ITガバナンス・内部統制・リスク評価重要度:★★★出題: AM2・PM1・PM2

3ディフェンスライン（3ラインモデル）

すりーでぃふぇんすらいん / Three Lines Model (Three Lines of Defense)

組織のリスク管理と内部統制の役割を「第1線（現業・システム部門）」「第2線（リスク管理・セキュリティ・品質管理部門）」「第3線（内部監査・システム監査部門）」の3層で整理した統治モデルです。

3行速習ポイント

組織のリスク管理と内部統制の役割を「第1線（現業・システム部門）」「第2線（リスク管理・セキュリティ・品質管理部門）」「第3線（内部監査・システム監査部門）」の3層で整理した統治モデルです。
システム監査人は第3線として、第1線の自律的統制と第2線の牽制・モニタリング機能が有効に働いているかを独立した立場から評価します。
試験対策：午後II小論文（IT組織の役割変更や他部門のリスク評価利用など）で、第2線（PMO・CISO室・品質管理部）と第3線（システム監査）の役割分担を明確にする際に極めて有効です。

図解

図3ディフェンスライン（3ラインモデル）におけるリスク管理と監査の構造階層・レイヤ構造

第1線（現業）・第2線（管理・牽制）・第3線（独立監査）の責務境界

第3線：独立監査

第3線：内部監査・システム監査部門

独立かつ客観的な立場からの保証（Assurance）と助言

業務執行から完全に独立し、第1線および第2線のリスク管理・内部統制が有効に機能しているかを検証して経営陣・取締役会へ直接報告する。

⇅ レイヤ間連携・制御境界

第2線：管理・牽制

第2線：リスク管理・セキュリティ・品質管理・PMO部門

全社規程・管理基準の策定と横断的モニタリング・支援

情報セキュリティ規程や開発標準を策定し、第1線の遵守状況をモニタリング・指導・ゲート審査する専門的リスク管理機能を担う。

⇅ レイヤ間連携・制御境界

第1線：現業・実行

第1線：事業部門（システムオーナ）・IT開発運用部門

リスクオーナーとしての日常的業務遂行と自己統制の実装

システムを利用した業務の遂行やシステムの開発・運用を直接担い、承認手続・アクセス管理・テスト等の内部統制を現場で実行する。

💡 午後試験では「第2線（品質管理部やセキュリティ委員会）による審査が形骸化していないかを、第3線のシステム監査人がどう検証するか」が問われます。

概要と本質

組織のリスク管理と内部統制の役割を「第1線（現業・システム部門）」「第2線（リスク管理・セキュリティ・品質管理部門）」「第3線（内部監査・システム監査部門）」の3層で整理した統治モデルです。システム監査人は第3線として、第1線の自律的統制と第2線の牽制・モニタリング機能が有効に働いているかを独立した立場から評価します。

重要ポイント・コア概念

第1線（事業部門・開発運用部門）による日常的なリスク所有・内部統制の実行と、第2線（リスク管理・法務・情報セキュリティ部門）による全社基準策定・横断的監視
第3線（システム監査部門）による、第1線および第2線から独立した客観的な保証と改善助言の提供
定量的効果・監査目標例：第2線（品質管理部）のゲート審査機能と第3線（システム監査部）の独立検証の役割分担を明確化し、重大プロジェクト障害の発生件数を前年比60%削減