De acordo com o Instituto dos Auditores Internos do Brasil, há uma declaração de posicionamento que trata das três linhas de defesa no gerenciamento eficaz de riscos e controles. Diante dessa afirmação, está correto afirmar que: