3つのディフェンスライン（3線モデル）とは？みっつのでぃふぇんすらいん
3つのディフェンスライン（3線モデル）とは、組織のリスク管理を三つの層で説明するモデル。第1線は現業部門が自らの業務に組み込まれた統制でリスクを管理し、第2線はリスク管理部門やコンプライアンス部門が方針を示して監視し、第3線は内部監査部門が第1線と第2線の有効性を独立した立場から検証する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスク管理を現場だけに任せれば自らの不備は見えにくく、専門部署だけに任せれば現場が他人事として扱う。かといって監督する側が実務も担えば、自分の仕事を自分で評価することになる。役割を三層に分け、最後に独立した検証を置くことでこの矛盾を避ける枠組みで、監査人が組織内での自らの位置づけを説明する際の共通言語にもなっている。
具体例
営業部門が与信ルールに沿って審査を行い（第1線）、リスク管理部が与信基準を定めて逸脱をモニタリングし（第2線）、内部監査部が基準の妥当性と運用状況を評価する（第3線）。第3線は取締役会へ直接報告する経路を持つことで独立性が担保される。
試験での引っ掛け
内部監査部門は第3線であり、リスク管理の方針策定や日常的なモニタリングという第2線の役割を兼ねてはならない。兼ねれば自ら作った仕組みを自ら評価することになり、独立性が損なわれる。助言を行う場合も、改善策を決めて実施するのは被監査部門の側に留める。
関連用語
出た過去問
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問8（IPA）
組織におけるリスク管理と内部統制を行うためには複数のグループによる役割の分担が効果的だとする考えに基づいた、“3線モデル”（三つのラインモデル）がある。第1、第…
正解：第1ライン：営業部門、第2ライン：リスク管理部門、第3ライン：内部監査部門
要点：3線モデルは現業が第1、リスク管理が第2、内部監査が第3ライン
3線モデルは、リスク管理と内部統制の役割を三層に分けて考える枠組みである。第1ラインは製品・サービスを顧客に提供する現業部門で、自らの業務に伴うリスクを日々管理する。第2ラインはリスク管理やコンプライアンスなど、現業を支援・監視して専門的な観点から統制の枠組みを整備する部門。第3ラインは内部監査部門で、第1・第2ラインから独立して有効性を評価し、統治機関へ報告する。取締役会や外部監査人はラインを構成する当事者ではなく、モデルの外側から監督・保証を担う位置づけである。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。