Wir konzipieren das Modell der drei Verteidigungslinien für Ihre Organisation und setzen es um: operatives Risikomanagement, eine Compliance- und Überwachungsfunktion und eine unabhängige interne Revision. Ein Corporate-Governance-Rahmen, der Werte schützt und den Best Practices des IIA entspricht.
Kostenlose Beratung
Wir antworten Ihnen innerhalb von 24 Std.
Von der ersten Analyse bis zur Umsetzung und Prüfung des Modells: ein Risikomanagementrahmen, der auf Ihre Organisation zugeschnitten ist.
Wir legen die Rollen und Verantwortlichkeiten jeder Linie fest: erste Linie (operatives Management), zweite Linie (Compliance, Risikocontrolling, regulatorische Compliance) und dritte Linie (interne Revision). Zugeschnitten auf Größe, Branche und Komplexität Ihrer Organisation.
Wir prüfen Ihr aktuelles Drei-Linien-Modell: Risikoabdeckung, Unabhängigkeit der internen Revision, Wirksamkeit der Kontrollen, Abstimmung zwischen den Linien und Übereinstimmung mit den Grundsätzen des IIA 2020.
Konzeption und Umsetzung der Compliance-Funktion als zweite Linie: Richtlinien, Verfahren, Risikoüberwachung, Berichterstattung an die Geschäftsleitung und Abstimmung mit der ersten und dritten Linie.
Identifizierung, Bewertung und Priorisierung von Risiken. Festlegung des vom Aufsichtsorgan genehmigten Risikoappetits und Abstimmung mit den drei Verteidigungslinien.
Bei geldwäscherechtlich Verpflichteten ist die AML/CFT-Funktion eine spezialisierte zweite Verteidigungslinie: Compliance Officer, Monitoring, Verdachtsmeldungen und Sorgfaltspflichten.
Für regulierte Unternehmen (Wertpapierinstitute, Verwaltungsgesellschaften, Zahlungsinstitute) sind die drei Verteidigungslinien eine aufsichtsrechtliche Anforderung: MiFID II, Solvency II, Basel III und branchenspezifische Vorschriften.
Finanzinstitut, Industrieunternehmen, reguliertes Startup oder multinationaler Konzern: Das Modell passt sich an Größe, Branche und Risikoprofil jeder Organisation an.
„Bei Finanzinstituten sind die drei Verteidigungslinien eine regulatorische Anforderung. Die erste Linie steuert das operationelle Risiko, die zweite umfasst Compliance, interne Kontrolle und Risikomanagement, und die dritte ist die interne Revision mit direkter Berichtslinie an den Prüfungsausschuss.“
„In Unternehmen außerhalb des Finanzsektors wird das Modell angepasst: Die erste Linie bilden die Bereichsverantwortlichen, die zweite kann ein einzelner Compliance Officer sein oder eine mit Recht und Risiko geteilte Funktion, und die dritte kann teilweise ausgelagert werden, wenn es keine interne Revision gibt.“
„Fintechs müssen die drei Linien von Anfang an umsetzen. In kleinen Teams lassen sich die Rollen der ersten und zweiten Linie kombinieren, aber auf die Unabhängigkeit der dritten Linie kann gegenüber der Aufsicht nicht verzichtet werden.“
„In multinationalen Konzernen werden die drei Linien auf lokaler und globaler Ebene abgebildet. Die Abstimmung zwischen der Konzern-Compliance und den lokalen Einheiten ist entscheidend, um Abdeckungslücken und Doppelarbeit zu vermeiden.“
Ohne einen strukturierten Risikomanagementrahmen ist die Organisation Kontrolllücken, Doppelarbeit und fehlender unabhängiger Überwachung ausgesetzt.
Lücken in der Risikoabdeckung: Ohne klar definierte Rollen haben manche Risiken keinen Eigner. Niemand identifiziert, bewertet oder mindert die Risiken, die zwischen Funktionsbereiche fallen.
