3ラインモデルの第2ラインって誰？専門部署がない会社で考えてみよう
「3ラインモデル」って、聞いたことありますか？
CIAの勉強をしていると出てくる、組織の役割分担を整理する考え方です。
……じゃあ、第2ラインって誰？
ここで少し迷いませんか？ 説明を読んでみると、今度はこんな疑問も。
そう読みたくなりますよね。「経営陣」と聞くと、私も社長や役員を思い浮かべます。
でも、3ラインモデルでいうマネジメントには、現場で仕事を進める役割と、リスク管理を専門的に支える役割の両方が含まれます。
「社長」と答えたら必ず間違い、という話ではないよ。ただ、肩書きだけでは決められないんです。その人が何をしているかを見てみよう。
1・2・3は、偉い順でも、対応する順番でもないよ。仕事の「役割」を分けたものです。
まずは図で。第2ラインはどこにいる？
取締役会など
↑ 状況を報告する
業務とリスクを管理する側
↑ 直接報告する
評価・助言
第1・第2ラインの仕組みも評価対象
社長・経営陣と、取締役会はどう違う？
経営陣は事業を動かす側。取締役会などは、その経営を監督する側。社長が取締役を兼ねるなど、人が重なっても役割は分けて考えます。
内部監査は、経営陣に都合の悪い結果でも伝えられるよう、監督する主体への直接の報告関係を持ちます。ほかの取締役に話せるだけでなく、監査の範囲や判断に不当な干渉を受けないことも大切です。
取締役会がない組織にも、このモデルは使えます。ただし、経営と監督が同じ人に集中する場合は、内部監査の独立性をどう確保するかが課題になります。
ネットショップの「顧客情報」で考えてみよう
配送会社へ住所データを送る場面です。情報を漏らさず商品を届けるために、こんな仕事があります。
日々の発送を、安全に進める。
安全な扱い方を教え、各部署が守れているか点検する。
発送業務と、個人情報保護担当者の取り組みも評価する。
内部監査も社内の部門で大丈夫。「独立」は、評価する業務の責任を引き受けず、干渉を受けずに判断できることが大切なんだね。
「上司がチェックする」は第2ライン？
ここ、迷いやすいところです。同じチェックでも、何のために行うかが違います。
今回の送信を承認する
→ 自分のチームの業務を管理する第1ライン
各部署の扱い方を専門的に点検する
→ リスク管理を支援・監視する第2ライン
「部下の次にチェックするから第2」ではないんですね。
専門部署がない会社なら、総務の人が個人情報保護の担当を兼ねることもあるよ。ただし、備品の発注まで第2ラインになるわけではありません。
会社によっては、社長自身が専門的な支援・監視の役割を担う場合もあります。第1・第2ラインを兼ねることもあるので、肩書きや部署名より、その仕事の役割を見る。ここが分かると、知らない会社の例でも考えやすくなります。
この仕事、どの役割？ 3問で確認
選択肢をタップしてみてね。「なぜそうなるか」も開くよ。
Q1 上司が承認したら？
営業課長が、顧客に送る見積書の金額と送信先を確認し、送付を承認しました。この確認はどの役割でしょう？
A．第1ライン
B．第2ライン
C．第3ライン
Q2 専門部署がなくても？
総務担当の田中さんが、兼務で各部署に個人情報保護の研修を行い、管理状況を点検しています。この取り組みは？
A．総務なので第1ライン
B．第2ラインの役割
C．点検しているので第3ライン
Q3 第2と第3、何が違う？
個人情報保護の担当者も内部監査も、情報の扱い方を確認しています。第3ラインを見分ける説明として適切なのは？
A．第2ラインより後に確認する
B．独立した立場で、管理の仕組みを評価する
C．社外の人が確認する
「誰の下にいる？」より「何の役割で確認している？」。この一言を持って、問題に戻ってみてくださいね。
具体例になると迷うところは、CIAの学習相談でも一緒に整理しています。
参考：IIA「3ラインモデル」原則3〜5・役割の説明。図・業務例・練習問題は理解を助けるために作成しています。