Nous concevons et mettons en place le modèle des trois lignes de défense dans votre organisation : gestion opérationnelle du risque, fonction de compliance et supervision, et audit interne indépendant. Un cadre de gouvernance d’entreprise qui protège la valeur et respecte les bonnes pratiques de l’IIA.
Consultation gratuite
Nous vous répondons en moins de 24 h
Du diagnostic initial à la mise en œuvre et à l’audit du modèle : un cadre de gestion des risques adapté à votre organisation.
Nous définissons la structure des rôles et des responsabilités de chaque ligne : première ligne (gestion opérationnelle), deuxième ligne (compliance, contrôle des risques, conformité réglementaire) et troisième ligne (audit interne). Le tout adapté à la taille, au secteur et à la complexité de votre organisation.
Nous examinons votre modèle actuel à trois lignes : couverture des risques, indépendance de l’audit interne, efficacité des contrôles, coordination entre les lignes et alignement sur les principes de l’IIA 2020.
Conception et mise en place de la fonction compliance comme deuxième ligne : politiques, procédures, supervision des risques, reporting à la direction générale et coordination avec la première et la troisième ligne.
Identification, évaluation et hiérarchisation des risques. Définition de l’appétit pour le risque approuvé par l’organe de gouvernance et alignement sur les trois lignes de défense.
Pour les entités assujetties, la fonction LCB-FT est une deuxième ligne de défense spécialisée : compliance officer, surveillance, déclaration d’opérations suspectes et mesures de vigilance à l’égard de la clientèle.
Pour les entités réglementées (entreprises d’investissement, sociétés de gestion, établissements de paiement), les trois lignes de défense sont une exigence du superviseur : MiFID II, Solvabilité II, Bâle III et réglementation sectorielle.
Établissement financier, entreprise industrielle, startup réglementée ou groupe multinational : le modèle s’adapte à la taille, au secteur et au profil de risque de chaque organisation.
« Dans les établissements financiers, les trois lignes de défense sont une exigence réglementaire. La première ligne gère le risque opérationnel, la deuxième comprend la compliance, le contrôle interne et la gestion des risques, et la troisième est l’audit interne, qui rend compte directement au comité d’audit. »
« Dans les entreprises non financières, le modèle s’adapte : la première ligne est constituée des responsables de chaque domaine, la deuxième peut être un compliance officer unique ou partagé avec le juridique et les risques, et la troisième peut être en partie externalisée s’il n’existe pas d’audit interne. »
« Les fintech doivent mettre en place les trois lignes dès le départ. Avec de petites équipes, les rôles de première et de deuxième ligne peuvent être combinés, mais l’indépendance de la troisième ligne est incontournable face au régulateur. »
« Dans les groupes multinationaux, les trois lignes sont reproduites aux niveaux local et global. La coordination entre la fonction compliance du groupe et les unités locales est essentielle pour éviter les lacunes de couverture et les doublons. »
Sans cadre structuré de gestion des risques, l’organisation s’expose à des lacunes de contrôle, à des doublons et à un manque de supervision indépendante.
Lacunes dans la couverture des risques : sans rôles définis, certains risques n’ont pas de responsable. Personne n’identifie, n’évalue ni ne réduit les risques qui tombent entre deux fonctions.
Doublons de fonctions : sans coordination entre les lignes, plusieurs services peuvent contrôler la même chose pendant que d’autres risques critiques restent sans suivi. Résultat : inefficacité et faux sentiment de sécurité.
Manque d’indépendance de la supervision : si l’audit interne dépend hiérarchiquement de la direction opérationnelle, il perd l’objectivité nécessaire pour remettre en question les décisions de gestion.
Pour les établissements financiers, la mise en place des trois lignes de défense est une exigence réglementaire explicite. Son absence ou ses insuffisances peuvent entraîner des demandes d’informations du superviseur, voire des sanctions.
L’article 31 bis du Code pénal espagnol exige un modèle d’organisation et de gestion comportant des mesures de surveillance et de contrôle. Les trois lignes de défense sont la structure naturelle pour respecter cette exigence.
