Model troch línií

Čo to znamená

Model troch línií, pôvodne nazývaný model troch línií obrany, je rámec na rozdelenie úloh v oblasti riadenia rizík a internej kontroly. Vychádza z neho Inštitút interných audítorov a používa sa v bankách, poisťovniach aj vo väčších firmách. Jeho cieľom je, aby bolo jasné, kto riziká vlastní, kto na ne dohliada a kto nezávisle overuje, že systém funguje.

Prvú líniu tvoria prevádzkové útvary a ich manažéri, ktorí riziká vytvárajú a riadia v každodennej práci: nastavujú procesy, schvaľujú transakcie, uplatňujú oddelenie povinností. Druhú líniu tvoria funkcie ako riadenie rizík, compliance, kontroling či informačná bezpečnosť, ktoré stanovujú pravidlá, poskytujú metodiku a sledujú, či prvá línia postupuje správne.

Tretiu líniu tvorí interný audit, ktorý nezávisle hodnotí, či prvé dve línie fungujú účinne. Podáva správy priamo najvyššiemu vedeniu a orgánom dohľadu, napríklad výboru pre audit či dozornej rade. Externý audítor a regulátori stoja mimo organizácie a niekedy sa označujú ako doplnková línia.

Ako to funguje v praxi

V menšej firme nie je nutné budovať samostatné oddelenia pre každú líniu. Princíp však platí: kto robí transakcie, nemá ich sám kontrolovať, a niekto nezávislý by mal občas preveriť, či pravidlá naozaj fungujú. Druhú líniu môže tvoriť finančný riaditeľ či externý poradca, tretiu externá previerka alebo interný audit na objednávku.

Pri zavádzaní odporúčame zmapovať hlavné riziká firmy a pri každom určiť, kto je jeho vlastníkom v prvej línii, kto stanovuje pravidlá a sleduje ukazovatele v druhej línii a ako často ho preverí tretia línia. Výsledkom je prehľadná matica zodpovedností, ktorá predchádza tomu, že riziko nemá nikto na starosti.

Aktualizovaný model z roku 2020 kladie menší dôraz na obranu a väčší na spoluprácu. Línie nemajú fungovať ako oddelené silá, ale komunikovať a zdieľať informácie. Vedenie a dozorné orgány zodpovedajú za to, že rámec ako celok je nastavený primerane veľkosti a rizikám firmy.

Na čo si dať pozor

Častou chybou je prekrývanie a zmätok v úlohách. Ak druhá línia začne sama robiť rozhodnutia prvej línie, stráca nezávislosť a zodpovednosť sa rozmazáva. Rovnako interný audit, ktorý navrhuje a zavádza procesy, ich potom nemôže nezávisle hodnotiť. Každá línia má mať jasne vymedzenú úlohu.

Model nefunguje, ak ho vedenie berie ako formalitu. Správy druhej a tretej línie musia viesť k rozhodnutiam a nápravným opatreniam, ktorých plnenie sa sleduje. Ak sa zistenia opakujú rok čo rok bez zmeny, systém nechráni firmu, len vytvára papierovú stopu.