コトラ（広報チーム） 
三線管理とは
三線管理とは、組織におけるリスク管理や内部統制の役割を、第1線・第2線・第3線に分けて整理する考え方です。一般には「3つのディフェンスライン」や「3ラインモデル」とも呼ばれます。事業を担う現場、リスク管理やコンプライアンスを担う部門、内部監査部門がそれぞれ異なる立場から役割を果たすことで、リスクの見落としや管理の形骸化を防ぎます。
三線管理は、単に不正や事故を防ぐための仕組みではありません。組織が目標を達成し、適切なリスクを取って事業を進めるために、誰が何を管理し、誰が確認するのかを明確にするガバナンスの枠組みです。
三線管理が必要とされる背景
事業環境の変化により、企業は法令違反、不正、情報漏えい、サイバー攻撃、品質問題、取引先リスクなど、さまざまなリスクに対応する必要があります。現場任せでは全社的な管理が不十分になりやすく、反対に管理部門だけに任せると、実際の業務から離れたルールになりかねません。
三線管理では、現場が日常業務の中でリスクを管理し、専門部門が支援・確認し、内部監査が独立した立場で全体を評価します。役割分担を明確にすることで、責任の所在を曖昧にせず、管理の重複や抜けを減らせます。
3つのディフェンスラインの基本的な考え方
3つのディフェンスラインは、組織内の役割を次のように整理する考え方です。
- 第1線は、事業部門や業務部門が日々の業務でリスクを管理します。
- 第2線は、リスク管理、コンプライアンス、法務、情報セキュリティなどの部門が、方針の整備や助言、確認を行います。
- 第3線は、内部監査部門が第1線・第2線を含むリスク管理と内部統制の有効性を独立して評価します。
重要なのは、第1線から第3線までが順番に業務を行うわけではない点です。各ラインは異なる役割を担いながら、情報を共有し、組織全体でリスクに対応します。
三線管理と内部統制・リスク管理の関係
内部統制とは、業務の有効性、法令遵守、資産の保全、財務報告の信頼性などを確保するための仕組みです。リスク管理は、組織の目標達成を妨げるおそれのある事象を把握し、対応する活動を指します。
三線管理は、内部統制やリスク管理を誰が担うのかを整理するための枠組みです。第1線が業務上の統制を運用し、第2線が全社的なルールや管理方法を整え、第3線がそれらの仕組みが有効に機能しているかを確認します。
3ラインディフェンスと3ラインモデルの違い
従来は「3つのディフェンスライン」と呼ばれ、防御や統制の側面が強調されていました。内部監査人協会は2020年に名称を「3ラインモデル」へ更新し、単なる防御だけでなく、組織の目標達成や価値の創造・保全にも焦点を広げました。
3ラインモデルでは、取締役会などの統治機関、経営層、第1線・第2線、第3線である内部監査の関係性を重視します。各ラインを縦割りの組織として固定的に捉えるのではなく、組織の規模や事業内容に応じて役割を設計し、連携することが求められます。
第1線の役割：事業部門が担う日常的なリスク管理
第1線は、商品やサービスの提供、営業、製造、開発、システム運用など、日々の業務を担う部門です。業務に最も近い立場にあるため、リスクを最初に把握し、管理する責任を負います。
第1線にあたる部門と担当者
第1線には、営業部門、製造部門、店舗、物流部門、開発部門、システム運用部門などが含まれます。顧客への価値提供に直接関わる部門だけでなく、その業務を支える事務やバックオフィス機能も、第1線となる場合があります。
どの部門が第何線に当たるかは、部門名だけで決めるものではありません。実際に業務を執行し、その業務に伴うリスクを管理しているかどうかで判断します。
業務の中でリスクを見つけて対応する役割
第1線は、自らの業務で発生するリスクの所有者です。たとえば、営業活動における不適切な説明、製造工程における品質不良、システム運用上の権限管理不備などを把握し、必要な対応を行います。
リスクを発見した際には、現場だけで抱え込まず、上司や関係部門へ報告・相談することが重要です。重大な問題を早期に共有し、被害の拡大を防ぐことも第1線の重要な役割です。
