3線ディフェンスモデルが改訂された ─ 原典は、自らを「設計図」と呼んでいなかった

「リスク管理の体制はどうなっていますか」と尋ねると、多くの会社で同じ図が出てきます。第1線、第2線、第3線。あの3つの箱が並んだ図です。

その図の元になっているThree Lines Modelを、内部監査人協会(IIA)が2026年7月に改訂しました。新文書のタイトルは「Statement of Position: Three Lines Model — Assurance and Advice in Support of Effective Governance」。
2020年版の公式ページには「この文書は差し替えられました」と表示され、新版へのリンクが張られています。

日本では「3線ディフェンス」「3線モデル」「3ラインモデル」「三つの防衛線」と、複数の呼び名で定着してきた枠組みです。多くの企業が組織図と規程にこの3つの箱を据え付け、体制の説明資料に載せてきました。金融機関の検査対応でも、上場企業の内部統制報告でも、この図はほぼ共通言語になっています。

その共通言語の原典が差し替わりました。まずこの事実を押さえたうえで、何が変わったのかを原文で確かめます。

私が改訂に気づいたきっかけは、Norman Marks氏が自身のブログに書いた批判記事(2026年7月13日)でした。

Marks氏は複数の企業で内部監査部門長、最高リスク責任者(CRO)、最高コンプライアンス責任者を務め、2013年に実務を退いた後も、ガバナンス・リスク管理・内部監査について発信を続けている論者です。ガバナンス・リスク・コンプライアンス分野の非営利団体であるOCEGのフェロー、英国のリスクマネジメント専門職団体Institute of Risk Managementの名誉フェローで、2018年にはIIAが実務家を顕彰する「American Hall of Distinguished Practitioners」に選ばれています。日本語圏での知名度は高くありませんが、英語圏のこの分野では、当局やIIAの発表に真正面から異論を唱える書き手として著名という認識です。

立ち位置としては、内部監査という職能の内側の人です。実務を担い、専門職団体からも顕彰されてきた側の人物が、その職能の総本山であるIIAの新文書に異を唱えている。だから読む価値がある、というのがこの記事を取り上げる理由です。

その記事を読み、そのうえで3世代の原文に当たった結果、書こうとしていた内容を書き直すことになりました。

原典に当たると、日本で流布されている前提のほうが揺れるように思いました。順に整理します。

2013年版は、自らをフレームワークと名乗っていない

最初の版は2013年1月、IIAのポジションペーパーとして出ました。「The Three Lines of Defense in Effective Risk Management and Control」。

この文書は、原文では自身の目的を以下のように記しています。

(筆者訳)3線ディフェンス・モデルは、本質的な役割と責務を明確化することによって、リスク管理と統制に関するコミュニケーションを改善する、単純かつ効果的な方法を提供する。

なお、この文書を通じて繰り返し出てくる「統制(control)」とは、リスクを許容できる範囲に収めるために組織が意図的に設ける仕組みのことです。承認、照合、権限の分掌、モニタリング、規程などなど。英語のcontrolは、その仕組みそのもの(統制活動)と、仕組みを設計し運用する部門(統制機能)の両方を指します。

さて、先の引用が2013年版の自己規定です。目的は、体制を作ることではなく、役割分担についての意思疎通を良くすること。そして3つのラインの位置づけは、こう書かれています。

(筆者訳)これら3つの「ライン」はそれぞれ、組織のより広いガバナンス・フレームワークの中で、固有の役割を果たす。

「より広いガバナンス・フレームワーク」とは何を指すかというと、会社法が定める機関設計、取締役会と監査役会(または監査委員会)の権限、コーポレートガバナンス・コードのような規範、社内の職務権限規程などで、組織を統治する枠組みは、3線モデルとは別に既に存在しているという前提の文書になっています。すなわち、原文が言っているのは、その既存の枠組みの「中で」、リスク管理に関わる各者の役割を整理する、ということです。

つまり2013年版は、自らをガバナンス・フレームワークだとは名乗っていません。統治の枠組みは別にある前提で、その枠組みが語らない役割分担を埋める補助線として自身を位置づけています。図の出典も「ECIIA/FERMAによるEU会社法第8指令41条(監査委員会条項)のガイダンスより翻案」と明記されています。

ECIIAは欧州の内部監査人協会の連合体、FERMAは欧州のリスクマネジメント協会の連盟で、いずれも欧州の専門職団体です。EU会社法第8指令41条は、監査委員会について定めた条項でした。つまりこの図は、もともと「監査委員会が何をどう監視するのか」を欧州の専門職団体が解説するために作った資料から来ています。出自は、全社の体制設計ではなく監査委員会条項の解説です。

「フレームワーク」と「補助線」の違いを、使う側の動作で言い換えておきます。フレームワークとして読めば、動作は「導入する」になります。これを入れれば統治の仕組みが揃う、という読み方です。補助線として読めば、動作は「照らす」になります。統治の仕組みは既にある。その中で誰が何を担い、どこが重なり、どこが空いているのかを見るために線を引く。作るのではなく、参照するための道具です。

