Controle interno não é tocado apenas por esses dois elementos como citado. Veja o que diz, por exemplo, a Lei das Estatais e Sociedades de Economia Mista:
Art. 9º A empresa pública e a sociedade de economia mista adotarão regras de estruturas e práticas de gestão de riscos e controle interno que abranjam:
I - ação dos administradores e empregados, por meio da implementação cotidiana de práticas de controle interno;
Resposta: errado.
Obs.: sei que essa lei é estudada no direito administrativo, e aqui estudamos auditoria, caros (as) colegas, mas achei por bem estabelecer essa relação para vocês perceberem como os conhecimentos estão concatenados.
Boa sorte a todos, e não desistam (mesmo que leve anos).