Doppelte Funktionen: Ohne Abstimmung zwischen den Linien kontrollieren mehrere Bereiche womöglich dasselbe, während andere kritische Risiken unbeachtet bleiben. Ineffizienz und trügerische Sicherheit.
Fehlende Unabhängigkeit der Überwachung: Ist die interne Revision hierarchisch der operativen Leitung unterstellt, verliert sie die nötige Objektivität, um Managemententscheidungen zu hinterfragen.
Für Finanzinstitute ist die Umsetzung der drei Verteidigungslinien eine ausdrückliche regulatorische Anforderung. Fehlt sie oder ist sie mangelhaft, kann das zu Auskunftsersuchen der Aufsichtsbehörde und sogar zu Sanktionen führen.
Artikel 31 bis des spanischen Strafgesetzbuchs (Código Penal) verlangt ein Organisations- und Managementmodell mit Überwachungs- und Kontrollmaßnahmen. Die drei Verteidigungslinien sind die natürliche Struktur, um diese Anforderung zu erfüllen.
Investoren, Partner, Aufsichtsbehörden und Kunden erwarten eine robuste Corporate Governance. Die drei Verteidigungslinien sind der internationale Standard, um Reife im Risikomanagement nachzuweisen.
Wir konzipieren, überprüfen oder prüfen Ihr Modell der drei Verteidigungslinien: Rollen, Verantwortlichkeiten, Abstimmung zwischen den Linien, Risikoappetit und Übereinstimmung mit dem IIA 2020. Ein Rahmen, der schützt und Vertrauen schafft.
Das Modell der drei Verteidigungslinien (Three Lines of Defense, 3LoD) ist ein Governance- und Risikomanagementrahmen, der die Organisation in drei Schutzebenen gliedert: die erste Linie (operatives Management, Eigner der Risiken), die zweite Linie (Überwachungs-, Compliance- und Risikocontrolling-Funktionen) und die dritte Linie (unabhängige interne Revision).
Bekannt gemacht wurde es vom Institute of Internal Auditors (IIA), das es im Juli 2020 mit dem „Drei-Linien-Modell“ aktualisierte. Dieses legt mehr Gewicht auf Wertschöpfung, Abstimmung und die Ausrichtung an den Zielen der Organisation.
Das hängt von Branche und Rechtsordnung ab. Für Finanzinstitute (Banken, Wertpapierinstitute, Verwaltungsgesellschaften, Versicherungsunternehmen) ist die Umsetzung der drei Linien eine implizite oder ausdrückliche regulatorische Anforderung, die sich aus MiFID II, Solvency II, Basel III und den Leitlinien von EBA und EIOPA ergibt.
Für Unternehmen außerhalb des Finanzsektors ist sie gesetzlich nicht vorgeschrieben, aber der Best-Practice-Standard guter Corporate Governance. Zudem verlangt Artikel 31 bis des spanischen Strafgesetzbuchs ein Organisations- und Managementmodell mit Überwachungs- und Kontrollmaßnahmen, das die drei Verteidigungslinien ganz natürlich erfüllen.
Das IIA veröffentlichte im Juli 2020 das „Drei-Linien-Modell“ (ohne den Zusatz „Verteidigung“ im Namen), mit erheblichen Änderungen gegenüber dem Modell von 2013:
Die Compliance-Funktion ist in der zweiten Verteidigungslinie angesiedelt. Ihre Aufgabe ist es, die Einhaltung der Vorschriften zu überwachen, die erste Linie zu regulatorischen Risiken zu beraten, Richtlinien und Standards festzulegen und an die Geschäftsleitung sowie das Aufsichtsorgan zu berichten.
In manchen Organisationen besteht Compliance neben anderen Funktionen der zweiten Linie wie Risikomanagement, interner Kontrolle, Informationssicherheit oder Geldwäscheprävention. Entscheidend ist, dass jede Funktion ein klares Mandat hat und es weder Lücken noch Doppelarbeit gibt.
