水戸です。
「リスク管理の体制はどうなっていますか」と尋ねると、多くの会社で同じ図が出てきます。第1線、第2線、第3線。あの3つの箱です。
その元になっているThree Lines Modelを、内部監査人協会(IIA)が今年7月に改訂しました。これを機に2013年・2020年・2026年の原文を読み比べたところ、自分が説明に使ってきた前提のほうが揺れました。
2013年の初版は、自らを「ガバナンス・フレームワーク」だと名乗っていません。統治の枠組みは別にある前提で、その中の役割分担を照らす補助線として自分を位置づけています。ところが2026年版は「原則ベースのフレームワーク」と自称する。補助線として出発したものが、フレームワークを名乗るようになりました。
そして2013年版が定義の中に置いていた「第2線は統治機関に対して真に独立した分析を提供できない」という限界の明示が、2026年版では後ろの表の注記に下がっています。
変わったのは言葉ではなく、読み手が最初に何を受け取るか、でした。
▼記事はこちら
編集後記
この記事、本領域で著名なMarks氏の1線のとらえ方と日本の実務の乖離があり、読み解き・理解に苦労しました。
2013年版の図に並ぶ6つの職能名(財務統制、セキュリティ、リスク管理、品質、検査、コンプライアンス)を挙げて、これらが第1線の中に埋まっていることが多いとされていたところなど。財務統制は経理部の一機能で、品質は品質保証部にあるが製造の指揮系統の下にあり、これらを一線と整理しています。
日本だと、事業部門以外の管理部門は二線と整理することが一般的ですよね。
ただ、この乖離自体が面白いとも思っています。同じモデルを使いながら、どこに線を引くかの直感が国によって違う。英語圏は機能の性質で線を引き、日本は組織の所属と指揮系統で線を引いているのではないか ── そう考えると、モデルの弱点が現れる場所も国によって違ってくるはずです。
これは記事にせず、次の宿題として置いてあります。
原典を読むと、自分の説明が再確認でき修正される。今回はそういう回でした。
ーーーーーーーーーー
このメールには返信できます。感想・異論・「うちの会社ではこうだった」という実例、どれも歓迎です。
水戸貴之/note『コンプライアンスの地図』
このレターが役に立ちそうな方がいたら、転送してあげてください。登録ページ: compliance-map.beehiiv.com