三線管理（スリー・ライン・モデル） | デリバティブ・コンパス

三線管理（スリー・ライン・モデル）は、金融機関が、リスクの管理と牽制の役割を、業務を担う第一線、リスクの管理を支える第二線、独立して確かめる第三線（内部監査）に分ける考え方です。統治機関（取締役会など）がこれらの報告と確認を受けて、組織全体を監督します。

三線管理は、リミットの管理や新商品の審査、内部監査への対応で、各部署の責任の置き方を整理するときに出てくる考え方です。

三線管理とは何か

デリバティブを扱う金融機関で、フロントのトレーダーの持ち高が、割り振られた上限（リミット）に近づく架空の例で考えます。持ち高を上限に収める責任は、フロントにあります。リスク管理部門は状況を見守り、必要なら異議を唱え、経営陣に報告します。後日、内部監査部門が、上限の設定、見守り、報告の仕組みが働いていたかを確かめ、結果を伝えます。この 3 つの立場が、第一線、第二線、第三線です。実際の手続は金融機関ごとに違います。

三線管理（スリー・ライン・モデル）は、リスクを管理する責任を業務の現場に置いたまま、それを支える役割と、管理が働いているかを独立して確かめる役割を、別に用意する考え方です。経営管理者は、第一線と第二線を合わせた呼び名です¹。統治機関は、経営管理者からの報告と、内部監査からの独立した保証と助言に頼って、組織を監督します²。統治機関は、組織が成功することについて、利害関係者に責任を負う立場の人々で、金融機関では取締役会などが当たります³⁴。

内部監査人協会（IIA）の「３ラインモデル」の 2020 年版では、あらゆる組織に当てはまるモデルが 4 つの点で最適化されます。その 1 つが、リスク・マネジメントを「ディフェンス」（防御）と価値の保全にとどめず、目標の達成や価値の創造への貢献にも向けることです⁵。

統治機関と 3 つの線の役割

三線管理では、統治機関の下で、経営管理者が第一線と第二線の役割を担い、内部監査が第三線を担います。図 1 は、責任の委任と報告の流れを示します。

図 1統治機関、3 つの線、外部の保証提供者の関係

図の説明

この図は役割の関係を示すもので、組織図ではありません。

「線」は組織図上の階層ではなく、役割の区別です。第一線、第二線、第三線の番号は業務の順序を表さず、すべての役割が同時に働きます⁶。

役割	担うもの	主な役割
統治機関	組織が成功することについて、利害関係者に責任を負う立場の人々（金融機関では取締役会など）	組織のリスク・アペタイトを決め、リスク・マネジメントを監督する¹
第一線	経営管理者のうち、顧客への商品とサービスの提供に直接つながる役割	活動と資源の活用を指揮して、リスクの管理を含めて目標を達成する¹
第二線	経営管理者のうち、リスクの管理を支える役割	リスクの管理に関する専門知識、支援、モニタリングを提供して異議を唱え、リスク・マネジメントの妥当性と有効性を分析して報告する¹
第三線	内部監査	ガバナンスとリスク・マネジメントが妥当で有効かどうかについて、独立して客観的な保証と助言を、経営管理者と統治機関に伝える¹
外部の保証提供者	組織の外の提供者	法規制の期待を満たすためや、経営管理者と統治機関の要求を満たすために、追加の保証を提供する¹

統治機関は、経営管理者に責任と資源を委ね、独立した内部監査機能を置いて監督します¹。第一線は、統治機関に成果とリスクを報告し、業務とリスクを管理する構造とプロセスを維持します¹。

取締役会は、戦略、リスク・アペタイト、リスク管理方針を決めます⁷。リミットの考え方と運用は、リミットの体系で扱います。

第二線がある場合でも、リスクを管理する責任は第一線の経営管理者に残ります⁸。第二線の役割には、法規制や倫理的な行動の遵守、内部統制、IT セキュリティなど、リスク・マネジメントの特定の目標に絞るものと、全社的なリスク・マネジメントのように広い責任を持つものがあります⁸。

独立性はどこまであるか

独立性が決定的な特徴なのは第三線です。第二線は経営管理者の一部で、報告経路にかかわらず、経営管理者から完全に独立することはありません⁹。

IIA は、内部監査の独立性が成り立つ条件として、統治機関に説明責任を負うこと、業務に要る人員、資源、データを自由に使えること、監査の進め方に偏りや干渉が入らないことを挙げます⁸。この独立性は、さらに 2 つの点で守られます。経営管理者の責任に属する意思決定や活動を、内部監査が行わないこと。現在か最近まで内部監査が責任を負った業務について、保証を提供しないことです⁹。