Ja, mit Einschränkungen. Die erste Linie ist ihrem Wesen nach intern (sie ist das operative Management). Die zweite Linie kann sich auf externe Berater stützen, die Verantwortung bleibt aber bei der Geschäftsleitung. Die dritte Linie (interne Revision) kann ganz oder teilweise ausgelagert werden, wobei regulierte Unternehmen ein Mindestmaß an interner Funktion vorhalten müssen.
Daneben gibt es eine informelle „vierte Linie“: Abschlussprüfer, Regulierungs- und Aufsichtsbehörden, die von außerhalb der Organisation zusätzliche Prüfungssicherheit liefern.
Artikel 31 bis des spanischen Strafgesetzbuchs sieht vor, dass eine juristische Person von der strafrechtlichen Verantwortlichkeit befreit werden kann, wenn sie über ein Organisations- und Managementmodell mit Überwachungs- und Kontrollmaßnahmen zur Verhinderung von Straftaten verfügt. Die drei Verteidigungslinien sind die natürliche Struktur, um diese Anforderung zu erfüllen.
Die erste Linie setzt die operativen Kontrollen um, die zweite Linie (Compliance) überwacht die Einhaltung und die Straftatenprävention, und die dritte Linie (interne Revision) prüft die Wirksamkeit des Modells. Die Norm UNE 19601 für Managementsysteme der strafrechtlichen Compliance folgt diesem Ansatz.
Im aktualisierten Modell des IIA (2020) hat das Aufsichtsorgan (Verwaltungsrat, Prüfungsausschuss) eine ausdrückliche und zentrale Rolle: Es legt die Ziele der Organisation fest, definiert den Risikoappetit, überträgt Verantwortlichkeiten an die Geschäftsleitung und überwacht das Funktionieren der drei Linien.
Das Aufsichtsorgan erhält Berichte aller drei Linien und insbesondere der internen Revision, die ihm direkt Rechenschaft ablegen muss, damit ihre Unabhängigkeit von der Geschäftsleitung gewährleistet ist.
Ein wirksames Drei-Linien-Modell braucht klare Rollen, echte Abstimmung zwischen den Linien und eine tatsächlich unabhängige interne Revision.
Die Geschäftsbereiche identifizieren und steuern die Risiken als Erste. Sie müssen interne Kontrollen umsetzen, Maßnahmenpläne zur Risikominderung ausführen und Vorfälle melden. Ohne eine wirksame erste Linie scheitert das gesamte Modell.
Compliance, Risikomanagement und interne Kontrolle überwachen die erste Linie: Sie legen Richtlinien fest, überwachen die Einhaltung, hinterfragen Risikoentscheidungen und berichten an die Geschäftsleitung. Sie sind der Schutzschirm der Organisation.
Die interne Revision liefert eine unabhängige und objektive Prüfungssicherheit über die Wirksamkeit der ersten beiden Linien. Sie muss an das Aufsichtsorgan (Prüfungsausschuss) berichten und von der operativen Leitung unabhängig sein.
Wenn Sie Unterstützung bei Ihrem Modell der drei Verteidigungslinien brauchen, sehen Sie sich unsere Compliance-Leistungen an oder fordern Sie eine kostenlose Beratung an.
Ein wirksames Modell der drei Verteidigungslinien ist kein dekoratives Organigramm: Es ist ein lebendiges Risikomanagementsystem mit klaren Rollen, echter Abstimmung und unabhängiger Prüfungssicherheit.
1. LinieDie Geschäftsbereiche sind die Eigner der Risiken: Sie identifizieren, bewerten, kontrollieren und mindern sie in ihrer täglichen Tätigkeit.
2. LinieSpezialisierte Funktionen, die die erste Linie überwachen, beraten und hinterfragen. Sie legen Richtlinien fest, überwachen die Einhaltung und berichten an die Geschäftsleitung.
