第三十一条 商业银行的资产易于转移，金额巨大，仅通过实物控制难以奏效，管理当局通常实施以下控制程序：（一）凭借密码和接触控制，只有获得授权的人员才能操作计算机信息系统及电子资金转账系统；（二）将资产接触与记录职责分离；（三）由独立人员向第三方函证和调节资产余额。
注册会计师应当合理确信上述所有控制是否有效运行，必要时，复核或参与年末函证和调节程序。
第三十二条 将记录的资产与实有资产定期进行核对是一项重要的调节控制，该项控制具有以下重要作用：（一）验证现金、有价证券等资产的存在性，及时发现错误与舞弊；（二）检查易发生价值波动的资产计价的正确性；（三）验证资产接触和授权控制运行的有效性。
注册会计师应当运用检查和询问等程序测试该项控制的有效性。
第三十三条 在评价调节控制的有效性时，注册会计师应当考虑：（一）需要调节的账户较多且调节频率较高；（二）调节结果具有累积性；（三）调节项目可能被不适当地结转到同一时期内未被调节和调查的账户。
第三十四条 在评价受托保管业务的内部控制有效性时，注册会计师应当考虑：（一）是否由专门部门履行受托保管职责；（二）是否将自有资产与受托保管资产适当分离；（三）是否已对受托保管资产作出适当记录。
第三十五条 在评价特定控制程序有效性时，注册会计师应当考虑以下控制环境因素的影响：（一）组织结构及权力、责任的划分；（二）管理当局监控工作的质量；（三）内部审计工作的范围和效果；（四）关键管理人员的素质；（五）银行监管机构的监管程度。
第三十六条 注册会计师对审计过程中注意到的商业银行内部控制的重大缺陷，应当出具管理建议书。
第五章 实质性测试
第三十七条 注册会计师应当综合评估商业银行的固有风险和控制风险，确定可接受的检查风险水平和实质性测试程序的性质、时间和范围，以将审计风险降低至可接受的水平。
第三十八条 由于内部控制的固有局限性，无论对固有风险和控制风险的评估结果如何，注册会计师均应对各重要账户余额和交易类别进行实质性测试。
