3 つの防御ライン (3LoD) モデルとは？

防衛のファーストライン (1st LoD) は運用管理であり、日々のリスク管理アクティビティを担当する最前線のマネージャーで構成されます。マネージャーは、ビジネスシステムやビジネスアプリケーションに従事する従業員を監督し、適切なリスク管理手順が守られていることを確認します。また、プロセスや制御に欠陥が生じた場合に是正措置を実施する責任もあります。

基本的に事業運営管理では、適切な内部コントロールの維持、リスク対応手順の実行、リスクの特定と評価、内部ポリシーの案内と実装、全アクティビティにおける設定目標のサポートをすべて日常的に行うことを義務付けられています。防衛のファーストラインの全体的な目的は、コンプライアンスの継続に加え、コントロールのブレークダウン、不適切なプロセス、新たな事象を迅速に特定することです。

日常のアクティビティは、オペレーショナルリスクの対応において重要な役割を果たします。そのため、防衛のファーストラインは絶対的に重要であり、信頼性の高い管理コントロールや内部コントロール対策などの内部メカニズムによってサポートされなければなりません。このようなメカニズムは、運用管理による強力な監視の下で開発と実装が行われており、機能と有効性について定期的にテストする必要があります。

3LoD モデルにおける防衛のサードライン (3rd LoD) は、内部監査人です。監査人は、リスク管理のプロセス、手順、フレームワークのすべてを審査し、ガバナンスと内部コントロールの有効性を包括的に保証する責任があります。この防衛ラインは、ファーストラインとセカンドラインをサポートしますが、単独での運用、客観的な立場の維持、経営陣や上層部の運営組織、取締役会、監査委員会などへの直接的な報告が可能である必要があります。

内部監査は、最後の防衛ラインとして、運用の効率と有効性、報告の信頼性、法令遵守などに関連するさまざまな目的をサポートできなければなりません。

防衛のサードラインは、主に内部監査に関連付けられていますが、このラインを補完して保証をさらに強化するために、外部監査も取り入れられることがあります。実際にいくつかのケース (SOC1 や SOC2 コンプライアンスの取得、PCI レポートの作成、SOX-404 コントロールの有効性の文書化を行う場合など) では、外部監査人が必須要件として定められています。

3 つの防御ラインモデルは、リスク管理に対する実証済みのアプローチです。ただし、継続性とレジリエンスの計画では、状況の変化に適切に対応できるよう定期的な更新が必要なのと同様、3LoD でも最初に導入されてから、多くの修正が加えられています。

先日、バーゼル銀行監督委員会 (BCBS) は、「健全なオペレーショナルリスク管理のための諸原則」をリリースしました。3LoD モデルに対する今回の改訂は、特に金融機関と関連企業を対象にしたものですが、リスク管理プロファイルの改善を強化するために、金融機関以外の企業にも応用できます。

BCBS による 3LoD の最新情報：

• オペレーショナルリスク管理アクティビティの実行における経営陣の役割の重要性を強調
• 3 つの防御ラインモデルの他のロールを明確に定義
• 新たなリスク要因を明確化
• オペレーショナルレジリエンスを別項目として重視

リスクの多様化に伴い、3 つの防御ラインモデルも継続的に適応する必要があります。このことは、サードラインである内部監査に最も直接的に関連します。内部監査人と関連プロセスは、アジリティと先見性を高め、3LoD モデルの残りの部分全体にポジティブな変化を促進する必要があります。今後、監査人には、助言や予測においてより積極的な役割を果たすだけでなく、あらゆるレベルのステークホルダーに理解を促すことが期待されます。

3LoD モデルは、内部監査に限らず、今後も進化を続けていくでしょう。自動化、機械学習、AI の導入などの新たなイノベーションにより、リスクの特定と修正が容易になります。同様に、企業では 3 つの防御ラインの人間的な要素に重点を置き、チームや部門間の連携、コミュニケーション、手法の改善に取り組むことになるでしょう。

オペレーショナルリスクの管理は、現代のビジネスにとって不可欠な要素です。3LoD モデルは、想定されるさまざまな脅威に対するセキュリティを強化するために、冗長な保護レイヤーを提供します。ただし、3LoD だけでは、絶えず変化する危険から企業を完全に保護することはできません。IT 管理の業界リーダーである ServiceNow が、その問題を解決します。

ServiceNow の Operational Risk Management は、継続的な監視を適用し、企業全体で関連するデータのインサイトを取り込み、新たなリスクに対して迅速に優先順位付けと対応ができるよう企業を支援します。Operational Risk Management GRC アプリケーションには、リスクの自己評価、コントロールの保証、テスト、インシデントと損失の把握、自動モニタリングのためのツールが含まれています。高度な分析とレポート、統合された予測インテリジェンスによる課題管理の強化などに支えられた Operational Risk Management は、今日の企業が存続し、成長するのに必要な防御力を高めます。

運用上の損失を削減し、レジリエンスと信頼性を構築し、コストの削減と生産性の向上を図ります。また、すべてのリスクとコントロールの許容度をリアルタイムで完全に可視化します。ServiceNow の Operational Risk Management は、そのすべてを可能にします。