日本は、それを「設計図」として輸入した ── 3線ディフェンスと「体制」の話

前編では、3線ディフェンスモデルの原典を3世代さかのぼり、2013年版が自らを「ガバナンス・フレームワーク」すなわち「設計図」と名乗っていなかったこと、第2線の定義が薄まった断絶は2026年でなく2020年に起きていたこと、そして「第2線は独立していない」という限界の明示が定義文から後ろの注記へ下がったことを確認しました。

後編は、日本側の話です。この枠組みは、どう輸入されたのか。当局はそれをどう見ていたのか見ていきます。

内部統制システムを「構築する手段」として入ってきた

経済産業省「グループ・ガバナンス・システムに関する実務指針」(2019年6月28日策定・全142頁。通称グループガイドライン)の4.6.1は「3線ディフェンスの重要性」と題し、こう書いています。

続けて「グローバルスタンダードとしても確立された、内部統制システムの構築・運用のための実効的な手段」と位置づけ、巻末の参考資料16には「3線ディフェンス」の運用例として体制図も添付されています。

金融庁のJ-SOX実施基準(令和5年4月7日改訂)は「体制整備の考え方には、例えば、3線モデルが挙げられる」と例示しました。企業の開示では「三つの防衛線による管理体制」という書き方が並ぶ例が多く見られます。

呼び名を並べると、揺れが見えます。経産省は「3線ディフェンス」、金融庁は「3線モデル」、IIA日本の公式訳は「3ラインモデル」、企業開示は「三つの防衛線」。経産省の同一文書の中ですら「3線ディフェンス」と「3ラインディフェンス」が混在しています。呼び名が揃わないまま、それは「体制」として据え付けられました。

ここで、ひとつ立ち止まる必要があります。

日本での位置づけは「内部統制システムの構築・運用のため」のものです。これに対して原典が自分について書いていたことは、2つありました。前編で見たとおりです。

ひとつは、目的の規定。

(筆者訳)3線ディフェンス・モデルは、本質的な役割と責務を明確化することによって、リスク管理と統制に関するコミュニケーションを改善する、単純かつ効果的な方法を提供する。

もうひとつは、置かれる場所の規定。

(筆者訳)これら3つの「ライン」はそれぞれ、組織のより広いガバナンス・フレームワークの中で、固有の役割を果たす。

日本の「内部統制システムの構築・運用のため」は、この2つと矛盾するでしょうか。順に見ると、答えは分かれます。

まず、置かれる場所のほうから。こちらは矛盾とは言えません。
日本には、取締役会に内部統制システムの整備を決定させる条文があります。会社法362条4項6号は、「取締役の職務の執行が法令及び定款に適合することを確保するための体制その他株式会社の業務並びに当該株式会社及びその子会社から成る企業集団の業務の適正を確保するために必要なものとして法務省令で定める体制の整備」を、取締役に委任できない取締役会の専決事項として挙げています。同条5項は、大会社である取締役会設置会社にこの決定を義務づけています。具体的な体制の中身は、会社法施行規則100条が定めています。

つまり内部統制システムの整備は、取締役会の責任として法定されている。統治の仕組みの中に置かれています。そこへ「内部統制システム構築のための手段」として3線を置くことは、原典の「統治の枠組みの中での役割分担」という位置づけと、素直に読めば重なります。輸入の際にガバナンスから内部統制へすり替えられた、という単純な図式は成り立ちません。

ただし、ひとつ確認しておきたいことがあります。「内部統制はガバナンスの一部である」という関係を、日本の公的文書は明示していません。

金融庁の企業会計審議会がJ-SOX実施基準の改訂にあたって出した意見書(令和5年4月7日)は、内部統制・ガバナンス・全組織的なリスク管理の三者について、こう整理しています。

包含ではなく、並列に置いて「一体的に」と述べる書き方です。私が確認した範囲では、内部統制をガバナンスの部分集合として定義した公的文書は見当たりませんでした。

これは細かい話に見えて、実は効いています。原典は「より広い枠組みの中で」と言いました。日本では、その「より広い枠組み」の輪郭が公的には引かれていない。だから3線を置く先として、法定されていて輪郭のはっきりしている「内部統制システム」が選ばれた ── そう読むほうが、実態に合います。

