3つのディフェンスライン(three lines of defense)

3つのディフェンスライン(Three Lines of Defense)の考え方は、20年以上に渡り組織内でのリスク管理の領域において受け入れられているモデルです。

2011年にECIIA(European Confederation of Institutes of Internal Audit)とFERMA(Federation of European Risk Management Associations)により共同公表された”the 8th EU Company Law Directive article 41″において整理・定式化されました。

その後、2013年にIIAのポジションペーパー”THE THREE LINES OF DEFENSE IN EFFECTIVE RISK MANAGEMENT AND CONTROL”においても採用されました。

3つのディフェンスラインの概要

IIA Position Paper: THE THREE LINES OF DEFENSE IN EFFECTIVE RISK MANAGEMENT AND CONTROL

3つのディフェンスラインは、組織内のリスク管理についての説明モデルです。リスク管理における重要な役割・責任を明確化することにより、組織内におけるリスク管理活動相互の関係を整理します。

Fortunately, best practices are emerging that can help organizations delegate and coordinate essential risk management duties with a systematic approach. The Three Lines of Defense model provides a simple and effective way to enhance communications on risk management and control by clarifying essential roles and duties. It provides a fresh look at operations, helping to assure the ongoing success of risk management initiatives, and it is appropriate for any organization — regardless of size or complexity. Even in organizations where a formal risk management framework or system does not exist, the Three Lines of Defense model can enhance clarity regarding risks and controls and help improve the effectiveness of risk management systems.

The Three Lines of Defense in Effective Risk Management and Control

1. 3つのディフェンスライン(Three Lines of Defense)モデルとは何ですか?

3つのディフェンスラインは、組織体がリスク・マネジメントとコントロールを構成する様々な活動や責任を理解するのに役立つことを目的で用いられる説明モデルです。通常、責任は複数の機能間で共有されていることから、混乱、重複、ギャップを避けるために明確なイメージを持つことが重要です。

Three Lines of Defense IIA Exposure Document FAQ (Japanese)

3つのラインの役割

3つのディフェンスラインは、組織内のリスク管理機能を、リスクとの関係において定義される3つのグループ(ライン)に分類し、相互の関係を整理するものです。

第1のラインは主体的なリスク管理機能、第2のラインはリスク監視機能、第3のラインはリスク管理についての独立した検証機能を担うものとされます。

こうした3つのラインについて、第1のラインは事業部門、第2のラインは管理部門、第3のラインは監査部門に対応すると説明されることもあります。しかし、それぞれのラインが、特定の部門と結びついているものと考えるべきではないことには留意すべきです。ラインと部門との対応は、一般的に、企業における部門構成が機能に基づくことによる結果的なものと考えるべきです。

The Three Lines of Defense model distinguishes among three groups (or lines) involved in effective risk management:

・Functions that own and manage risks.

・Functions that oversee risks.

・Functions that provide independent assurance.

The Three Lines of Defense in Effective Risk Management and Control

2. モデルの中の「3つのライン」とは何ですか?

現行モデルの中核原則は、1つの組織体内には統治機関の監督とリーダーシップの下で、リスク・マネジメントとコントロールの側面について責任を共有する3つの明確な機能グループが存在するというものです。

・第1のライン: 業務運営部門の経営管理機能が日常の業務運営上のリスクの管理と効果的なコントロールの実施を担います。

・第2のライン: 複数の機能(リスク、コントロール、品質、コンプライアンス、法務、 情報セキュリティ等)が、業務運営部門の経営管理者によるリスクの識別、理解、およびコントロールを支援する役割を担います。

・第3のライン: 内部監査がリスク・マネジメントとコントロールの有効性について、独立した客観的なアシュアランスを提供します。

統治機関、最高経営者、外部監査、規制当局も重要な役割を果たします。

Three Lines of Defense IIA Exposure Document FAQ (Japanese)

3つのディフェンスラインに関する近時の課題

3つのディフェンスラインにおいては、第1のラインが日常業務におけるリスク管理活動の第一次的な責任を担い、第2・第3のラインは、こうした第1のラインのリスク管理活動を前提として、それぞれ監視・検証を行います。第1のラインにおける主体的なリスク管理機能は、3つのディフェンスラインのモデルの全体の基礎となるものといえます。

しかし、次のような事情から、第1のラインの主体的なリスク管理機能が十分に発揮されていない事例が少なくありません。

  • 第1のラインにおいて、日常業務におけるリスク管理活動についての第一次的責任を自らが担っているという3つのディフェンスラインの考え方についての基本的な理解が不足しており、第1のラインの自らの役割・責任についての認識が十分でない。
  • 近時の企業活動の高度化・複雑化に伴い、リスク管理活動においても専門的知見が求められる一方で、第1のラインにおいてそうした専門性が備わっていない。

3つのディフェンスラインにおいて、リスク管理機能は、1つのラインで完結することが原則ではありますが、実際に困難であることは、IIAのポジションペーパーでも指摘されているところです。

In a perfect world, perhaps only one line of defense would be needed to assure effective risk management. In the real world, however, a single line of defense often can prove inadequate. Management establishes various risk management and compliance functions to help build and/or monitor the first line-of-defense controls.

The Three Lines of Defense in Effective Risk Management and Control

第2のラインからの支援も含めつつ、第1のラインでのリスク管理機能の十全化は、多くの企業におけるこれからの課題となるものと思われます。

内部監査.com

内部監査.com内部監査.com

記事一覧

内部監査の総合情報サイト テンプレート・ツール、ニュース、基準・ガイドライン、セミナー・研修、求人等の内部監査に役立つ情報を紹介!

http://xn--v6q806ccrkilz.com

関連記事

記事を読む

おすすめ記事 最近の記事
  1. 第6回 個別の内部監査(2)

  2. IIA 「CEOブログ 内部監査のポイント」

  3. IPA「情報システムの障害状況一覧」

  4. 日本内部監査協会「CIAチャレンジ試験」

  5. 内部監査のリスクアセスメント(リスク評価)

  6. IIA国際基準の考察(1200 ─ 熟達した専門的能力および専門職としての正当な注意/1210 ─ 熟達した専門的能力)

  7. 経済産業省「特定デジタルプラットフォームの透明性及び公正性の向上に関する法律案」

  8. 日本内部監査協会「内部監査人のためのリスク評価ガイド(第2版) 」

  9. 金融行政とSDGs

  10. 内部監査実施要領・マニュアル

  1. 第7回 品質評価

  2. 第6回 個別の内部監査(2)

  3. 株式会社ディーカレット:企業インタビュー

  4. 第5回 個別の内部監査(1)

  5. 第4回 年間内部監査計画

  6. 第3回 リスクアセスメント(2)

  7. 第2回 リスクアセスメント(1)

  8. 第1回 内部監査とステークホルダーの期待の整理

  9. 最終講(全6講)企業風土監査の薦め ~企業価値の向上と毀損防止・企業変革へ向けて~

  10. 最新の3線モデル(スリーラインズ・モデル)