Investisseurs, associés, régulateurs et clients attendent une gouvernance d’entreprise solide. Les trois lignes de défense sont la référence internationale pour démontrer la maturité de la gestion des risques.
Nous concevons, révisons ou auditons votre modèle des trois lignes de défense : rôles, responsabilités, coordination entre les lignes, appétit pour le risque et alignement sur l’IIA 2020. Un cadre qui protège et qui inspire confiance.
Le modèle des trois lignes de défense (3LoD) est un cadre de gouvernance et de gestion des risques qui structure l’organisation en trois niveaux de protection : la première ligne (gestion opérationnelle, propriétaire des risques), la deuxième ligne (fonctions de supervision, de compliance et de contrôle des risques) et la troisième ligne (audit interne indépendant).
Il a été popularisé par l’Institut des auditeurs internes (IIA) et mis à jour en juillet 2020 sous le nom de « Modèle des trois lignes », qui met davantage l’accent sur la création de valeur, la coordination et l’alignement sur les objectifs de l’organisation.
Cela dépend du secteur et de la juridiction. Pour les établissements financiers (banques, entreprises d’investissement, sociétés de gestion, assureurs), la mise en place des trois lignes est une exigence réglementaire implicite ou explicite découlant de MiFID II, de Solvabilité II, de Bâle III et des orientations de l’EBA et de l’EIOPA.
Pour les entreprises non financières, elle n’est pas obligatoire sur le plan juridique, mais elle constitue la référence en matière de bonnes pratiques de gouvernance d’entreprise. De plus, l’article 31 bis du Code pénal espagnol exige un modèle d’organisation et de gestion comportant des mesures de surveillance et de contrôle, que les trois lignes de défense satisfont naturellement.
En juillet 2020, l’IIA a publié le « Modèle des trois lignes » (en retirant « de défense » du nom), avec des changements importants par rapport au modèle de 2013 :
La fonction compliance se situe dans la deuxième ligne de défense. Son rôle est de superviser le respect de la réglementation, de conseiller la première ligne sur les risques réglementaires, de définir les politiques et les standards, et de rendre compte à la direction générale et à l’organe de gouvernance.
Dans certaines organisations, la compliance peut coexister avec d’autres fonctions de deuxième ligne comme la gestion des risques, le contrôle interne, la sécurité de l’information ou la lutte contre le blanchiment. L’essentiel est que chaque fonction ait un mandat clair, sans lacunes ni doublons.
Oui, avec des nuances. La première ligne est par nature interne (c’est la gestion opérationnelle). La deuxième ligne peut s’appuyer sur des conseillers externes, mais la responsabilité reste à la direction. La troisième ligne (audit interne) peut être externalisée en tout ou en partie, même si les entités réglementées doivent conserver une fonction interne minimale.
Il existe aussi une « quatrième ligne » informelle : les auditeurs externes, les régulateurs et les superviseurs, qui apportent une assurance supplémentaire depuis l’extérieur de l’organisation.
L’article 31 bis du Code pénal espagnol prévoit que la personne morale peut être exonérée de responsabilité pénale si elle dispose d’un modèle d’organisation et de gestion comportant des mesures de surveillance et de contrôle pour prévenir les infractions. Les trois lignes de défense sont la structure naturelle pour satisfaire cette exigence.
La première ligne met en œuvre les contrôles opérationnels, la deuxième ligne (compliance) supervise le respect des règles et la prévention pénale, et la troisième ligne (audit interne) vérifie l’efficacité du modèle. La norme UNE 19601 sur les systèmes de gestion de la compliance pénale s’inscrit dans cette approche.
Dans le modèle actualisé de l’IIA (2020), l’organe de gouvernance (conseil d’administration, comité d’audit) joue un rôle explicite et central : il fixe les objectifs de l’organisation, définit l’appétit pour le risque, délègue des responsabilités à la direction et supervise le fonctionnement des trois lignes.
