Суть трёхлинейной модели
Трёхлинейная модель (Three Lines Model, IIA 2020) описывает распределение ролей и ответственности в области управления рисками и контроля между тремя уровнями: операционным менеджментом, функциями контроля и надзора, и независимым аудитом.
Первая линия: операционный менеджмент.. Владеет рисками и несёт ответственность за их управление в ходе ежедневной деятельности. Создаёт и поддерживает операционные контроли. Если что-то идёт не так на первой линии — это проблема в управлении, а не в аудите.
Вторая линия: функции управления рисками и комплаенс.. Risk management, compliance, информационная безопасность, качество — функции, которые устанавливают стандарты, поддерживают первую линию и мониторят соответствие. Не несут ответственности за риски (это первая линия), но обеспечивают инфраструктуру управления ими.
Третья линия: внутренний аудит.. Независимая оценка адекватности и эффективности системы управления рисками и контроля. Подотчётна напрямую аудиторскому комитету СД, а не менеджменту. Именно эта независимость делает третью линию ценной.
Роль совета директоров.. Над тремя линиями — совет директоров и топ-менеджмент. Они устанавливают стратегию, цели, риск-аппетит и организационную культуру, в рамках которых работают все три линии.
Типичные проблемы в реализации трёхлинейной модели
Размытость первой линии.. Операционный менеджмент считает, что управление рисками — задача отдела риск-менеджмента (вторая линия). В результате первая линия не берёт на себя ответственность за риски в своей деятельности. Решение: явное определение ролей и интеграция управления рисками в операционную ответственность.
Сдвиг второй линии в операционный контроль.. Функция риск-менеджмента или комплаенса начинает сама операционно управлять рисками, вместо поддержки первой линии. Это создаёт путаницу ответственности и снижает качество управления. Решение: чёткое разграничение поддерживающей и оперативной роли.
Зависимость третьей линии.. Внутренний аудит формально независим, но фактически зависит от CEO: он нанимает аудиторов, формирует их задачи, имеет возможность «защитить» подразделения от проверок. Решение: функциональная подотчётность руководителя внутреннего аудита аудиторскому комитету.
Бесплатная диагностика — результат за 5 минут
Оцените эффективность трёхлинейной модели в вашей компании
Методология BOM — аудит системы внутреннего контроля по стандарту Three Lines Model.
Начать аудит