三、美國內部稽核協會（Institute of Internal Auditors）於 2013 年 1 月發布立場聲明書：「有效風險管理與控制的三道防線」。該聲明書指出，在三道防線模式裡，管理控制是風險管理的第一道防線，管理階層所設置的各種風險控制及遵循督導職能為第二道防線，而獨立的確認則為第三道防線。請說明機構如何運用上述三道防線達成有效的風險管理與控制？高階管理階層及治理單位在上述過程中扮演何種角色？（25 分）

二、依據「公開發行公司建立內部控制制度處理準則」之規定，公開發行公司自行評估內部控制制度之目的，在落實公司自我監督的機制、及時因應環境的改變，以調整內部控制制度之設計及執行，並提昇內部稽核部門的稽核品質及效率；其自行評估之範圍，應涵蓋公司各類內部控制制度之設計及執行。請說明公司進行內部控制自行評估較常採用的兩種方法以及其優、缺點，並說明內部稽核單位在內控自行評估過程所可能扮演的角色與功能。（25 分）