ルールや手順を現場で運用する責任
社内規程や業務手順、承認ルール、点検方法を実際に守り、運用するのは第1線です。第2線がルールを作り、第3線が監査を行ったとしても、第1線が実行しなければ内部統制は機能しません。
現場の担当者と管理職は、ルールを形式的に守るだけではなく、そのルールがどのようなリスクを防ぐためにあるのかを理解する必要があります。業務変更や新規事業の開始時には、既存の手順で十分かを見直すことも求められます。
第1線で起こりやすい課題
第1線では、売上や納期、顧客対応などを優先するあまり、リスク管理が後回しになることがあります。また、「リスク管理は管理部門の仕事である」という認識が広がると、現場の当事者意識が弱まります。
対応策としては、業務目標とリスク管理を切り離さず、管理職が日常的にリスクを話題にすることが有効です。現場が問題を報告しても不利益を受けない環境を整え、改善につながる報告を評価する姿勢も重要です。
第2線の役割：リスク管理とルール順守を支える部門
第2線は、第1線が適切にリスク管理を行えるよう、専門的な知識、ルール、助言、確認を提供する役割です。第1線の業務を代わりに行うのではなく、組織全体の観点から支援と牽制を行います。
第2線にあたる主な部門
第2線には、リスク管理部門、コンプライアンス部門、法務部門、情報セキュリティ部門、品質保証部門などが含まれます。組織によっては、個人情報保護、環境・安全、サステナビリティ、財務統制などの専門部門も第2線の役割を担います。
ただし、同じ部門であっても、業務の内容によって第1線と第2線の役割が混在することがあります。そのため、部門単位ではなく、個別の業務ごとに役割と責任を整理することが必要です。
方針・ルールの整備とリスクの確認
第2線は、全社的なリスク管理方針、規程、基準、報告ルールなどを整備します。また、法令や規制の変更、社会的な要請、外部環境の変化を踏まえ、必要に応じてルールを見直します。
さらに、第1線がルールを適切に運用しているかをモニタリングし、不備や懸念があれば改善を促します。この際、一律に禁止や制限を求めるのではなく、事業の目的とリスクの大きさを踏まえて判断することが重要です。
第1線への助言・教育・支援
第2線は、専門知識を活かして第1線を支援します。たとえば、法令の内容を業務手順に落とし込む、リスク評価を支援する、研修を実施する、相談を受けるといった活動です。
一方で、第2線には、第1線の判断に対して必要な指摘や異議を示す役割もあります。支援だけに偏ると牽制機能が弱まり、監視だけに偏ると現場との関係が悪化します。支援と牽制を両立することが求められます。
第2線が現場業務を代行しない理由
第2線が現場のリスク管理を代行すると、第1線が本来負うべき責任が曖昧になります。現場が「管理部門が確認しているから問題ない」と考えるようになると、自律的な統制が機能しません。
第2線は、リスク管理の方法を示し、助言し、必要に応じて確認します。しかし、日々の業務における判断や統制の実行責任は第1線に残ります。この区別を明確にすることが、三線管理の基本です。
第3線の役割：内部監査による独立した確認
第3線は、内部監査部門が担います。第1線・第2線から独立した立場で、ガバナンス、リスク管理、内部統制が適切に設計され、実際に機能しているかを評価します。
第3線にあたる内部監査部門
内部監査部門は、特定の業務を実行する部門ではなく、組織全体を横断して確認する部門です。営業、製造、経理、情報システム、グループ会社などを対象に、リスクに応じた監査を実施します。
内部監査は、不備を指摘することだけが目的ではありません。組織の目標達成を妨げる問題を把握し、改善につながる助言を行うことも役割です。
リスク管理と内部統制の有効性を評価する役割
内部監査は、第1線が業務上のリスクを適切に管理しているか、第2線が必要な支援・確認を行っているかを評価します。また、全社的なリスク管理の仕組みや、経営層への報告体制が有効に機能しているかも確認対象になります。
監査では、規程が存在するかだけでなく、実際に守られているか、ルールが現場の実態に合っているか、問題発生時に改善が行われているかを確認します。
