3ラインモデル

役割を分けるのが目的、重ねるのは目的ではない

オーディットコア・ハブのアキラです。この記事では、3ラインモデルが何のために役割を分けている図なのかを、私と一緒に確かめていきましょう。

統治機関、第1ライン、第2ライン、第3ラインが、それぞれ何をどこまで担うのか。そこを動詞で言い分けられる状態にしていきますね。

3ラインモデルの目的は、リスクと統制について誰がどこまで責任を負うのかを組織の中ではっきりさせ、それによって目標の達成と価値の創造・保護を支えることです。

この一文が、今回の暗記対象なんです。ひとことで言えば、3ラインモデルは「上に行くほど偉い」という順位の図ではありません。

誰がリスクを持ち、誰が支えるのか。そして誰が離れて確かめるのか。

その機能の区分なんですね。目的は役割と責任をはっきりさせることであって、責任を重ねることではありません。

ここを取り違えないでおきましょう。

この記事で分かること

• 3ラインモデルが何を分けている図なのかが分かります。各ラインの責任を「誰が・何を・どこまで」の動詞で言い分けられるようになります
• 統治機関へ直接報告する独立した立場がどのラインなのか、報告経路と独立性の関係が整理できます
• 出題型は3類型に切って示します。こういう形で問われることが想定される、という整理として読んでみてください

3ラインモデルは、何のために役割を分けるのか（P1-A-08-a）

よくある誤解

まず、それだけを示されたら誤りになる記述を、先に並べておきますね。

• 責任の重複をあえて許容して、統制の網羅性を高めることがモデルの目的である
• 第3ラインの内部監査に、組織内のリスク管理をすべて最終承認する権限を与える
• 財務報告の信頼性確保と、外部監査人との連携の効率化に焦点がある

