Progettiamo e implementiamo il modello delle tre linee di difesa nella tua organizzazione: gestione operativa del rischio, funzione di compliance e supervisione, e audit interno indipendente. Un quadro di corporate governance che protegge il valore e rispetta le migliori pratiche dell’IIA.
Consulenza gratuita
Ti rispondiamo entro 24 ore
Dalla diagnosi iniziale all’implementazione e all’audit del modello: un quadro di gestione dei rischi su misura per la tua organizzazione.
Definiamo la struttura di ruoli e responsabilità di ciascuna linea: prima linea (gestione operativa), seconda linea (compliance, controllo dei rischi, conformità normativa) e terza linea (audit interno). Su misura per dimensioni, settore e complessità della tua organizzazione.
Verifichiamo il tuo attuale modello a tre linee: copertura dei rischi, indipendenza dell’audit interno, efficacia dei controlli, coordinamento tra le linee e allineamento con i principi dell’IIA 2020.
Progettazione e implementazione della funzione di compliance come seconda linea: policy, procedure, supervisione dei rischi, reporting all’alta direzione e coordinamento con la prima e la terza linea.
Identificazione, valutazione e prioritizzazione dei rischi. Definizione della propensione al rischio (risk appetite) approvata dall’organo di governo e allineamento con le tre linee di difesa.
Nei soggetti obbligati, la funzione AML/CFT è una seconda linea di difesa specializzata: compliance officer, monitoraggio, segnalazione di operazioni sospette e adeguata verifica della clientela.
Per gli enti regolamentati (ESI, società di gestione, istituti di pagamento) le tre linee di difesa sono un’esigenza della vigilanza: MiFID II, Solvency II, Basilea III e normativa di settore.
Istituzione finanziaria, impresa industriale, startup regolamentata o gruppo multinazionale: il modello si adatta alle dimensioni, al settore e al profilo di rischio di ciascuna organizzazione.
«Nelle istituzioni finanziarie le tre linee di difesa sono un’esigenza normativa. La prima linea gestisce il rischio operativo, la seconda comprende compliance, controllo interno e gestione dei rischi, e la terza è l’audit interno, che riporta direttamente al comitato di audit.»
«Nelle imprese non finanziarie il modello si adatta: la prima linea sono i responsabili di area, la seconda può essere un unico compliance officer, anche condiviso con legale e rischi, e la terza può essere in parte esternalizzata se non esiste un audit interno.»
«Le fintech devono implementare le tre linee fin dall’inizio. Con team piccoli, i ruoli di prima e seconda linea possono essere combinati, ma l’indipendenza della terza linea è irrinunciabile di fronte al regolatore.»
«Nei gruppi multinazionali le tre linee si replicano a livello locale e globale. Il coordinamento tra la funzione di compliance di gruppo e le unità locali è fondamentale per evitare lacune di copertura e duplicazioni.»
Senza un quadro strutturato di gestione dei rischi, l’organizzazione resta esposta a lacune nei controlli, duplicazioni e mancanza di supervisione indipendente.
Lacune nella copertura dei rischi: senza ruoli definiti, alcuni rischi restano senza titolare. Nessuno identifica, valuta o mitiga i rischi che cadono tra un’area funzionale e l’altra.
Duplicazione di funzioni: senza coordinamento tra le linee, più aree possono controllare la stessa cosa mentre altri rischi critici restano scoperti. Inefficienza e falsa sensazione di sicurezza.
Mancanza di indipendenza nella supervisione: se l’audit interno dipende gerarchicamente dalla direzione operativa, perde l’obiettività necessaria per mettere in discussione le decisioni di gestione.
Per le istituzioni finanziarie, l’implementazione delle tre linee di difesa è un’esigenza normativa esplicita. La sua assenza o carenza può portare a richieste dell’autorità di vigilanza e perfino a sanzioni.
L’articolo 31 bis del Codice penale spagnolo richiede un modello di organizzazione e gestione con misure di vigilanza e controllo. Le tre linee di difesa sono la struttura naturale per rispettare questo requisito.
Investitori, soci, regolatori e clienti si aspettano una corporate governance solida. Le tre linee di difesa sono lo standard internazionale per dimostrare maturità nella gestione dei rischi.
Progettiamo, verifichiamo o sottoponiamo ad audit il tuo modello delle tre linee di difesa: ruoli, responsabilità, coordinamento tra le linee, propensione al rischio e allineamento con l’IIA 2020. Un quadro che protegge e genera fiducia.
Il modello delle tre linee di difesa (3LoD) è un quadro di governance e di gestione dei rischi che struttura l’organizzazione in tre livelli di protezione: la prima linea (gestione operativa, titolare dei rischi), la seconda linea (funzioni di supervisione, compliance e controllo dei rischi) e la terza linea (audit interno indipendente).
