A duas linhas – a da alta administração, balizadora dos programas ou projetos de gestão de riscos e a da auditoria interna e externa.
B três linhas – conselhos consultivos de gestão de riscos, auditoria interna e externa e representantes da sociedade no setor ou atividade.
C duas linhas – a de ação gerencial, responsável pela eficiência e busca de resultados, e a de auditoria, com o papel de avaliar o processo de gestão de riscos.
D três linhas – a dos gestores, a de suporte técnico e de monitoramento de riscos relevantes, auditoria interna e comunicação para alta administração e governança.
E duas linhas – a de responsabilização interna da Administração Pública e a do coletivo, com representantes da sociedade no setor ou atividade.