求问商业银行内部控制和风险管理的关系，以及内部控制如何衡量评价