この2つは使い方がまったく違います。前者は組織図を書き換える作業に、後者は既存の役割を点検する作業になります。

ところが2026年版は、自身をこう定義しています(p.7)。

(筆者訳)モデルの中核構造は、組織のアシュアランスおよび助言のニーズに応える原則ベースのフレームワークとして、変わっていないが……

「原則ベースのフレームワーク」。13年の間に、モデルは自らをフレームワークとして規定するようになりました。

名乗りが変わっただけなら、言葉の問題です。

ただ、ここには実害の芽があります。補助線が「フレームワーク」を名乗ると、受け取る側は「これを導入すればガバナンスの体制が整う」と読みます。実際、そう読まれる余地は十分にあります。原典が「中核構造は変わっていない」と書いている以上、IIAの認識では連続しているのでしょう。

しかし、補助線として出発したものが自らフレームワークと名乗り直したのなら、その変化を注記する責任はIIAの側にあったのではないかと考えます。2026年版に、その注記はありません。

私たちが「グローバルスタンダードの体制モデル」として受け取ってきたものは、出発点では自分をそう規定していなかった。
この事実は、押さえておく価値があるのではないかと思います。

策定に関わった人は、何を作ったつもりだったのか

Marks氏は記事の中で、より強い証言をしています。2013年当時、策定に関わったIIAのリーダーたちに「これは何をするためのものか」と尋ねた、というものです。

(筆者訳)彼らは私にこう言った。これは組織が採用すべきガバナンス・フレームワークとして意図されたものではない(もっとも、まさにそうしたと言う者もいるが)。そうではなく、内部監査機能、及び、内部監査機能と経営陣・他のアシュアランス/監督の提供者との関係を説明するために意図されたものだ、と。

前半は原文と整合します。上述のとおり、2013年版は自らをフレームワークと名乗っていません。

後半についても、外れているわけではありません。役割と責務を明確にするという目的からすれば、内部監査と他の当事者との関係を説明することは、その一部です。

違うのは射程です。
2013年版が冒頭で立てている課題は、内部監査人、ERMの専門家、コンプライアンス担当、内部統制担当、品質検査、不正調査といった機能が社内に並存し、誰が何を担うのかが曖昧になっている、という調整の問題です。内部監査だけの話ではなく、統制に関わる機能が増えすぎたことをどう整理するか、という問題設定のもとで、リスク管理と統制に関する役割と責務の明確化を目的にしています。本文でも、第1線、第2線、外部監査、規制当局、そして各者の調整方法に、それぞれ節が割かれています。

ここで、どちらが正確かを詰める必要はないと考えています。押さえておきたいのは、策定に関わった側が「ガバナンス・フレームワークとして意図していない」と語っており、それが原文の自己規定とも食い違っていない、という一点です。

なお、Marks氏が確認した「IIAのリーダーたち」の名前は記事に書かれておらず、第三者が検証することはできません。ここでは回想として扱っています。

断絶は2026年ではなく、2020年に起きていた

Marks氏の批判の核心は、第2線の定義が薄まったという点にあります。この変遷を3世代の原文で追いました。

2013年版。図に第2線として6つの職能名が並びます ── 財務統制、セキュリティ、リスク管理、品質、検査、コンプライアンス。本文では3つ(リスク管理機能、コンプライアンス機能、統制機能)が例示されます。第2線の性格は、本文(p.2)でこう書かれています。

(筆者訳)経営陣が設置した各種の、リスクの統制およびコンプライアンスの監督にあたる機能が、第2線である。

対象になっているのはリスクとコンプライアンスであり、それに対して統制と監督という機能を担うのが第2線だ、という組み立てです。そしてその機能は「経営陣が設置した」ものである、という限定も入っています。以下では、これをまとめて指すときに「統制・監督の機能」と書きます。

そして2013年版で重要なのは、第2線の限界を明記していたことです。第2線は統治機関に対して真に独立した分析を提供することはできない、と書かれています。

2020年版。第2線の記述はこう変わります。

(筆者訳)補完的な専門知識、支援、モニタリング、そしてチャレンジ(異議申立て)。

職能名の列挙は「such as」を伴う例示(法令遵守、統制、情報・技術セキュリティ、サステナビリティ、品質保証)へ移りました。

2026年版。

(筆者訳)第2線は、リスク管理・コンプライアンス・統制の実務を強化するために、専門的な知識、支援、モニタリング、そしてチャレンジを提供することを役割とする。

2020年版と比べると、complementary(補完的な)が specialized(専門的な)に変わった1語差です。

つまり「2026年の改訂で第2線が監視から支援へ移った」という読み方は、原文からは出てきません。その移動は2020年版で既に完了していました。2013年の「統制・監督の機能」から2020年の「専門知識・支援・モニタリング・チャレンジ」への移行が断絶であり、2026年版はその定義をほぼそのまま引き継いでいます。

Marks氏は2026年版について「例示がない」と書いていますが、ここにも修正が要ります。定義文とエグゼクティブ・サマリーからは消えましたが、Part IIの解説(p.17)にはコンプライアンス、サイバーセキュリティ、安全、金融犯罪、オペレーショナルリスクという例示が残っています。

