实事求是地说，我国金融业开展内控建设和全面风险管理的时间还比较短，像银行业满打满算不过10来年的时间。但正是这10来年，我国金融业遭遇了1997—1998年的亚洲金融危机，经历了2007年以来由美国“次贷”危机引发的华尔街金融危机乃至国际金融危机及全球经济衰退的严重冲击，无论是输入的教训还是自身体系在危机中暴露出来的问题，都深刻地说明，我国金融业并非是风险攻不进、损失插不进的“静土”。事实上，大量的风险损失每日每时都在发生，内部或外部、客户和市场、员工和技术、监管与反监管、道德与法律、现实与潜在、控制与反控制、系统与非系统等多方面的风险每日都在窥视或等待着我们，稍不留神就会被咬上一口甚至大病一场。这绝不是危言耸听。
　　客观地分析我国金融业在内控执行和风险管理上的不足或缺陷，绝非一星半点，而可能是成筐成串，大的如内部控制的框架体系建立。现在多家机构是多种模式，体系上的不够统一规范带来了内控遵循原则（全面性、重要性、制衡性、适应性、成本效益原则）在执行中的冲突、重叠或遗缺。具体的如内控制度的执行和应用，现在金融机构比较集中的问题，不在于内控制度和风险管理体系的不够健全，而在于已经建立的体系在执行中走过场、被走样、管不住、不敢管等。
　　自2011年1月起，《企业内部控制基本规范》（以下简称《规范》）及三大配套指引将正式实施。该《规范》先在境内外上市的公司实行，自2012年起将在境内主板上市的公司施行，对我国金融企业和上市公司具有长远、深刻的指导意义和规范作用，是指引金融企业通过强化内控和风险管理，实现科学发展、长治久安，成为资本充足、内控严密、运营安全、服务优质、效益良好、具有较强创新能力和竞争能力的国际一流金融企业的重要保障。笔者认为，在实施《规范》的过程中，对解决内控涉及的诸多问题不宜面面俱到、胡子眉毛一把抓，而应突出重点，循序渐进，先起步、再完善、终有成，中国平安的实践就是一个很好的例子。
　　从一定意义上说，全球金融危机是美国金融企业外部监管和内控、风险管理同时失范、失灵、失效的危机。因此，“矫枉必须过正，不过正不能矫枉”。为了防范全球金融危机再起，必须把强化金融企业的内控和风险管理作为金融企业实现“安全性、流动性、效益性”发展的不二法门，长期坚持，恒久不息，与时俱进。当此全球经济复苏尚未稳固、一些国家和地区仍处于风雨飘摇环境的严重时刻，对这一点无论如何强调都理所应当，绝不过分。
　　首先，要重点解决谁来控、控什么、怎么控的问题。按照《规范》要求，建立完善的内控环境是保证内控有效的运行基础，应该说目前各金融机构的这个基础平台是有的，存在的主要问题是，基础不够扎实，主角不够鲜明，力量比较分散，职责不够清晰，资源配置不足等。其中，董事会应扮演核心的决策作用，而在一些金融机构可能还是管理层在唱主角。比如资源的配置由管理层主导，前、中、后台的三道防线，有的只有两道且相互交叉，前台防线基本虚设等。
　　至于控什么，从内控的定义看是“由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程”。也就是说以控制过程为主。笔者认为，内控既要控制过程，也要控制结果。现实中常有这样的实例：过程对了，结果并不见得好。从重视内控有效性、减少风险成本和过程损耗、提高结果效率的成本管理原则出发，金融机构既要落实职责制衡原则，但也不能搞繁琐哲学，要视实际情况的变化及时调整，并重点关注重要业务事项和高风险领域，这就是内控的适应性原则。
　　在论及“控什么”的时候，还有一个容易被忽略的问题，就是控员工、还是控高管。多数银行内部的实践是控员工特别是基层一线员工，而对各级管理层的负责人，则疏于监控甚至无人监控。这是金融业内部存在的一个薄弱环节，导致内控管理成了“控下不控上”、“控人不控己”。这是一个必须尽快改变的现状。在发挥对金融业高管层的监管作用方面，除了高管们的自控、自律、自省、自查、自纠外，应充分发挥股东会、董事会、监事会、党委会、纪委等的作用，而在这些方面还有相当强度的提高空间。中国平安的经验也表明，只有董事会及下属委员会充分发挥作用，高管高度重视自觉参与，才能真正做好内控。