L’organe de gouvernance reçoit les rapports des trois lignes et, en particulier, de l’audit interne, qui doit lui rendre compte directement afin de garantir son indépendance vis-à-vis de la direction.
Un modèle à trois lignes efficace exige des rôles clairs, une coordination réelle entre les lignes et une indépendance effective de l’audit interne.
Les métiers sont les premiers à identifier et à gérer les risques. Ils doivent mettre en œuvre les contrôles internes, exécuter les plans de réduction des risques et signaler les incidents. Sans première ligne efficace, tout le modèle s’effondre.
La compliance, la gestion des risques et le contrôle interne supervisent la première ligne : ils définissent les politiques, suivent le respect des règles, challengent les décisions en matière de risque et rendent compte à la direction générale. Ils sont le parapluie de l’organisation.
L’audit interne fournit une assurance indépendante et objective sur l’efficacité des deux premières lignes. Il doit rendre compte à l’organe de gouvernance (comité d’audit) et être indépendant de la direction opérationnelle.
Si vous avez besoin d’aide pour votre modèle des trois lignes de défense, consultez nos services de compliance ou demandez une consultation gratuite.
Un modèle des trois lignes de défense efficace n’est pas un organigramme décoratif : c’est un système vivant de gestion des risques, avec des rôles définis, une coordination réelle et une assurance indépendante.
1re ligneLes métiers sont propriétaires des risques : ils les identifient, les évaluent, les contrôlent et les réduisent dans leur activité quotidienne.
2e ligneFonctions spécialisées qui supervisent, conseillent et challengent la première ligne. Elles définissent les politiques, suivent le respect des règles et rendent compte à la direction.
3e ligneElle apporte une assurance objective et indépendante sur l’efficacité de la gestion des risques et des contrôles internes de la première et de la deuxième ligne.
GouvernanceLe conseil d’administration ou le comité d’audit fixe l’appétit pour le risque, supervise les trois lignes et reçoit les rapports de chacune. La coordination entre les lignes évite les lacunes et les doublons.
Par secteurExigence réglementaire. Trois lignes formelles, avec des fonctions spécialisées et un reporting au superviseur.
Adaptation à la taille. La 2e ligne peut être compliance + juridique. La 3e ligne peut être externalisée.
Rôles combinés en 1re et 2e ligne. 3e ligne externalisée. Montée en puissance progressive avec la croissance.
Elle identifie, évalue et gère les risques propres à son activité. Elle met en œuvre les contrôles et les plans de réduction des risques.
Elle définit les cadres de risque, les politiques et les standards. Elle supervise et challenge la gestion des risques de la 1re ligne.
Elle exécute les contrôles conçus pour son domaine. Elle réalise des auto-évaluations et signale les incidents.
Elle conçoit le cadre de contrôle interne, en suit le respect et propose des améliorations à la direction.
Elle respecte les politiques et procédures internes. Elle applique les exigences réglementaires dans son activité quotidienne.
Elle interprète la réglementation, définit les obligations, forme la 1re ligne et rend compte au régulateur lorsque c’est nécessaire.
Elle remonte les incidents et les KRI à la 2e ligne et à la direction de son domaine fonctionnel.
Elle présente la vision globale des risques à la direction générale et, le cas échéant, à l’organe de gouvernance.
Si vous repérez l’un de ces signaux, le modèle doit être révisé d’urgence.
Si vous concevez ou révisez un modèle des trois lignes de défense, voici les termes à maîtriser.
Cadre de gouvernance qui structure la gestion des risques en trois niveaux : gestion opérationnelle, supervision par la compliance et le contrôle des risques, et audit interne indépendant. Standard de l’IIA.
Organisation internationale qui établit les standards et les lignes directrices de l’audit interne. Auteur du modèle des trois lignes de défense et de ses mises à jour.
Niveau de risque que l’organisation est prête à assumer pour atteindre ses objectifs. Il est défini par l’organe de gouvernance et géré par la première ligne dans les limites fixées.
