Wat is de rol van de controller in het three lines of defense-model?

Er blijkt onduidelijkheid te zijn over de tweede lijn, zeker bij overheids- en non-profitorganisaties. Waar past bijvoorbeeld de public controller of de business controller in het plaatje? Voorkom dat de tweede lijn een gatenkaas wordt.