　　除此之外，还有一个“怎么控”的问题。现在科技发达了，通过计算机系统和信息技术控制业务和集成数据是各金融机构都在强化的一个方向，但实际情况的确是参差不齐。现在发现，金融机构内外部都有不法人员在钻计算机管理系统和安全技术防控系统漏洞的案例，说明技术无止境，防范无穷期。笔者的看法是，重视技控无可厚非，且不可或缺，但不能完全迷信和依赖技控手段和效果。对于内控，人的因素是第一位的。因此，应该坚持法规、制度、系统（科技）、人员、思想、道德控制一起上，协调并举，人机联动，疏而不漏。
　　其次，加强内控和风险管理，要既重形更重实，把提高内控有效性放到第一位，长期抓落实，年年见成果。近几年，金融业逐渐接受了合规创造价值、风险管理提高价值等理念，但也要清醒地认识到，一些机构的风险文化、内控文化、合规文化及其他企业文化，还只是写在纸上、贴在墙上、印在书上、说在嘴上，真正落实在行动上、兑现在效果上还为数不多。在公司治理方面，经常听到神似、形似的说法，我国金融业的公司治理在神形兼备方面还有不少差距，在内控和风险管理上也有类似问题。比如，风险管理、内部审计要求的相对独立性、专业性、权威性、协调性等，在一些机构就显得比较欠缺。有的机构把各类风险分属于不同部门或不同行领导主管，由内部组织之间缺乏协调配合而形成的跨业务跨产品跨国别等风险或系统外传递的风险等就应对不够及时和奏效。因此，在建立内控和风险管理框架方面，框架本身的完整性、坚实性、适用性、扩展性是非常重要的。同时，有效地发挥该框架“纲举目张”的作用，确保金融机构内控体系在内部各个组织和全体人员中的有效执行是更为重要的环节。中国平安的案例显示，通过引入国际先进的经验，并结合极具自身业务及管理特点的“事前/事中/事后”三位一体内控和风险管理架构，独立、动态、有效地防范了风险，强化了管控，集团上下合规意识强烈，形成了“不敢违、不能违、不愿违”的氛围。
　　据专家分析，即使最完善的内控体系，其发挥效力的作用只有20%左右，80%的效果还是体现在具体的执行人身上。因此，在内控和风险管理的形神兼备上或许也符合“二八定律”，形似占20%，神似占80%，我国金融业应该在提高神似的得分比重上下硬工夫，那种以为有了模型、制度、经验就一通百通、一劳永逸的想法和做法都是应该摒弃的。
　　再次，要坚持成本管理原则，搞好内控和风险管理的资源配置。目前一些金融机构的内控体系还不够严密和健全，有的在科技系统的建设和更新上欠账还较多，有的银行风险管理和内控管理人员还不够充足，专业素质不高或职业发展空间狭窄等，都在相当程度上制约了内控和风险管理成效的更大发挥。为此，需要弥补欠账，需要增加投入。但内控和风险管理虽具有创造和增加价值的功能，毕竟是要花费成本有时是相当昂贵成本的。因此，在内控体系建设和风险管理上，要坚持内控、风险管理与提高效益的平衡，落实效益覆盖风险、内控成本的原则，该花的钱不吝啬，不该花的钱则一元一角都要省。在成本管理上，也要做到有保有压、有控有放、有所为有所不为。比如，对那些不熟悉的市场、不赚钱的产品、不专业的领域，宁肯舍弃一些收入或市场份额，也不要见钱眼红、冒风险介入。有一句话说得很好：有时候舍弃也是一种获得。对金融业来说，不冒高风险、不花冤枉钱、不搞花架子、不做无用功是稳健经营、成就百年老店的底线。这个底线还需要一代又一代的管理者们坚守和加固。
　　此外，还要重视对跨境、跨业子公司的内控和风险管理。从现状看，一些金融机构通过多年努力，对内部的内控建设和风险管理已经形成了基本符合外部监管要求，也有内在特色的管理架构、测试模型或者数据仓库，虽说不上胸有成竹，驾轻就熟，但可以说能做到应对有道，忙而不乱。然而对越来越多的跨国别、跨业务经营，有的金融机构在内控和风险管理体系建设和监测上，却有力不从心或技不如人之惑。国际金融危机的教训说明，有的时候集团能够管住总部、境内分支行的业务风险，却未必能管住管好跨国经营、跨业经营的子公司的业务风险。因此，中国平安“集团控股，分业经营，分业监管，整体上市”的做法引人注目，在这一组织架构下，各子公司设有严格的防火墙，建立完善的关联交易管理机制，通过集团和监管部门共同构成的双重监督体制，有效强化管控，防范风险。在新的形势下，中国金融机构的内控和风险管理需要有新视角、新手段、新工具来识别、监测和预防。可以说，在提高内控和风险管理有效性的道路上，金融业只有起点，没有终点，我们必须昼夜前行，永不停步。