银行分级授权体系的以下要素：（一）有权批准特定交易的人员；（二）授权遵循的程序；（三）授权限额及条件；（四）风险报告及监控。
第二十七条 注册会计师应当检查授权控制，以确定为各类交易设定的风险限额是否得到遵守，超出风险限额是否及时向适当层次管理人员报告。
第二十八条 由于临近资产负债表日发生的交易往往尚未完成，或在确定取得资产，承担债务的价值时缺乏依据，注册会计师应当重点检查这些交易的授权控制。
第二十九条 在评价与交易和事项记录有关的内部控制的有效性时，注册会计师应当考虑：（一）商业银行处理大量交易，其中单笔或数笔交易可能涉及巨额资金，需要定期执行试算平衡和调节程序，以及时发现差错并进行调查和纠正，将造成损失的风险降至最低；（二）许多交易的会计核算有特殊规定，商业银行需要采取控制程序以保证这些规定得以遵循；（三）有些交易不在资产负债表中列示，甚至不在会计报表附注中披露，商业银行需要采取控制程序保证这些交易以适当的方式被记录和监控，并能及时确认因交易状况变化而产生的损益；（四）商业银行不断推出新的金融产品和服务，需要及时更新会计核算程序和相关内部控制；（五）每日余额可能并不反映当日系统处理的全部交易量或最大损失风险，商业银行需要对最大交易量或最大损失风险保持控制；（六）对大多数交易的记录应便于商业银行内部、商业银行客户及交易对方核对。
第三十条 计算机信息系统及电子资金转账系统的广泛使用对注册会计师评价商业银行的内部控制有重要影响。注册会计师应当对影响系统开发、修改、接触、数据登录、网络安全和应急计划的相关内部控制进行评价。注册会计师应当考虑商业银行使用电子资金转账系统的程度，评价交易前监督控制和交易后确认及调节程序的完整性。
