Модель трьох ліній захисту

Що це означає

Модель трьох ліній, спочатку модель трьох ліній захисту, - рамка розподілу завдань у сфері управління ризиками й внутрішнього контролю. Її просуває Інститут внутрішніх аудиторів, і вона застосовується в банках, страхових компаніях і великих фірмах. Мета - щоб було зрозуміло, хто володіє ризиками, хто наглядає за ними і хто незалежно перевіряє, що система працює.

Першу лінію утворюють операційні підрозділи та їхні керівники, які створюють ризики й управляють ними в повсякденній роботі: налаштовують процеси, затверджують операції, застосовують розподіл обов'язків. Другу лінію утворюють функції управління ризиками, комплаєнсу, контролінгу чи інформаційної безпеки, які встановлюють правила, дають методику й стежать, чи правильно діє перша лінія.

Третю лінію утворює внутрішній аудит, який незалежно оцінює, чи ефективно працюють перші дві лінії. Він звітує безпосередньо вищому керівництву й органам нагляду, наприклад комітету з аудиту чи наглядовій раді. Зовнішній аудитор і регулятори перебувають поза організацією й іноді вважаються додатковою лінією.

Як це працює на практиці

У невеликій фірмі не обов'язково створювати окремі підрозділи для кожної лінії. Але принцип діє: хто здійснює операції, не повинен сам їх контролювати, і хтось незалежний має час від часу перевіряти, чи працюють правила. Другою лінією може бути фінансовий директор чи зовнішній консультант, третьою - зовнішня перевірка чи внутрішній аудит на замовлення.

Під час впровадження радимо скласти карту основних ризиків фірми й щодо кожного визначити, хто його власник у першій лінії, хто встановлює правила й відстежує показники в другій і як часто його перевіряє третя. Результат - зрозуміла матриця відповідальності, яка не допускає ситуації, коли ризиком ніхто не займається.

Оновлена модель 2020 року робить менший наголос на захисті й більший - на співпраці. Лінії не мають працювати як ізольовані силоси, а мають спілкуватися й обмінюватися інформацією. Керівництво й наглядові органи відповідають за те, щоб рамка загалом відповідала розміру й ризикам фірми.

На що звернути увагу

Часта помилка - перетин і плутанина в завданнях. Якщо друга лінія починає сама ухвалювати рішення першої, вона втрачає незалежність, і відповідальність розмивається. Так само внутрішній аудит, який проєктує й впроваджує процеси, не може потім незалежно їх оцінювати. Кожна лінія має мати чітко визначену роль.

Модель не працює, якщо керівництво сприймає її як формальність. Звіти другої й третьої лінії мають вести до рішень і коригувальних заходів, виконання яких відстежують. Якщо висновки з року в рік повторюються без змін, система не захищає фірму, а лише створює паперовий слід.