たとえば、内部監査部門長が法令遵守や全社的なリスク・マネジメントについて追加の決定責任を負う組織では、内部監査はその業務から独立していません。統治機関が独立した保証と助言を求めるなら、適格な第三者が提供します⁹。

第二線も、独立性を高める設計ができます。第二線から統治機関に第一義的な報告経路を設ければ、第二線の指示と監督を、第一線や経営陣からある程度独立させられます⁹。リスクやコンプライアンスの責任者が統治機関に直接報告する経路を持つことを望む組織があり、規制当局が求める場合もあります¹⁰。一部の組織、特に規制の厳しい金融機関には、十分な独立性を保つ体制づくりが法的に求められるものもあります⁹。ただし、これらの場合でも、リスクを管理する責任は第一線に残ります。

独立していることは、関わりを断つことではありません。内部監査の業務が組織の実情や戦略、運営上のニーズに合うように、内部監査と経営管理者は定期的に交流する必要があります。重複や抜けをなくすため、第一線と第二線の両方と協働し、意思を通わせる必要もあります¹⁰。

デリバティブ業務での当てはめ

デリバティブを扱う金融機関では、フロントを第一線、リスク管理部門とコンプライアンス部門を第二線、内部監査部門を第三線に当てて考えます。次の表は、各部署の役割を三線管理の役割と照らしたものです。部署の呼び名と分け方は金融機関によって違います。

部署	線	三線管理での役割
フロント（営業・トレーディング）	第一線	取締役会が定めたリスク・アペタイトに従ってリスクを取り、収益を得る。リスクの管理の責任は第一線に残る¹¹⁸
バック（事務・決済）	第一線とみる整理がある	取引内容を確かめ、決済と勘定経理で持ち高と損益を確定して、フロントを牽制する¹²
リスク管理部門（ミドル）	第二線	リスクを包括的に把握して経営陣に報告し、フロントを牽制する¹³
コンプライアンス部門	第二線	法規制と倫理的な行動の遵守という目標に絞って、専門知識とモニタリングを提供する⁸⁴
内部監査部門	第三線	フロント、ミドル、バックのリスク管理のプロセスを検証し、リスク管理全般を牽制する¹⁴

バックを第一線とみる整理は IIA の日本語版の脚注にあり、第一線にフロントもバック・オフィスの業務も含めて考えます¹⁵。

フロント、ミドル、バックの業務の中身は、フロント・ミドル・バックの役割で扱います。

金融機関ごとの違いと呼び方

責任の分け方は、組織によってかなり異なります¹⁸。組織が大きく複雑になるほど、経営管理者の内部で機能の分化と階層化、専門化が進みやすくなります¹⁹。部門、チーム、個人が、第一線と第二線の両方の役割を負う場合もあります¹⁹。バーゼル銀行監督委員会の 2011 年の諸原則は、オペレーショナル・リスクの統制について、3 つの防衛線の構造と活動内容は、銀行によって異なることが多いとしています。違いを生むのは、商品、業務、プロセス、システムの内容、規模、リスク管理の手法です²⁰。

日本銀行の資料（2019 年 9 月）は、同じ部の中にフロント、ミドル、バックの担当を置いてよいかを取り上げています。答えは、市場取引の種類と金融機関のリスクの取り方によるというものです。独立した部署を置きにくいときは、ミドルとバックの担当がフロントを牽制できる工夫が重要です。役員や部長は 3 つを統括する立場なので、牽制の効果は不十分になり、実効性のある監査による補完が必要です²¹。

第三線が第二線の役割の一部を担う場合について、金融庁の 2025 年 6 月の報告書は、次のように整理しています。組織の規模が小さい金融機関では、三線管理の体制を十分に作りにくいと見込まれ、業務の特性から経営陣が内部監査部門に準拠性監査を直接指示する場合も考えられます。そのような場合に、全体最適の観点から、準拠性の検証など第二線の役割の一部を第三線が引き受けることは排除されない、という整理です。三つの線のそれぞれが何を受け持つかは、金融機関ごとの事情に応じて決めるものだとも述べています²²²³。