すり替えではなく、受け皿の問題です。曖昧なほうではなく、輪郭のあるほうへ寄ったと整理できそうです。

残るのは、もうひとつの規定 ── 目的のほうです。ここは重なりません。

原典が掲げた目的は「役割と責務を明確化して、リスク管理と統制に関するコミュニケーションを改善する」ことでした。経産省は「内部統制構築・運用のための実効的な手段」と書き、体制図も添えています。

すなわち、原典は、参照するための補助線です。日本で流通しているのは、導入するための設計図です。 ずれているのは、この軸です。

この差は、実務で何を変えるのかというと、以下のとおりと考えています。

第一に、問いの形が変わります。補助線として使うなら、問いは「役割の重なりと空白はどこか」になります。誰も見ていないリスクはどれか、二重に見ていて非効率なのはどこか。設計図として使うと、問いは「3線になっているか」に変わります。箱が揃っているかどうかの確認です。前者は組織ごとに答えが違いますが、後者はどの組織でも同じ答え(揃っている/いない)になります。

第二に、ゴールが組織改編になります。設計図として読めば、第2線に相当する部署を置いた時点で一区切りがつきます。実際には、部署を置くことと、その部署が第1線から独立して機能することは別です。前編で見たとおり、原型が想定していた第2線は「経営陣が設置した、リスクの統制とコンプライアンスの監督にあたる機能」であり、第1線から分離されていることが前提でした。箱を描いても、指揮系統は変わりません。

第三に、モデルに載らない機能を「何線か」で議論しはじめます。危機対応の調査、グループ子会社の統制、新規事業の与信判断 ── これらを3つの箱のどこに入れるかという分類の議論に時間が使われます。分類が決まっても、誰がどう判断するかは決まりません。前編で見た「分類の道具が分類できなくなる」問題は、日本では別の形で現れます。分類できないものを、無理に分類しようとするのです。

第四に、そしておそらく最も重いのが、対外説明が完了の印になることです。有価証券報告書やコーポレート・ガバナンス報告書に「三つの防衛線による管理体制を構築している」と書ける。監査や検査で体制図を出せる。説明ができた時点で、検討が終わります。

なお、この「グループ・ガバナンス・システムに関する実務指針(グループガイドライン)」の脚注73(p.78)は、当時IIAで改訂作業が進んでいることを認識していました。改訂案ではリスク管理にとどまらず企業価値の向上や先見的な対応にも重点が置かれる予定である、と好意的に紹介しています。そのうえで本文では、従来の「3線ディフェンス」を内部統制システム構築の手段として位置づけました。改訂の方向を知らなかったわけではありません。

当局は、釘を刺していた

より重い事実があります。金融庁「コンプライアンス・リスク管理に関する検査・監督の考え方と進め方」(2018年10月)のp.7、脚注3です。

区分して態勢を整えること自体を目的にするな。役割は定型的・形式的に考えなくてよい。当局は2018年の時点で、そう書いていました。

ただ、この脚注を引き合いに出す社内資料に、自分はほとんど出会ったことがありません。引かれるのは、いつも本文の3つの箱のほうです。警告が本文でなく脚注に置かれていたことは、おそらく効き方に影響しています。

そして実務の側の書きぶりは「三つの防衛線による管理体制」という形で定着しました。これは規制が過剰を強いた話ではありません。現場が自ら形式を求めた話です。何をどこまでやれば十分かが曖昧なとき、人は権威のある枠に当てはめることで拠り所を得ようとします。当てはめた瞬間に説明はできるようになり、そこで検討が止まる。

ひとつ補足しておきます。経産省の指針は第2線を「事業部門の支援と監視」と書いており、2019年の時点で既に「支援」を含んでいます。日本が監視一辺倒で輸入した、という単純化は原文に照らして成り立ちません。落ちたのは「支援」の語ではなく、「これは説明のための道具だ」という用途の限定のほうです。

