商业银行作为信用中介,风险在其经营过程中如影随形。首先,风险对商业银行而言是一种机会,银行因承担了风险而生存、繁荣,它是银行存在的原因所在(陈四清,2006),是银行重要的经济职能。其次,风险对商业银行而言更意味着是一种挑战,由于商业银行风险的隐蔽性、连动性、加速传播性,商业银行的风险一旦爆发,影响的不仅是商业银行的经营发展甚至是经济社会的安全稳定。若不对风险加以管理控制,一味追求高收益,商业银行就会因承担高风险而面临破产倒闭的可能性,其风险的加速扩散还会使危机涉及整个经济社会。因此,风险对于商业银行而言也是巨大的挑战。商业银行若想取得良好的经营绩效并长期稳定的发展下去,就必须将风险控制在商业银行可以承担的范围内,对风险进行有效的防范和控制,确保商业银行经营发展的安全性与稳定性。因此我们也可以说,商业银行提供金融服务的过程也就管理和控制风险的过程。当前,我国商业银行正积极应对入世后金融系统全面开放的挑战,努力降低和控制银行的经营管理风险,而内部控制评价作为有效防范金融风险的重要机制也开始引起银行业的高度重视。近年来,我国相关监管部门陆续出台了《商业银行内部控制指引》(2002年)、《商业银行内部控制评价试行办法》(2004年)、《企业内部控制基本规范》(2008年)以及《企业内部控制配套指引》(2010年),为我国商业银行内部控制及评价的规范化和系统化建设提供了指导。同时,我国商业银行在内部控制评价方面也取得了一定的成效,加强了对银行内部控制情况的监督和检查。通过对中国上市银行内部控制自我评价报告的简单统计分析,结果发现在内部控制评价责任主体、标准、范围上,我国商业银行都未达成统一的认识。并且评价过程中使用的都是定性分析方法,主观性太强,得出的评价结论单一,基本上都是内部控制有效的结论,未能提出实质性的内部控制缺陷,阻扰了内部控制的整改和完善。总的来说,我国商业银行的内部控制评价在防范风险方面差强人意,内部控制评价系统的建设还处于成长期。原因是多方面的,有主观的内部控制环境的原因,银行自身对内部控制及其评价不予重视,也有客观的评价体系不统一的原因。对于我国商业银行而言,风险管理和内部控制均不是陌生的内容,但是在实际工作中,商业银行内部控制和风险管理工作的开展却不能尽如人意。在理论研究上,也没能为内部控制评价实践工作的展开提供科学指导。作为商业银行安全稳健发展的重要保障,风险管理与内部控制评价的开展不应分割开来,应当相互融合形成一个共同发展的有机整体。而COSO委员会在2004年9月发布的《企业风险管理——整合框架》则为我们提供了风险管理与内部控制评价有机结合的良好典范,对于商业银行这种经营风险高的行业来说,这种结合就更具深远意义。因此本文尝试将商业银行风险管理与内部控制评价进行整合,构建基于风险管理的商业银行内部控制评价体系,目前这方面的直接研究成果很少。相较先前的内部控制整体框架而言,企业风险管理整合框架的内容更为广泛,引入了风险管理理念,拓展并细化了内部控制概念,是一个更为全面关注风险的框架。具体来看,企业风险管理整合框架在内部控制整体框架的基础上增加了一个新观念,一个目标,两个概念和三个要素,即风险组合观,战略目标,风险偏好、风险可接受程度的概念以及目标设定、事项识别、风险应对要素。要将风险管理与内部控制评价进行整合,首先将风险管理的目标和内部控制评价的目标进行整合,以战略目标的实现为最高指导；其次将评价对象进行整合,把企业风险管理的八要素整合成为内部环境、风险管理活动、控制活动、信息与沟通、监督五要素；最后在对内部控制要素进行评价时还要加入风险组合观以及风险偏好、风险可接受程度概念。