経営層や取締役会への報告
内部監査は、監査結果や重要なリスク、改善の進捗状況を経営層や取締役会、監査委員会、監査役会などへ報告します。これにより、統治機関は現場や管理部門の報告だけでは把握しにくい課題を知り、適切な監督や意思決定を行えます。
重要な指摘事項については、改善計画だけでなく、その後に改善が実施されているかも確認することが必要です。
第3線に求められる独立性
内部監査には、客観的な評価を行うための独立性が必要です。内部監査部門が、自ら設計・運用した業務を監査すると、自己評価となり、監査の信頼性が低下するおそれがあります。
独立性は、他部門と一切関わらないことを意味しません。第1線・第2線と情報共有や対話を行いながらも、内部監査が業務の実行責任や最終判断を担わないことが重要です。
三線管理における経営層・取締役会と各ラインの関係
三線管理は、3つのラインだけで完結するものではありません。経営層と取締役会などの統治機関が、組織の方向性を示し、各ラインが適切に機能する体制を整える必要があります。
経営層が果たす方向付けと意思決定
経営層は、組織の目標、事業方針、受け入れるリスクの範囲を明確にし、必要な人員や予算を配分します。また、第1線・第2線が連携してリスク管理を行えるよう、責任者や報告経路を定めます。
経営層は、リスク管理を一部の専門部門へ任せきりにせず、自らの経営責任として取り組む必要があります。重要なリスクの報告を受け、対応方針を決定し、改善を後押しすることが求められます。
取締役会による監督
取締役会などの統治機関は、経営層が組織の目標達成とリスク管理を適切に行っているかを監督します。そのため、業績だけでなく、重大なリスク、内部統制上の課題、内部監査の結果などについて、信頼できる情報を受け取る必要があります。
取締役会は、独立した内部監査機能が十分に機能するよう、監査計画、体制、人員、重要な監査結果などに関与することが重要です。
各ラインの情報共有と連携
第1線が把握した業務上の問題やリスクは、第2線へ共有され、必要に応じて経営層へ報告されます。第2線が把握した全社的な傾向やルール上の課題は、第1線の改善や経営判断に活用されます。第3線は、これらの活動を踏まえて独立した評価を行います。
情報共有が不足すると、同じ問題を複数部門が別々に調査したり、反対に誰も対応していないリスクが残ったりします。共通のリスク分類や報告様式を用いることは、連携の基盤になります。
役割の重複と管理の抜けを防ぐ方法
各ラインの活動を整理する際は、重要なリスクごとに、誰が管理し、誰が確認し、誰に報告するのかを明確にします。たとえば、リスク一覧と担当部門、点検方法、報告先を対応付けて整理すると、重複と抜けを把握しやすくなります。
特に、内部監査、第2線によるモニタリング、外部監査などの確認活動が重なる領域では、目的と範囲を調整することが重要です。一方で、重要リスクに対して確認活動がまったく行われていない場合は、優先的に対策を検討します。
三線管理を機能させるための進め方
三線管理を導入する際は、組織図だけを変更するのではなく、業務やリスクに即した役割分担と運用方法を設計する必要があります。
リスクと役割分担を整理する
まず、自社の事業に関わる主要なリスクを洗い出します。法令遵守、品質、情報セキュリティ、取引先、財務、労務、不正など、事業内容に応じて整理します。
次に、各リスクについて、第1線・第2線・第3線がそれぞれ何を担うのかを定めます。第1線がリスクの所有者であることを明確にし、第2線と第3線の役割を混同しないことが重要です。
責任者と報告の流れを明確にする
リスクごとに責任者を定め、問題が起きた場合の報告先や判断者を明確にします。重大な問題が現場や中間管理職で止まらず、必要に応じて経営層や取締役会へ伝わる仕組みを整える必要があります。
報告の基準が曖昧だと、重大な事案でも報告が遅れるおそれがあります。どのような事象を、いつまでに、誰へ報告するのかを規程や手順で明確にします。
規程・手順・点検方法を整備する