È stato reso popolare dall’Istituto degli auditor interni (IIA) e aggiornato a luglio 2020 con il «Modello delle Tre Linee», che dà maggior rilievo alla creazione di valore, al coordinamento e all’allineamento con gli obiettivi dell’organizzazione.
Dipende dal settore e dalla giurisdizione. Per le istituzioni finanziarie (banche, ESI, società di gestione, imprese di assicurazione), l’implementazione delle tre linee è un’esigenza normativa implicita o esplicita derivante da MiFID II, Solvency II, Basilea III e dagli orientamenti dell’EBA e dell’EIOPA.
Per le imprese non finanziarie non è un obbligo di legge, ma è lo standard di buone pratiche in materia di corporate governance. Inoltre, l’articolo 31 bis del Codice penale spagnolo richiede un modello di organizzazione e gestione con misure di vigilanza e controllo, che le tre linee di difesa soddisfano in modo naturale.
A luglio 2020 l’IIA ha pubblicato il «Modello delle Tre Linee» (eliminando «di difesa» dal nome), con cambiamenti significativi rispetto al modello del 2013:
La funzione di compliance si colloca nella seconda linea di difesa. Il suo ruolo è vigilare sul rispetto della normativa, affiancare la prima linea sui rischi regolamentari, definire policy e standard, e riferire all’alta direzione e all’organo di governo.
In alcune organizzazioni la compliance può coesistere con altre funzioni di seconda linea come la gestione dei rischi, il controllo interno, la sicurezza delle informazioni o l’antiriciclaggio. L’importante è che ogni funzione abbia un mandato chiaro e che non ci siano lacune né duplicazioni.
Sì, con alcune precisazioni. La prima linea è per natura interna (è la gestione operativa). La seconda linea può avvalersi di consulenti esterni, ma la responsabilità resta della direzione. La terza linea (audit interno) può essere esternalizzata in tutto o in parte, anche se negli enti regolamentati è richiesto un livello minimo di funzione interna.
Esiste anche una «quarta linea» informale: revisori esterni, regolatori e autorità di vigilanza che forniscono un’assurance aggiuntiva dall’esterno dell’organizzazione.
L’articolo 31 bis del Codice penale spagnolo stabilisce che la persona giuridica può essere esonerata dalla responsabilità penale se dispone di un modello di organizzazione e gestione che includa misure di vigilanza e controllo per prevenire i reati. Le tre linee di difesa sono la struttura naturale per soddisfare questo requisito.
La prima linea implementa i controlli operativi, la seconda linea (compliance) vigila sul rispetto delle regole e sulla prevenzione penale, e la terza linea (audit interno) verifica l’efficacia del modello. La norma UNE 19601 sui sistemi di gestione della compliance penale è in linea con questo approccio.
Nel modello aggiornato dell’IIA (2020), l’organo di governo (consiglio di amministrazione, comitato di audit) ha un ruolo esplicito e centrale: stabilisce gli obiettivi dell’organizzazione, definisce la propensione al rischio, delega le responsabilità alla direzione e supervisiona il funzionamento delle tre linee.
L’organo di governo riceve le relazioni delle tre linee e, in particolare, dell’audit interno, che deve rendere conto direttamente a quest’ultimo per garantire la propria indipendenza dalla direzione.
Un modello a tre linee efficace richiede ruoli chiari, un coordinamento reale tra le linee e un’indipendenza effettiva dell’audit interno.
Le aree di business sono le prime a identificare e gestire i rischi. Devono implementare i controlli interni, eseguire i piani di mitigazione e segnalare gli incidenti. Senza una prima linea efficace, l’intero modello fallisce.
Compliance, gestione dei rischi e controllo interno vigilano sulla prima linea: definiscono le policy, monitorano il rispetto delle regole, mettono in discussione le decisioni di rischio e riferiscono all’alta direzione. Sono l’ombrello dell’organizzazione.
L’audit interno fornisce un’assurance indipendente e obiettiva sull’efficacia delle prime due linee. Deve riferire all’organo di governo (comitato di audit) ed essere indipendente dalla direzione operativa.
Se hai bisogno di aiuto con il tuo modello delle tre linee di difesa, consulta i nostri servizi di compliance oppure richiedi una consulenza gratuita.
Un modello efficace delle tre linee di difesa non è un organigramma decorativo: è un sistema vivo di gestione dei rischi, con ruoli definiti, coordinamento reale e assurance indipendente.
1ª lineaLe aree di business sono titolari dei rischi: li identificano, valutano, controllano e mitigano nell’attività quotidiana.
