符合性测试的具体方法包括抽样法、穿行测试法、证据检查法和压力测试法等。
第四十二条 测试抽样。
抽样样本取决于被评价机构或被评价项目的风险、业务频次、重要性等。可在根据业务频次抽样的基础上，结合被评价项目的风险和重要性进行调整。
根据业务频次确定的抽样量参考标准如下：
（一）每月执行一次的业务或事项，抽样量应保持在2-6个之间。
（二）每周执行一次的业务或事项，抽样量应保持在4-10个之间。
（三）每日执行一次的业务或事项，抽样量应保持在10-25个之间。
（四）每日执行多次的业务或事项，全年10000次以下的，抽样量应保持在25-50个之间；全年10000次以上的，抽样量应保持在50个以上。
第四十三条 指标分析。
应收集被评价机构内部控制结果指标的相关信息，进行核实、对比分析和趋势分析，从而对内控目标实现情况做出评价。
第五章 评分标准和评价等级
第四十四条 内部控制评价采取评分制。对内部控制的过程和结果分别设置一定的标准分值，并根据评价得分确定被评价机构的内部控制等级。
第四十五条 内部控制过程评价的标准分为500分，其中：内部控制环境100分、风险识别与评估100分、内部控制措施100分、信息交流与反馈100分、监督评价与纠正100分。上述五部分评价得分加总除以5，得到过程评价的实际得分。
第四十六条 在对内部控制过程评价时，应按照第三章评价内容的要求，结合本办法第八条的四个方面展开，转换为具体评价问题，并根据测试情况对被评价项目进行评分。
第四十七条 初次实施内部控制评价时，须对所有业务活动、管理活动和支持保障活动进行评价。再次评价时，至少应包括：授信业务、资金业务、存款及柜台业务、主要中间业务、计划财务、会计管理、计算机信息系统等。其他活动在每三次再次评价周期内应至少覆盖一次。
第四十八条 内部控制过程评价的具体评分标准如下：
（一）被评价对象的过程和风险已被充分识别的，可得该项分值的百分之二十。
（二）在满足前项的基础上，被评价项目的过程和对风险的控制措施被规定并遵循要求的，可得该项分值的百分之三十。
（三）在满足前两项的基础上，被评价项目的规定得到实施和保持，可再得该项分值的百分之三十。
（四）在满足前三项的基础上，被评价项目在实现风险控制的结果方面，控制措施有效且适宜的，可再得该项分值的百分之二十。
第四十九条 在测试过程中遇有业务缺项或问题“不适用”时，应将涉及到的分值在评价项目总分中扣减。为了保持可比性，在得出其余适用项的总分后，还应将该评价项目的总得分进行调整。
调整后评价项目总得分＝所有适用项目得分/（评价项目总分－不适用项目总分）×100%
单项分值小计和总分分值有小数时四舍五入。
第五十条 若涉及到需要采取抽样测试确定评价结论的，应根据以下情况确定：
（一）如果在抽样范围内未发现违规，该项评价得满分；在抽样范围内，发现两项以上违规（含两项），该项评价不得分；仅发现一项违规的，应扩大一倍抽样，在扩大抽样范围内未发现新的违规的，可得该评价项目分值的50%，在扩大抽样范围内又发现新的违规的，该评价项目不得分。
（二）发现险情或事故的，直接扣除该评价项目的分值。
第五十一条 内部控制的结果评价。结果评价主要评价内部控制目标的实现情况，对这些指标的量化评价可以通过非现场的方式进行。结果评价主要包括十项指标：资本利润率、资产利润率、成本收入比、大额风险集中度指标、关联方交易指标、资产质量指标、不良贷款拨备覆盖率、资本充足指标、流动性指标、案件指标等，指标说明及控制比例见附录。内控结果评价指标的标准分值为500分，转化为百分制后得出实际得分。
银监会可以根据商业银行整体风险情况、经济金融情况和银监会工作的重点，补充、修订或调整有关评价指标及其标准分值。
第五十二条 根据过程评价和结果评价综合确定内部控制体系的总分。其中，过程评价的权重为70％，结果评价的权重为30％，两项得分加总得出综合评价总分。
第五十三条 根据综合评价总分确定被评价机构的内部控制体系评价等级，应按评分标准对被评价机构内部控制项目逐项计算得分，确定评价等级。定级标准为：
一级：综合评分90分以上（含90分）。指被评价机构有健全的内部控制体系，在各个环节均能有效执行内部控制措施，能对所有风险进行有效识别和控制，无任何风险控制盲点，控制措施适宜，经营效果显著。