三線管理を実務に定着させるには、方針だけでなく、具体的な規程、手順、チェックリスト、記録方法を整備することが必要です。ただし、ルールを増やしすぎると、現場の負担が大きくなり、形だけの運用になりかねません。
重要なリスクに優先順位を付け、現場が実行できる内容にすることが大切です。業務変更や法令改正があった際には、規程や手順の見直しも行います。
教育と対話を通じて意識を根付かせる
三線管理は、担当部門だけが理解していても機能しません。第1線の管理職や担当者が、自らの業務に関わるリスクと統制の目的を理解する必要があります。
研修では、規程の内容を説明するだけでなく、実際の業務で起こり得る問題や報告の方法を取り上げると効果的です。第1線と第2線が定期的に対話し、現場で運用しにくいルールを改善していくことも重要です。
定期的な見直しと改善を行う
事業内容、組織体制、法令、取引環境が変われば、リスクも変化します。そのため、三線管理の役割分担や報告体制は定期的に見直す必要があります。
内部監査の結果、事故や不正の発生状況、現場からの相談内容などを分析し、統制の弱い領域や重複した活動を確認します。課題を把握した後は、改善策の実施状況まで追跡することが重要です。
三線管理でよくある課題と対応のポイント
三線管理は有効な枠組みですが、形式的に導入するだけでは機能しません。各ラインの役割を理解し、現場の実態に合わせて運用する必要があります。
第1線がリスク管理を自分ごとにできていない
第1線がリスク管理を第2線の仕事と考えると、問題の早期発見や日常的な統制が弱くなります。ルールを守ることが目的になり、業務に潜むリスクを自ら考える姿勢も育ちにくくなります。
経営層と現場管理職は、第1線がリスクオーナーであることを明確に伝える必要があります。目標管理や評価、会議体などにリスク管理の観点を組み込み、日常業務の一部として定着させることが有効です。
第2線が監視中心になり現場支援が不足する
第2線が指摘や監視だけを行うと、現場との間に対立が生まれ、必要な情報が集まりにくくなる場合があります。一方で、現場に迎合しすぎると、牽制機能が弱まります。
第2線には、ルールの背景を説明し、実行可能な対策を現場と考える姿勢が求められます。そのうえで、重大なリスクや不適切な対応に対しては、明確に改善を求めることが重要です。
第3線の独立性や人員が十分に確保できない
内部監査部門の人員や専門性が不足すると、重要なリスクを十分に確認できず、監査が形式的になるおそれがあります。また、内部監査が経営管理上の責任を持つ部門の配下に置かれると、独立性が損なわれる可能性があります。
内部監査が必要な情報や人員にアクセスできること、取締役会や監査委員会などへ直接報告できることを確保する必要があります。専門性が不足する領域では、外部の専門家の活用も選択肢になります。
小規模な組織で3つの役割を分けにくい場合の考え方
小規模な組織では、リスク管理や内部監査の専門部門を独立して置くことが難しい場合があります。このような場合でも、3つの役割の考え方までなくなるわけではありません。
同じ人や部門が複数の役割を担う場合は、誰が業務を実行し、誰が確認し、誰が最終的に評価するのかを明確にします。自己点検だけに依存せず、役員による確認、別部門によるレビュー、外部専門家の活用などで客観性を補うことが重要です。
不正防止・監査対応・グループ会社管理への活用
三線管理は、不正防止や内部監査への対応にも活用できます。第1線が承認、記録、権限管理などの基本的な統制を実施し、第2線が不正リスクの評価や相談窓口、教育、モニタリングを担い、第3線が仕組み全体の有効性を確認します。
グループ会社管理では、親会社と子会社の間で役割や報告経路を整理することが重要です。各社の事業責任者が第1線としてリスクを管理し、グループ本社のリスク管理・コンプライアンス機能が第2線として支援と確認を行い、内部監査が独立した評価を行う形が考えられます。
三線管理を活用することで、各社任せの管理や、本社による過度な統制を避けながら、グループ全体として重要なリスクを把握しやすくなります。