3. LinieSie liefert eine objektive und unabhängige Prüfungssicherheit über die Wirksamkeit des Risikomanagements und der internen Kontrollen der ersten und zweiten Linie.
GovernanceDer Verwaltungsrat oder der Prüfungsausschuss legt den Risikoappetit fest, überwacht die drei Linien und erhält Berichte von allen. Die Abstimmung zwischen den Linien verhindert Lücken und Doppelarbeit.
Nach BrancheRegulatorische Anforderung. Drei formelle Linien mit spezialisierten Funktionen und Berichterstattung an die Aufsichtsbehörde.
Anpassung an die Größe. Die 2. Linie kann Compliance + Recht sein. Die 3. Linie kann ausgelagert werden.
Kombinierte Rollen in der 1. und 2. Linie. Ausgelagerte 3. Linie. Schrittweiser Ausbau mit dem Wachstum.
Identifiziert, bewertet und steuert die Risiken der eigenen Tätigkeit. Setzt Kontrollen und Maßnahmenpläne zur Risikominderung um.
Legt Risikorahmen, Richtlinien und Standards fest. Überwacht und hinterfragt das Risikomanagement der 1. Linie.
Führt die für ihren Bereich konzipierten Kontrollen durch. Nimmt Selbstbewertungen vor und meldet Vorfälle.
Konzipiert den internen Kontrollrahmen, überwacht seine Einhaltung und schlägt der Geschäftsleitung Verbesserungen vor.
Hält die internen Richtlinien und Verfahren ein. Wendet die regulatorischen Anforderungen im Tagesgeschäft an.
Legt die Vorschriften aus, definiert die Pflichten, schult die 1. Linie und berichtet bei Bedarf an die Aufsichtsbehörde.
Meldet Vorfälle und KRIs an die 2. Linie und an die Leitung ihres Funktionsbereichs.
Berichtet der Geschäftsleitung und gegebenenfalls dem Aufsichtsorgan über das Gesamtbild der Risiken.
Wenn Sie eines dieser Anzeichen feststellen, muss das Modell dringend überprüft werden.
Wenn Sie ein Modell der drei Verteidigungslinien konzipieren oder überprüfen, sollten Sie diese Begriffe beherrschen.
Governance-Rahmen, der das Risikomanagement in drei Ebenen gliedert: operatives Management, Überwachung durch Compliance und Risikofunktion sowie unabhängige interne Revision. Standard des IIA.
Internationale Organisation, die Standards und Leitlinien für die interne Revision festlegt. Urheber des Modells der drei Verteidigungslinien und seiner Aktualisierungen.
Das Risikoniveau, das die Organisation zur Erreichung ihrer Ziele einzugehen bereit ist. Es wird vom Aufsichtsorgan festgelegt und von der ersten Linie innerhalb der gesetzten Grenzen gesteuert.
Bereich, der die Einhaltung der anwendbaren Vorschriften, der internen Richtlinien und der ethischen Standards überwacht. Er ist in der zweiten Verteidigungslinie angesiedelt und berichtet an die Geschäftsleitung.
Funktion, die eine objektive und unabhängige Prüfungssicherheit über die Wirksamkeit von Risikomanagement, interner Kontrolle und Governance der Organisation liefert. Sie berichtet an das Aufsichtsorgan.
Rahmen für das ganzheitliche Management der Unternehmensrisiken. Die zweite Linie kann eine ERM-Funktion umfassen, die den Gesamtblick auf die bereichsübergreifenden Risiken der Organisation koordiniert.
Spanische Norm für Managementsysteme der strafrechtlichen Compliance. Sie verlangt Überwachungs- und Kontrollmaßnahmen (drei Verteidigungslinien), um Straftaten zu verhindern und die juristische Person nach Art. 31 bis CP zu entlasten.
