В 2013 году Институт внутренних аудиторов (The Institute of Internal Auditors, IIA) выпустил документ под названием The Three Lines of Defence in Effective Risk Management and Control. Это одно из первых или даже первое полноценное описание Модели трех линий защиты (The Three Lines of Defence Model, 3LoD) в корпоративном управлении и риск-менеджменте   Схема Модели трех линий защиты – на картинке.   Первая линия защиты – операционные менеджеры. Они владеют и управляют рисками. То есть выявляют, оценивают и снижают их. Они же разрабатывают и внедряют внутренние политики и процедуры по управлению рисками. Менеджеры среднего звена контролируют, как работают с рисками их подчиненные.   Вторая линия – риск- и комплаенс-менеджеры. Они помогают первой линии разрабатывать и внедрять политики и процедуры, контролируют работу первой линии. Еще вторая линия помогает распределять роли в риск-менеджменте, проводит обучения, оповещает первую линию о новых рисках и изменениях законов, следит за соблюдением законодательства.   Третья линия – внутренний аудит. Они информируют совет директоров и высший менеджмент о состоянии риск- и комплаенс-менеджмента в компании. А еще оценивают эффективность работы первой и второй линий.   Совет директоров и топ-менеджмент не входят ни в одну из линий защиты. Они определяют цели и стратегию управления рисками, организовывают корпоративное управление и процессы, обеспечивающие надлежащее управление рисками.   Внешний аудит и регуляторы не относятся ни к одной из трех линий, но могут рассматриваться в качестве дополнительных линий защиты.   В идеале три линии защиты в этой модели должны быть четко определены и отделены друг от друга.   В 2020 году IIA обновил эту модель, назвав новую версию Моделью трех линий, без слова «защиты» (The IIA’s Three Lines Model).   Продолжение следует.   Схема отсюда: IIA Position Paper: The Three Lines of Defence in Effective Risk Management and Control. January, 2013.