同じことが、コーポレートガバナンス・コードでも起きてきた

ここまでは、3線モデルの話でした。ただ、同じ経路をたどった規範は、他にもあります。しかも、こちらも輸入されたものです。

コーポレートガバナンス・コードは2015年3月、原案の段階で自らの方法をこう宣言していました。

続く項では、法的拘束力を持つ規範ではなく「コンプライ・オア・エクスプレイン」(実施するか、実施しない場合は理由を説明するか)の手法を採ることも明記されています。

細かく決めない。各社が自分の状況で考える。この点で、コードは3線モデルと同じ性格を持って出発しました。どちらも、答えを与える文書ではなかった。

10年後、当局自身が総括を書いています。改訂の検討を始めた有識者会議の第1回で、金融庁の事務局資料(2025年10月21日)はこう述べました。

そして2026年4月10日、金融庁と東京証券取引所がコードの改訂案を公表しました(意見募集は同年5月15日まで。本稿執筆時点で確定版は公表されていません)。改訂の狙いは、当局の言葉ではこう書かれています。

「立ち返る」。原則主義で始めたはずのものが、そうでなくなっていたことを、書き手自身が認めた表現です。

改訂案の中身は「プリンシプル化」と「スリム化」です。補充原則という階層を廃し、中核となるものは原則へ格上げし、重複は削除する。私が改訂案の全文で原則の見出しを数えたところ、基本原則4・原則26の計30でした(現行は基本原則5・原則31に、これとは別に補充原則が加わる構成です)。規範の書き手が、自分で積み上げたものを削る側に回っています。

3線モデルと重ねると、構造が同じです。詳細を決めない規範として始まり、使われる過程で「在るか/揃っているか」を確認する形式へ寄り、10年前後たって書き手が見直しに入る。

コードもまた、海外の枠組みを踏まえて作られた規範です。つまり両方とも輸入されたものであり、両方とも同じ道をたどった。ただ、「輸入したから歪んだ」という説明では足りないと考えています。プリンシプルで書かれた規範が、使われるうちに確認事項の一覧へ寄っていく ─ この力学のほうが、出自よりも効いています。

そのうえで、削り方には違いがあります。3線モデルの場合、IIAは第2線の定義を抽象化する方向へ動きました。前編で見たとおり、限界の明示はむしろ後ろへ下がっています。コードの場合は、当局が原則の数そのものを減らす方向へ動いた。片方は定義の具体性を削り、もう片方は要求事項の量を削っています。

この違いは、結果として逆を向きます。定義の具体性を削ると、当てはまる範囲が広がります。前編で見たとおり、第1線の役割まで第2線の定義に入ってしまう。道具としては鈍ります。要求事項の量を削ると、残ったものの重みが増します。何をどこまでやるかを、各社が自分で考える余地が返ってくる。

同じ「引き算」でも、道具を鈍らせる引き算と、考える余地を返す引き算があります。薄くしたかどうかより、何を薄くしたかを見る必要があります。

ひとつ、留保を付けておきます。改訂案では「解釈指針」が新設されました。原則の内容を抽象的なものに限定したうえで、実効的な実施を支援する具体的な内容や趣旨・背景を別に記載する、という構成です。解釈指針そのものはコンプライ・オア・エクスプレインの対象外とされています。

形式上、遵守を求められる事項は増えていません。ただ、実務がそれを読まずに済むかというと、おそらく読みます。原則を削り、解釈を別の場所に置いた。この構成が「実質化」に効くのか、それとも参照すべき文書が一つ増えただけになるのかは、運用が決めることになります。

なお、当局の文書に「チェックリスト化」という表現は見当たりませんでした。当局が使っているのは「形式的なコンプライ」「形式的な遵守」です。ここは私の言い換えではなく、当局の語に寄せておきます。

問いを変える

Marks氏の記事は、ひとつの問いで閉じられます。

(筆者訳)そのモデル ── 文脈からいえば、改訂された3線モデルのことです ── は、取締役会や経営陣の、どの行動と判断を変えるのか。

この問いは、3線に限りません。規程を整えたか、委員会を設置したか、体制図を描いたか ── どれも「在るか」を問う質問です。それに対して「どの判断が変わったか」は、効いているかを問う質問です。組織図の3つの箱が、去年どの意思決定を止め、どの投資の順序を変えたのか。答えられないなら、その箱は説明のための図として機能しているだけ、ということになります。

モデルが定義しないもの

ここで、モデルの構造そのものについて考えます。

2026年版の第2線は「専門知識、支援、モニタリング、チャレンジ」を提供し、第3線は「独立・客観的なアシュアランスと助言」を提供します。表現は違いますが、どちらも実体は第1線と経営に向けたフィードバックです。第2線は現場へ、第3線は取締役会と経営陣へ、それぞれ「見えていないこと」を返す。