Risikofrühwarnindikatoren, mit denen sich das Exposure der Organisation gegenüber ihren Hauptrisiken überwachen lässt. Die erste Linie erzeugt sie, die zweite überwacht sie und die dritte prüft sie.
Obwohl sie nicht zum internen Modell gehören, wirken Regulierungsbehörden, Aufsichtsbehörden und Abschlussprüfer als vierte Linie der Prüfungssicherheit für die Stakeholder und die Gesellschaft insgesamt.
THREE LINES GOVERNANCE CONSOLE
Der Reifegrad der drei Verteidigungslinien wird auf drei Achsen gemessen: Rollenklarheit (Sind die Rollen klar?), Abstimmung (Arbeiten die Linien zusammen?) und Unabhängigkeit (Ist die 3. Linie wirklich unabhängig?). Dieses Dashboard fasst das Anforderungsniveau je nach Branche zusammen.
Komplexität und Formalisierungsgrad der drei Linien hängen von der Regulierung der jeweiligen Branche ab.
Schildern Sie uns Ihre Situation, und wir erklären Ihnen, wie wir Sie bei der Konzeption, Überprüfung oder Prüfung Ihres Modells der drei Verteidigungslinien unterstützen können.
Das Modell der drei Verteidigungslinien ist ein international anerkannter Governance- und Risikomanagementrahmen. Es geht auf eine gemeinsame Stellungnahme von ECIIA und FERMA aus dem Jahr 2013 zurück und wurde vom Institute of Internal Auditors (IIA) formalisiert und weltweit verbreitet. Im Juli 2020 veröffentlichte das IIA eine wesentliche Aktualisierung unter dem Namen „Drei-Linien-Modell“ und strich den Bezug auf die „Verteidigung“, um einen stärker auf die Schaffung und den Schutz von Werten ausgerichteten Ansatz widerzuspiegeln.
Die erste Verteidigungslinie bilden die Geschäftsbereiche und operativen Funktionen der Organisation. Sie sind die Eigner der Risiken: Sie identifizieren, bewerten, kontrollieren und mindern die Risiken ihrer täglichen Tätigkeit. Sie setzen die internen Kontrollen um und führen die Maßnahmenpläne zur Risikominderung aus. Ohne eine wirksame erste Linie verliert das gesamte Modell sein Fundament.
Die zweite Linie umfasst spezialisierte Funktionen wie Compliance, unternehmensweites Risikomanagement (ERM), interne Kontrolle, Informationssicherheit, Geldwäscheprävention und weitere Überwachungsfunktionen. Ihre Aufgabe ist es, die erste Linie zu überwachen, zu beraten und zu hinterfragen, Richtlinien und Standards festzulegen und der Geschäftsleitung über die Risikolage und die Einhaltung der Vorschriften zu berichten.
Die dritte Linie ist die interne Revision, deren prägendes Merkmal die Unabhängigkeit von der operativen Leitung ist. Sie liefert eine objektive Prüfungssicherheit über die Wirksamkeit des Risikomanagements und der internen Kontrollen der ersten beiden Linien. Um ihre Unabhängigkeit zu gewährleisten, muss sie direkt an das Aufsichtsorgan (Verwaltungsrat oder Prüfungsausschuss) berichten.
In Spanien verlangt Artikel 31 bis des Strafgesetzbuchs (Código Penal) ein Organisations- und Managementmodell mit Überwachungs- und Kontrollmaßnahmen zur Verhinderung von Straftaten. Die drei Verteidigungslinien sind die natürliche Struktur, um diese Anforderung zu erfüllen. Die Norm UNE 19601 zur strafrechtlichen Compliance folgt diesem Ansatz. Für Finanzinstitute ist die Umsetzung der drei Linien eine regulatorische Anforderung, die sich aus den branchenspezifischen Vorschriften (MiFID II, Solvency II, EBA-Leitlinien) und der Aufsicht durch die Banco de España und die CNMV ergibt.