这样,就形成了风险管理与内部控制评价在形式上的融合,实质上的融合还要在内部控制评价体系的构建上体现。在深入了解我国商业银行内部控制评价相关法律规范及实施现状之后,本文接下来利用以上融合机制,较为系统地构建了基于风险管理的商业银行内部控制评价体系,包括内部控制评价构建原则、内部控制评价主体、内部控制评价内容与标准、内部控制评价方法和程序,以及一种保证其实施效能的可行机制。基于风险管理的商业银行内部控制评价构建原则包括：(1)内部控制评价应作为PDCA循环的一环,评价可以说是内部控制系统中一个非常重要的、承前启后的环节,它是对内部控制系统进行持续改进所需的重要信息反馈渠道；(2)内部控制评价的经济性原则,有效的内部控制评价是一个纳什均衡,讲究成本效益；(3)内部控制评价的风险导向原则,从评价主体、评价内容、评价标准、评价方法和程序到保证机制都要以风险为导向来构建,以对商业银行的风险管理活动进行全面评价,也可以更好地改善银行的风险管理活动,促使经营目标和战略目标的实现；(4)内部控制评价的业绩对接原则,通过将内部控制评价与银行业绩以及个人业绩进行对接,来提高商业银行完善内部控制的自主性。基于风险管理的内部控制评价主体具有全面性,也具有层次性,总行、分行、基层行各层次所面临的风险不同,在内部控制评价中发挥的作用也就不尽相同。总行应发挥出积极的指引作用,对下级行内部控制评价的开展提供指导,并对下级行的内部控制评价实施进行有效的监督。基于风险管理的内部控制内容,包括过程评价与结果评价,它们对应了不同的评价指标及标准。这些指标及标准设立的原则都以风险为导向,评价目前的内部控制关键点是否将商业银行的经营风险控制在可承受范围之内。过程评价的对象可以是内部环境、风险管理活动、控制活动、信息与沟通、监督等内部控制要素；结果评价对象可以是包括大额风险集中度、资本充足率等在内的风险指标。另外,进行内部控制评价时需要遵循一定的方法和程序。为了保证内部控制评价的实施效能,本文还立足于风险将内部控制评价与业绩评价进行对接,可以将针对某项风险实施有效控制的收益与成本之差,和未有效实施控制的损失作为责任主体风险报酬的业绩基数,也即以风险净收益和净损失来确定对责任主体的奖惩措施。将内部控制评价对业绩评价对接,一方面提高了内部控制评价对商业银行的效用,保障了内部控制评价的实施；另一方面又完善了商业银行的业绩评价,更好地对员工进行激励,提高了商业银行的业绩。通过内部控制评价与风险管理在逻辑上的融合,以及基于风险管理的商业银行评价体系的构建,就实现了内部控制评价与风险管理的实质性整合。在最后本文还利用我们所构建的内部控制评价体系,对包商银行的内部控制评价体构建和完善提供了指导意见。本文研究的主要贡献是将内部控制评价体系的构建和风险管理相结合,提出了基于风险管理的内部控制全面评价体系。以风险管理为导向来构建商业银行的内部控制评价体系,有助于商业银行在实际工作中以企业长期发展战略目标和风险组合管理为导向,确保内部控制的构建及运行更加具有战略性和目的性；同时,构建基于风险管理的商业银行内部控制评价体系,有助于商业银行在日常经营管理过程中随时随地体现风险管理的理念和行为,能够有效地提升商业银行管理控制风险的能力。通过对风险管理与内部控制评价的有机融合,我国商业银行的整体管理水平能够得以有效提高,为它们将来在激烈的银行业竞争中保持领先地位打下了坚实的基础。此外,本文还有对2010年上市银行的内部控制评价信息披露现状进行了描述性统计分析、考虑了在实施过程中保证商业银行内部控制评价发挥效能的机制、对包商银行的内部控制评价体系完善提供了指导建议等贡献。