同じ考え方でも、資料によって呼び方が違います。IIA は、この考え方を 2020 年 7 月に「３ラインモデル」（英語名は "The IIA's Three Lines Model"）として改訂しました。以前の呼び名は「３つのディフェンスライン」です³。バーゼル銀行監督委員会の 2011 年の諸原則は「三つの防衛線」と呼びます。1 つ目は業務ラインによる管理、2 つ目は全社的で独立したオペレーショナル・リスク管理の機能、3 つ目は独立した検証です²⁴。

金融庁の主要行等向けの総合的な監督指針は「３線防衛態勢」の語を使い、業務を実行する部門、リスク管理部門、内部監査部門を例に挙げます。取締役会が、これらを用いて牽制が働くように方針や報告の体制を整えているかが着眼点です²⁵。

注

内部監査人協会「IIAの３ラインモデル」の「３ラインモデルの主な役割」（5〜6 ページ。統治機関、経営管理者の第一線と第二線、内部監査、外部の保証（アシュアランス）提供者の役割）。 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸
内部監査人協会「IIAの３ラインモデル３つのディフェンスラインの改訂」（2020 年 7 月、日本内部監査協会による日本語版）の「はじめに」（1 ページ）と原則 1、原則 2（2 ページ）。 ↩
内部監査人協会「IIAの３ラインモデル」の「重要な用語」（1 ページ）と最終ページ。英語名は英語版の表紙。 ↩ ↩²
金融庁「金融機関の内部監査高度化に関する懇談会報告書（2025）」（2025 年 6 月）の「用語集」№5〜8（24 ページ）。 ↩ ↩²
内部監査人協会「IIAの３ラインモデル」の「はじめに」（1 ページ）。モデルが最適化される 4 つの項目のうち、2 つ目。 ↩
内部監査人協会「IIAの３ラインモデル」の 3 ページの脚注 1。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 6 ページ（取締役会の役割の項。戦略、リスク・アペタイト、管理方針を定める記述）。 ↩
内部監査人協会「IIAの３ラインモデル」の原則 3 と原則 5（いずれも 3 ページ）。 ↩ ↩² ↩³ ↩⁴ ↩⁵
内部監査人協会「IIAの３ラインモデル」の「構造、役割、および責任」（9 ページ）。 ↩ ↩² ↩³ ↩⁴ ↩⁵
内部監査人協会「IIAの３ラインモデル」の「主な役割間の関係」（7 ページ。統治機関と経営管理者の関係、経営管理者と内部監査の関係）。 ↩ ↩²
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 6 ページ（フロント部門）と 29 ページ（フロント部門の役割）。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 6 ページ（バック部門）と 32 ページ（バック部門の役割）。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 6 ページ（ミドル部署の項。リスク全体の把握、経営陣への報告、フロントへの牽制を担う記述）。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 6 ページ（内部監査部門）と 40 ページ（内部監査部門の役割）。 ↩
内部監査人協会「IIAの３ラインモデル」の 3 ページの脚注 2。同じ脚注に、支援機能（人事、総務、設備等）を第二線の役割と考える者もいる、との記述があります。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 33 ページ（フロント部門に対する牽制機能の発揮）。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 42 ページ（内部監査のポイント（続き）。バックによる取引内容の確認、ミドルによるリスクの把握・計測と報告）。 ↩ ↩²
内部監査人協会「IIAの３ラインモデル」の「３ラインモデルの主な役割」の冒頭（5 ページ）。 ↩
内部監査人協会「IIAの３ラインモデル」の「構造、役割、および責任」（9 ページ）。 ↩ ↩²
バーゼル銀行監督委員会「健全なオペレーショナル・リスク管理のための諸原則」（2011 年 6 月、金融庁による仮訳）の 17 項（6 ページ）。 ↩
日本銀行金融機構局金融高度化センター「市場リスク管理態勢の整備」（2019 年 9 月）の 39 ページ。 ↩
金融庁「金融機関の内部監査高度化に関する懇談会報告書（2025）」（2025 年 6 月）の 11 ページ（第一段階の説明）。 ↩
同報告書の 20 ページの脚注 21。 ↩
バーゼル銀行監督委員会「健全なオペレーショナル・リスク管理のための諸原則」（2011 年 6 月、金融庁による仮訳）の 13 項と脚注 6（4〜5 ページ）。 ↩
金融庁「主要行等向けの総合的な監督指針」（2026 年 10 月）のⅢ－２－３－７－２（１）②（145 ページ）。 ↩