3つとも、実務では耳にしそうな言い回しですよね。ところが、モデルの目的として示されたら、いずれも狙いを取り違えているんです。

解説

3ラインモデル(Three Lines Model)を、「上に行くほど偉い」という順位の図として覚えないでください。

そう覚えると、その先の設問で間違えます。3つのラインは、上下の階層ではありません。

リスクに対して果たす機能(つまり、担う働きのこと)の区分なんです。誰がリスクを持ち、誰が支え、誰が離れて確かめるのか。

3ラインモデルは、その分担を描き分けた図なんですね。たとえば、文化祭を思い浮かべてみてください。

模擬店を切り盛りするクラスが、第1ラインですね。安全や衛生の決まりを配って見回る担当が、第2ラインです。

そして、その両方から離れて確かめる役が第3ライン、というイメージですね。

ここで、図の形を思い浮かべてみてください。図の最上部には、統治機関(governing body、取締役会など)が置かれます。

統治機関とは、ひとことで言えば、組織全体を監督する一番上の立場のことですね。

統治機関は、ステークホルダー(株主や取引先など、その組織に関わる人たち)に対して、組織体を監督するアカウンタビリティ(説明責任)を負います。

そのうえで、3つのライン全体に権限を任せます。指示を出し、資源を与え、監督するんですね。

3つのラインは、いずれも統治機関へ報告します。ただし、経営管理者から独立した立場で報告できるのは第3ラインだけなんですね。

第1ラインは、顧客に製品やサービスを届ける業務そのものです。リスクの管理を含む活動と資源の使い方を、先頭に立って動かし、指示を出します。

そうやって目標の達成に向かうんですね。業務とリスクを扱う仕組みを作り、それを保ち続けます。

さらに、法規制や倫理の面で期待されることが、きちんと守られる状態にします。

成果とリスクを統治機関へ報告し続ける、リスクオーナー(つまり、リスクを自分のものとして引き受ける当事者)なんですね。

第2ラインが提供するのは、補完的な専門知識・支援・モニタリング(つまり、うまく回っているかを見守り続けること)です。

対象になるのは、リスク・マネジメント実務を作り、取り入れ、続けて良くしていく仕事ですね。

領域は、コンプライアンス(決まりを守ること)、内部統制(つまり、仕事のやり方の中に組み込んだ、間違いや不正を防ぐ仕掛け)、ITセキュリティ、品質保証などです。

必要なら、第1ラインに異議を唱えます。ここで押さえたいのは、第2ラインが経営管理者(つまり、組織を動かす経営の側のこと)の一部だ、という点なんです。

第2ラインは、第1ラインからは独立しています。ただし、統治機関からは独立していないんですね。

第3ラインが内部監査部門です。アカウンタビリティを負う相手は、何よりもまず統治機関なんですね。

そして、経営管理者からの独立性を保ちます。届けるものも見ておきましょう。

独立かつ客観的なアシュアランス(assurance、保証)と助言です。

対象は、ガバナンス(つまり、組織をきちんと治める仕組み)とリスク・マネジメントの妥当性と有効性。

言い換えれば、やり方として適切か、そしてねらいどおり効いているか、ということですね。アシュアランスと助言によって、継続的な改善を促します。

統治機関へ直接報告する独立した立場は、第3ラインだけなんです。

3ラインモデルは、リスク・マネジメントを損失の防止だけに限りません。目標の達成と価値の創造にも結びつけるんですね。

3ラインモデルの目的は、リスクと統制について誰がどこまで責任を負うのかを組織の中ではっきりさせ、それによって目標の達成と価値の創造・保護を支えることです。

3ラインモデルは、IIAが2020年に公表した枠組みです。

ただ、GIAS 2024(Global Internal Audit Standards)にも、組織上の独立性(基準7.1)があります。

内容が重なる領域でもあるんですね。つまり、図の暗記で終わらせずに、独立性の話とつなげて読んでおきましょう。

この論点はこう問われる

類型は3つに切れます。

類型1: 目的の言い換え型。 モデルの主な目的として、最も適切な記述を選ばせる形が想定されます。

網羅性、重複の許容、承認権限の集中、外部監査人との連携効率といった語が並びます。

目的は役割と責任の明確化であって、重複の許容でも権限の集中でもありません。 ここは迷わず切れるようにしておきましょう。

• 例1: 「3ラインモデルの主な目的として最も適切なものはどれか」と聞かれる形ですね。
  「役割と責任を組織の中ではっきりさせる」と書かれたものを残しましょう。
• 例2: 「責任をあえて重ねて網羅性を高める」と書かれた記述も並びますよね。目的は重ねることではないので、ここで外せます。
• 例3: 「内部監査にすべてのリスク管理を最終承認させる」という記述も出てきます。内部監査は承認する側ではないと思い出してください。
• 例4: 「財務報告と外部監査人との連携に焦点がある」と書かれたものはどうでしょうか。対象がガバナンスとリスク管理の全体だと分かれば、迷わず切れます。

類型2: 機能の配属型。 ある部門や活動が第何ラインに当たるのかを問う形が想定されます。

経理部の日々の業務処理は第1ラインです。リスク管理部やコンプライアンス部、品質保証部、情報セキュリティ部は第2ラインですね。

そして、内部監査部が第3ラインです。では、配属は部署の名前で決まるのでしょうか。

配属は部署の名前ではなく、リスクを所有して管理するのか、支援して監視するのか、独立して評価するのかという機能で決まります。

• 例1: 「経理部が行う日々の業務処理は第何ラインか」という聞き方ですね。名前ではなく、リスクを持って回している働きかどうかで決まります。
• 例2: 「品質保証部は第3ラインである」と書かれたものが混ざることもありますよ。支援して監視する働きですから、そこで外しましょう。
• 例3: 「情報セキュリティ部は第1ラインに当たる」と書かれたものはどうでしょうか。現場を支えて見守る側なので、当てはまりません。
• 例4: 「リスク管理部は現場と一緒に動くから第1ラインだ」という記述も出てきます。支援と監視の働きだと言い直してみましょう。
  第2ラインですね。

類型3: 報告経路型。 誰が誰に報告し、誰が誰から独立しているのかを組み替えた記述を並べる形も想定されます。

第2ラインは第1ラインからは独立していますが、統治機関からは独立していません。統治機関へ直接報告する独立した存在は第3ラインだけです。

ここが分かれ目ですよ。

• 例1: 「第2ラインは統治機関から独立している」と書かれたものが来ますよね。経営管理者の一部ですから、ここは外せます。
• 例2: 「統治機関へ直接報告する独立した立場は第3ラインだけだ」と書かれたものは、そのまま残しましょう。ここが分かれ目でしたね。
• 例3: 第1ラインと第2ラインを入れ替えて「第2ラインがリスクを所有する」とした記述はどうでしょう。持ち主は第1ラインだと確かめてください。
• 例4: 「内部監査は経営管理者から独立している」と書かれたものも出てきます。誰から独立しているのかをそろえて読み直すと、決まりますよ。

試験テクニック

ガバナンス系の記述は、監督・執行(つまり、実際に仕事を動かすこと)・独立した評価という3つの機能に置き直してから比べます。

1. まず、記述を「主体 → 動詞 → 目的語」に圧縮します(例: 内部監査部門 → 提供する → 独立したアシュアランス)
2. 次に、動詞で候補を振り分けます。リスク管理実務の策定・実施・運用なら、執行側です。
   承認・監督なら監督側、アシュアランスとしての評価・検証なら独立した評価側の候補になります。ただし、動詞だけでは決まりません。
   主体と目的語も必ず併せて確認します。たとえばCAE(内部監査部門長)も、監査計画や規程は策定するからです。
3. 最後に、振り分けた機能と、記述に書かれたラインが一致するかを照合します

• 例1: 「リスク管理部が第1ラインに異議を唱える」という記述で試してみましょう。手順1で主体と動詞に縮め、手順2で動詞から振り分けます。
  実施・運用ではなく支援・監視の働きなので、手順3で第2ラインと合いますね。
• 例2: 「取締役会が日々の業務処理を行う」と書かれたものはどうでしょう。動詞で振り分ける手順2にかけると執行の側に落ちるので、監督の立場と合いません。
• 例3: 「内部監査部門が独立したアシュアランスを提供する」と書かれた記述も並びます。
  手順2で独立した評価の側に振り分けられ、ラインと照らす手順3も通りますよ。
• 例4: 「内部監査が内部監査計画を策定する」と書かれたら、策定という動詞だけで執行と決めつけないでください。
  主体と目的語まで見る、手順2の注意書きが効きます。

警戒する記述は2種類です。ひとつは、取締役会が日常の執行そのものを行う記述。

もうひとつは、内部監査が第1ライン・第2ラインの責任を持つ記述です。どちらも機能の境界をまたいでいるんですね。

「監督する取締役会、行動してリスクを管理する経営管理者、独立して保証する内部監査を分ける」。

この一文を唱えられる状態にしておくと、照合が速くなりますよ。

覚え方

新任の役員に「リスク管理部と内部監査部は何が違うのか」と尋ねられた場面を、思い浮かべてみてください。

「リスク管理部は現場を支えて監視する側、内部監査部は現場とリスク管理部の両方から離れて確かめる側です」。

この答え方が、3ラインモデルの言う区分なんです。

教訓を一言で。役割を分けるのが目的、重ねるのは目的ではない。

この記事の1枚まとめ

全文が読める見本: 戻せるのは「いつの時点」か、それとも「どれだけ早く」か、外部評価の実施間隔