3ラインモデル（3つの防衛線）とは？すりーらいんもでる
3ラインモデル（3つの防衛線）とは、組織のリスク管理を、業務を実行しながら自ら統制する現業部門（第1線）、規程整備と横断的な監視を担う管理部門（第2線）、独立した立場で有効性を保証する内部監査部門（第3線）の3層で整理する考え方。IIA（内部監査人協会）が2020年に改訂版を公表した。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
リスク管理の役割分担が曖昧だと、全員が見ているつもりの領域が誰も見ていない空白になり、逆に同じ点検が三重に走る。層を分ける物差しは「業務からの独立性」で、独立性が高いほど後ろの線になる。第3線が経営者ではなく取締役会へ報告する設計も、この独立性の要請から出ている。
具体例
情報セキュリティでは、各業務部門が自部門の運用を守り（第1線）、情報セキュリティ管理部門が規程を作って点検し（第2線）、内部監査部門が第1線と第2線の両方を監査する（第3線）という配置になる。金融機関ではこの3線管理態勢が当局の検査でも前提とされている。
試験での引っ掛け
第2線の点検は業務からの独立性を満たさないため、内部監査の代わりにはならない。「セキュリティ部門が自ら定めた規程の順守状況を点検する」のは第2線の活動であり、第3線の監査ではない。会計監査人などの外部監査は3線のいずれでもなく、モデルの外側に置かれる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。