彼の批判の方向は妥当だと考えています。ただ、根拠として挙げられた文言の変遷は、原文と合っていません。

原文で言えることは別にあります。2013年版が定義の中に置いていた「第2線は独立した分析を提供できない」という限界の明示が、2026年版では定義文から消え、Part IIの表の中に「設計上、独立していない(Not independent (by design))」という注記として残っている、という後退です。

この移動が何を意味するか、以下のとおり整理します。

第2線は、経営陣が設置し、経営陣に報告します。だから経営陣の意向に反する分析を、取締役会へそのまま届ける立場にありません。これは担当者の資質の問題ではなく、設計上そうなっている ── 原典が「by design」と書いているとおりです。

ここから2つ出てきます。ひとつは、取締役会が「第2線が見ています」という報告だけで安心してよい根拠は、原典のどこにもないということ。もうひとつは、第3線(内部監査)に独立性が要求される理由が、まさに第2線が構造的に独立でないことにある、ということです。3線が「3つあるから安心」ではなく「2線では届かないものがあるから3線が要る」と読まれるべき理由が、ここにあります。

2013年版は、その限界を定義の中に置いていました。定義を読む人は、必ずそこを通りました。2026年版では、後ろの表まで読み進めた人だけが気づきます。限界の明示が、最初に読む場所から、後ろの解説へ動いたことで、変わったのは言葉ではなく、読み手が何を最初に受け取るかということになると思います。

分類のための道具が、分類できなくなるとき

定義が「専門知識、支援、モニタリング、チャレンジ」まで抽象化されると、境界の判定が難しくなります。

以下は、Marks氏が「この定義では線が引けなくなる」ことを示すために挙げた例です。IIAの公式見解ではありません。また、後で触れるとおり、日本の実務感覚とは前提がずれている部分があります。そのつもりで読んでください。

1. 生産ラインの監督者は、現場に専門的な助言と監視を提供しています。Marks氏は、これが2026年版の定義(専門的な知識、支援、モニタリング、チャレンジ)にそのまま当てはまってしまう、と指摘します。日本の実務でも、事業部門・現場は第1線です。誰が見ても第1線であるはずの役割を、定義が排除できていない、ということになります。

2. 情報セキュリティ部門は、自らアクセス制御を設計し運用する第1線の性格と、他部門に専門的支援を与える第2線の性格を同時に持っています。

3. CFOが投資案件のROI分析を経営会議に提供することと、リスクマネジャーがリスク情報を提供することは、機能として何が違うのか。

この3つは、日本の実務感覚にはそのまま馴染みません。日本ではCFOも情報セキュリティ部門も、線引きの議論はもっと具体的な組織の話として決着していることが多い。ただ、その感覚の違い自体が興味深いとも思っています。同じモデルを使いながら、どこに線を引くかの直感が国によって違う。ここは別の稿で扱うつもりです。

本稿で採るのは、例そのものではなく、例が示している一点です。定義が抽象化されるほど、当てはまらないものが減っていく。

分類のための道具は、分類できなくなった時点で、道具としての役目を終えます。

Marks氏のブログ記事のコメント欄には、実務家からの指摘も寄せられています。内部監査がアシュアランス提供者間の調整役を担うというモデルの記述について、多くの組織ではそれが「事実ではなく野心(aspirational and not factual)」であり、ロードマップと責任の所在がないまま掲げれば後で問題を生む、という指摘です。

ただし2026年版自身は、予防線を張っています。内部監査の関与は調整と統合の支援に限り、第2線業務の所有は避けるべきだと明記し(p.15)、それでも第2線の責任を担う場合には「これは直接的な自己レビューの脅威を生むことを認識したうえで」慎重に検討し、定期的に再評価し、完全に透明にすべきだと書いています(p.21)。

日本の実務でも、建前としてはこの線は引かれています。内部監査部門がリスク管理も所管するという規程を、正面から掲げている会社は多くありません。線が溶けるのは、たいてい有事です。重大な事故や不祥事が起きたとき、調査も是正も監査部門が引き受け、そのまま平時の所管として残る。原典が条件を付けているのは、まさにこの局面です。

批判が当たるのは、この予防線が現場でどこまで効くか、という点です。

ここまでが、原典で確認できることです。2013年から2026年までに何が変わり、何が変わっていないか。

残るのは、日本側の問いです。この枠組みは、日本にどう輸入されたのか。そして、当局はそれをどう見ていたのか。後編で、日本の公的文書を原文で追います。そこには、輸入された枠組みが「体制の設計図」へ変質していく過程が記録されており、同じ道をたどったもう一つの規範 ── コーポレートガバナンス・コード ── の話につなげます。

お知らせ

📮 ニュースレター『コンプライアンスの地図』(毎号、noteに書かなかった編集後記つき):

🎧 ポッドキャスト『BookSide』(中央経済社の編集者と、実務の話を):

▶️ YouTube「コンプライアンスの地図」(記事の音声版):