管理流程建立在业务流程之上。管理流程设计按照管理部门层面特征，按管理级次设计。城市商业银行按照总行和基层行两个层面设计，并结合业务流程。分领导班子管理流程、人力资源管理流程、计划财务管理流程、信贷审批流程、会计与核算管理流程、法规管理流程、安全保卫管理流程、稽核监察管理流程、计算机应用管理流程、公司业务管理流程、个人银行业务管理流程、房地产金融业务管理流程、国际业务管理流程、中间业务管理流程、资产保全业务管理流程。各行可以根据具体情况合并设计。

　　在业务流程和管理流程的设计中，通过文字图表来明示风险点。内部控制的关键就在于管理行为覆盖全部风险点，从而控制风险。比如，中国银监会关于加强操作风险管理的通知中提到的“13条”，就是13个风险管理的关键风险点。风险管理说到底，就是要贯彻“全面覆盖、重点监控”的思想。

　　（三）内部控制与岗责体系

　　岗责体系存在于一定的组织结构下，岗责体系的设计必须服从于内部控制组织结构体系。它是风险管理信息传递和全面风险管理具体内容的实现途径。

　　1、岗责体系设计原则。根据城市商业银行岗责体系现状，结合银行业发展趋势，主要遵循全面风险管理、风险管理与业务管理平行作业原则、矩阵式报告制度原则、精简效率原则、相互牵制原则、协调配合原则、程式定位原则等7条原则。

　　2、岗责体系分层设计。根据管理级次，分总行和分行（支行）两个或三个级次设置。与常规设置不同的是，总行层面的风险管理岗位设置，除了设置风险管理委员会、风险管理部之外，为了将全面风险管理思想贯彻于全部业务活动中，必须在所有业务职能部门设置风险管理科室或岗位，明确负责对部门所负责业务的风险的监测、记录、报告、考核等工作。各分支行的风险管理，主张仅设立风险管理部统一实行风险控制与管理，只有业务规模较大支行在各业务职能部门内设立风险管理岗位。

　　3、风险管理职责必须明确。之所以考虑通过组织体系来管控风险，主要是通过组织与人力保证管理责任的落实。风险管理职责的明确，主要通过岗位职责描述和授信授权书进行，授权范围内事项分别由风险管理岗和风险管理部负责，风险管理委员会则主要是制定规则和处理例外事项。风险管理的关键则是，一是所有业务必须进行风险监控，绝对不能有游离于管理之外的业务；二是符合重要性要求的业务必须贯彻集体决策的原则，集体决策的规则必须科学有效。

　　（四）内控体系的衡量与评价

　　1、风险管理技术与工具

　　（1）信用风险。信用风险管理技术包括风险识别、度量、管理策略等多个方面。传统信用风险度量技术包括：专家评定制度、信用评分方法、信用评级和贷款风险度测算。目前，城市商业银行主要采取上述方法一种或多种组合。这些方法尽管具有简便明了，易于理解，对实践操作环境要求不高的优点，但缺点也十分显著：一是主要以会计账面价值为基础，但会计数据并不能全面反映公司的实际状况和前景，因而难以发现借款人经营状况中更细微、更快速的变化；二是主要借助定性分析，主观随意性较大，在防范道德风险上有缺陷；三是效率较低，耗费人力时间过多。因此国际银行业开始采取开发数学模型来度量信用风险，《巴塞尔新资本协议》提出了相应的内部评级法。目前国际金融界较流行的内部信用风险模型有：KMV公司的信用监控模型、JP摩根的信用度量术模型、麦肯锡公司的信贷组合观点模型等。

　　（2）市场风险。主要包括利率风险和汇率风险，利率风险是指由于利率的变化，可能导致的资产的回报率变得更低或负债变得更为巨大。这种风险针对利率敏感型资产和敏感型负债而言，它直接影响利差，从而影响盈利。汇率风险又称外汇风险，当商业银行经营外汇业务时，汇率变化可能导致银行相关资产变低或负债变大，从而对银行形成亏损。市场风险的综合度量技术主要有风险状况图、VaR方法、压力测试法、情景分析法等。

　　（3）操作风险。对操作风险的度量，国际上一些银行开始对风险因素进行跟踪研究，但多数银行的跟踪还处于初级阶段。只有少数银行采用程度不同的统计技术来评估风险，方法主要有基本指标法、标准化方法、内部衡量法、损失分布法等。但关注操作风险的度量及管理无疑对城市商业银行具有特别重要的前瞻意义。

　　2、风险预警。管控风险的前提是必须识别风险。建立风险预警机制，事前揭示、报告风险，防患于未然，是全面风险管理的关键环节。一叶落知天下秋，事物的变化由量变到质变，变坏之前必然有征兆。收集、整理、归纳这些导致变化的因素，形成系统化的预警信号，进行风险预报，可以为控制化解风险争取足够的时间与空间。如在信用风险预警上，一般包括财务风险预警和非财务因素预警两个方面。财务因素预警，通过对借款人财务会计数据关注，计算其财务指标值，并与标准值对比分析指标变化，揭示指标值变化隐含的实质。非财务因素预警，通过对借款人行业风险、经营风险、管理风险分析，总结归纳出影响贷款归还的早期预警信号，并建立预警模型，形成风险预警提示报告制度。

　　3、考核与评价。对风险内部控制的考评，是一个非常重要的环节，如果没有考评，一切风险管理的制度设计努力都将付之东流，毫无意义。对风险内控的考评，首先要设计全面的考评规则，采取定性定量方法，从道德环境、风险识别和管理、内控组织效力、内部审计效力等方面进行评价。可以采取问卷式、评分式等辅助考评。其次对风险内控的考评要与经营管理目标的完成实现结合起来。将全面风险管理思想贯彻与经营目标责任制中，进行严格考评。换言之，绩效考核评价是个指挥棒，经营目标考核项目内容设计就是风向标。