モデルは、誰が誰に報告するかを定義します。定義しないのは、いかに、その報告が歪まずに届き、受け手の行動を変えるかどうかです。

この点について、Bin Zhao、Fernando Olivera、Amy C. Edmondsonが Harvard Business Review に寄せた「Great Leaders Know Which Emotions Their Feedback Will Trigger」(2026年7月13日)が参考になります。フィードバックの成否を決めるのは情報の質ではなく、受け手の注意がどこへ向かうか、という指摘です。

同じ指摘でも、受け手には2通りの受け取り方があります。ひとつは「自分の仕事の質を疑われた」という受け取り方。このとき注意は、自己正当化と、責任の所在の説明へ向かいます。もうひとつは「業務の品質を上げる材料をもらった」という受け取り方。今度は、注意がプロセスの改善へ向かう。

同じ人物が同じ内容を伝えても、どちらになるかは変わります。なぜか。指摘は、内容そのものであると同時に「相手が自分をどう見ているか」の合図でもあるからです。受け手はまず、どちらの合図なのかを読む。そしてその読み取りを左右するのが、過去のやり取りの記憶でした。

第2線の実務に引き寄せると、こうなります。同じ「この取引は要件を満たしていない」という指摘でも、監査や検査への対応という文脈で来れば、現場は身構える。日頃から一緒に案件を通してきた相手から来れば、直し方の相談になります。中身は同じで、変わっているのは文脈だけでした。

3線が効いているかどうかは、ここで決まります。不都合な事実が、取締役会や監査委員会まで上がるか。上がった先で、受け止められ、判断が変わるか。そしてこの2つは、「悪い報告をしても、報告した人が損をしない」という前提の上にだけ成り立ちます。

3線モデルは報告の経路を描きます。その経路を通った報告が、受け手にどう受け取られるかは描きません。「どの判断を変えたか」という問いに答えられないとき、まず点検すべきなのは、箱の配置よりもこちらです。

責める話ではない

ここまで、3線が説明のための図になっている、と書いてきました。ただし、この評価が向いている先は仕組みです。第2線で働く人たちの仕事とは、分けて考えたい。

形式に寄ったのは、仕組みの側でした。その仕組みの中で、実際にリスクを見つけ、案件を止め、後から効いてくる指摘を残してきた人たちがいます。「3線は形骸化している」という一言は、その人たちの働きまで、まとめて片づけてしまいます。

第2線のチャレンジが効くかどうかは、担当者の力量と、組織の文脈の両方で決まります。力量は実際に効きます。同じ会社でも、通せる人と通せない人がいる。データの持ち方、伝える相手の選び方、タイミング、日頃の関係 ── これらは技術であり、磨けば通る確率は上がります。

ただ、力量で押し切れる範囲には天井があり、その天井の高さを決めているのは組織の側です。過去に悪い報告をした人がどう扱われたか。反対意見を出した担当者がその後どうなったか。その記憶が、次の指摘の通りやすさを決めます。天井が低い組織では、優秀な担当者が消耗するだけで終わります。

だから「担当者を替える」「研修を受けさせる」で止めると、天井は動きません。逆に、組織の文脈だけを問題にして個人の技術を軽んじれば、明日の一件は通らないままです。どちらも要る、というのが実務の答えだと考えています。

同じ理由で、「第2線は不要だ」という短絡的結論も採りません。専門的な調停機能を現場に置くことには意味があります。問うべきなのは、その機能を置いたかどうかではなく、置いた機能が実際にどの判断を変えたか、そして変えられる条件が組織にあるか、です。

IIAの改訂が示したのは、モデルの限界というより、モデルに期待しすぎることの限界だと考えています。3つの箱は、役割分担を説明する道具として作られました。道具を組織図に据え付けても、報告が届く組織にはなりません。

自分も、この図を何度も描いてきました。描いた図が、その会社のどの判断を変えたのか。そこを、まず自分に問い直しています。

そこにこそ、しっかりと時間を使って、多くの方とたくさん議論しながら、真剣に、さらに望むらくは楽しんで取り組んでいければと思っています。

お知らせ

📮 ニュースレター『コンプライアンスの地図』(毎号、noteに書かなかった編集後記つき):

🎧 ポッドキャスト『BookSide』(中央経済社の編集者と、実務の話を):

▶️ YouTube「コンプライアンスの地図」(記事の音声版):