Het controlstatuut regelt positie, bevoegdheden, taken en verantwoordelijkheden van de concerncontroller, controller, chief information security officer (CISO) en de functionaris gegevensbescherming (FG) naar het voorbeeld van het ‘three lines of defence’ model.