第一道防线：所有业务部门及职能部门。其中，风险管理职能部及内部审计职能部门是第一道防线的核心。各部门一线员工是企业的窗口，也是最先与风险源接触的群体，在日常业务中负有及时识别、上报与初步管理风险的职责，是事前控制风险的关键。
第二道防线：风险管理委员会及风险管理职能部门。这两个机构不直接参与企业任何经营业务，而主要负责企业风险管理工作的统筹组织、协调与规划，并对第一道防线的风险管理工作、内部控制开展情况进行实时监控，同时承担重大风险的核心管理与组织职责，是事中控制风险的关键。
第三道防线：内部审计委员会及内部审计职能部门。这两个机构也不直接参与企业任何经营业务，主要负责对第一及第二道防线部门的工作进行事后稽核、审计和监察等，对企业内部控制度进行查漏补缺、对企业主要业务流程的合规性、合理性和风险可控性进行审计、对经营管理者进行经济责任审计、对企业信息系统有效性进行审计、对企业财务报表进行审计等，是事后控制风险的关键，也是最后一道防线。
此外，企业高层管理者负有识别、分析、监视和管理企业重大风险的职责，同时统筹管理和监督三道防线的有效运行，是推动企业风险管理工作实施、改进并立于三道防线之上的关键所在。