Service chargé de superviser le respect de la réglementation applicable, des politiques internes et des standards éthiques. Elle se situe dans la deuxième ligne de défense et rend compte à la direction générale.
Fonction qui fournit une assurance objective et indépendante sur l’efficacité de la gestion des risques, du contrôle interne et de la gouvernance de l’organisation. Elle rend compte à l’organe de gouvernance.
Cadre de gestion globale des risques d’entreprise. La deuxième ligne peut inclure une fonction ERM qui coordonne la vision d’ensemble des risques transversaux à l’organisation.
Norme espagnole sur les systèmes de gestion de la compliance pénale. Elle exige des mesures de surveillance et de contrôle (trois lignes de défense) pour prévenir les infractions et exonérer la personne morale au titre de l’art. 31 bis du Code pénal.
Indicateurs clés de risque qui permettent de suivre l’exposition de l’organisation à ses principaux risques. La première ligne les produit, la deuxième les supervise et la troisième les audite.
Bien qu’ils ne fassent pas partie du modèle interne, les régulateurs, les superviseurs et les auditeurs externes agissent comme une quatrième ligne d’assurance pour les parties prenantes et la société en général.
THREE LINES GOVERNANCE CONSOLE
La maturité des trois lignes de défense se mesure selon trois axes : définition des rôles (sont-ils clairs ?), coordination (travaillent-elles ensemble ?) et indépendance (la 3e ligne est-elle réellement indépendante ?). Ce tableau résume le niveau d’exigence selon le secteur.
La complexité et le formalisme des trois lignes varient selon la réglementation applicable au secteur.
Décrivez-nous votre situation et nous vous expliquerons comment nous pouvons vous aider à concevoir, réviser ou auditer votre modèle des trois lignes de défense.
Le modèle des trois lignes de défense est un cadre de gouvernance et de gestion des risques reconnu au niveau international. Son origine remonte à une déclaration de position conjointe de l’ECIIA et de la FERMA en 2013, puis il a été formalisé et diffusé dans le monde entier par l’Institut des auditeurs internes (IIA). En juillet 2020, l’IIA a publié une mise à jour importante sous le nom de « Modèle des trois lignes », en supprimant la référence à la « défense » pour refléter une approche davantage orientée vers la création et la protection de la valeur.
La première ligne de défense est constituée des métiers et des fonctions opérationnelles de l’organisation. Ils sont les propriétaires des risques : ils identifient, évaluent, contrôlent et réduisent les risques liés à leur activité quotidienne. Ils mettent en œuvre les contrôles internes et exécutent les plans de réduction des risques. Sans première ligne efficace, tout le modèle perd sa base.
La deuxième ligne comprend des fonctions spécialisées comme la compliance, la gestion des risques d’entreprise (ERM), le contrôle interne, la sécurité de l’information, la lutte contre le blanchiment et d’autres fonctions de supervision. Sa mission est de superviser, conseiller et challenger la première ligne, de définir les politiques et les standards, et de rendre compte à la direction générale de l’état des risques et du respect de la réglementation.
La troisième ligne est l’audit interne, dont la caractéristique essentielle est l’indépendance vis-à-vis de la direction opérationnelle. Il fournit une assurance objective sur l’efficacité de la gestion des risques et des contrôles internes des deux premières lignes. Il doit rendre compte directement à l’organe de gouvernance (conseil d’administration ou comité d’audit) pour garantir son indépendance.
En Espagne, l’article 31 bis du Code pénal exige un modèle d’organisation et de gestion comportant des mesures de surveillance et de contrôle pour prévenir les infractions. Les trois lignes de défense sont la structure naturelle pour satisfaire cette exigence. La norme UNE 19601 sur la compliance pénale s’inscrit dans cette approche. Pour les établissements financiers, la mise en place des trois lignes est une exigence réglementaire découlant de la réglementation sectorielle (MiFID II, Solvabilité II, orientations de l’EBA) et de la supervision de la Banque d’Espagne et de la CNMV.