2ª lineaFunzioni specializzate che vigilano sulla prima linea, la affiancano con consulenza e la mettono in discussione. Definiscono le policy, monitorano il rispetto delle regole e riferiscono alla direzione.
3ª lineaFornisce assurance obiettiva e indipendente sull’efficacia della gestione dei rischi e dei controlli interni della prima e della seconda linea.
GovernanceIl consiglio di amministrazione o il comitato di audit stabilisce la propensione al rischio, supervisiona le tre linee e riceve le relazioni di tutte. Il coordinamento tra le linee evita lacune e duplicazioni.
Per settoreEsigenza normativa. Tre linee formali con funzioni specializzate e riporto all’autorità di vigilanza.
Adattamento alle dimensioni. La 2ª linea può essere compliance + legale. La 3ª linea può essere esternalizzata.
Ruoli combinati in 1ª e 2ª linea. 3ª linea esternalizzata. Crescita progressiva con lo sviluppo dell’impresa.
Identifica, valuta e gestisce i rischi propri della sua attività. Implementa controlli e piani di mitigazione.
Definisce quadri di rischio, policy e standard. Vigila sulla gestione dei rischi della 1ª linea e la mette in discussione.
Esegue i controlli progettati per la sua area. Svolge autovalutazioni e segnala gli incidenti.
Progetta il quadro di controllo interno, ne monitora il rispetto e propone miglioramenti alla direzione.
Rispetta le policy e le procedure interne. Applica i requisiti regolamentari nella sua operatività quotidiana.
Interpreta la normativa, definisce gli obblighi, forma la 1ª linea e riferisce al regolatore quando necessario.
Segnala incidenti e KRI alla 2ª linea e alla direzione della propria area funzionale.
Riferisce la visione globale dei rischi all’alta direzione e, se del caso, all’organo di governo.
Se riscontri anche solo uno di questi segnali, il modello va rivisto con urgenza.
Se stai progettando o rivedendo un modello delle tre linee di difesa, questi sono i termini che devi padroneggiare.
Quadro di governance che struttura la gestione dei rischi in tre livelli: gestione operativa, supervisione di compliance e rischi, e audit interno indipendente. Standard dell’IIA.
Organizzazione internazionale che stabilisce standard e linee guida per l’audit interno. Autore del modello delle tre linee di difesa e dei suoi aggiornamenti.
Livello di rischio che l’organizzazione è disposta ad assumere per raggiungere i propri obiettivi. Lo definisce l’organo di governo e lo gestisce la prima linea entro i limiti stabiliti.
Area responsabile di vigilare sul rispetto della normativa applicabile, delle policy interne e degli standard etici. Si colloca nella seconda linea di difesa e riferisce all’alta direzione.
Funzione che fornisce assurance obiettiva e indipendente sull’efficacia della gestione dei rischi, del controllo interno e della governance dell’organizzazione. Riferisce all’organo di governo.
Quadro di gestione integrata dei rischi aziendali. La seconda linea può includere una funzione ERM che coordini la visione globale dei rischi trasversali all’organizzazione.
Norma spagnola sui sistemi di gestione della compliance penale. Richiede misure di vigilanza e controllo (tre linee di difesa) per prevenire i reati ed esonerare la persona giuridica ai sensi dell’art. 31 bis del Codice penale.
Indicatori chiave di rischio che permettono di monitorare l’esposizione dell’organizzazione ai suoi rischi principali. La prima linea li genera, la seconda li supervisiona e la terza li sottopone ad audit.
Pur non facendo parte del modello interno, regolatori, autorità di vigilanza e revisori esterni agiscono come una quarta linea di assurance per gli stakeholder e per la società in generale.
THREE LINES GOVERNANCE CONSOLE
La maturità delle tre linee di difesa si misura su tre assi: definizione dei ruoli (sono chiari?), coordinamento (lavorano insieme?) e indipendenza (la 3ª linea è davvero indipendente?). Questo pannello riassume il livello di esigenza in base al settore.
La complessità e il grado di formalizzazione delle tre linee variano in base alla regolazione applicabile al settore.
Raccontaci la tua situazione e ti spieghiamo come possiamo aiutarti nella progettazione, nella revisione o nell’audit del tuo modello delle tre linee di difesa.
Il modello delle tre linee di difesa è un quadro di governance e di gestione dei rischi riconosciuto a livello internazionale. La sua origine è una dichiarazione di posizione congiunta di ECIIA e FERMA del 2013; è stato poi formalizzato e diffuso a livello globale dall’Istituto degli auditor interni (IIA). A luglio 2020 l’IIA ha pubblicato un aggiornamento significativo con il nome «Modello delle Tre Linee», eliminando il riferimento alla «difesa» per riflettere un approccio più orientato alla creazione e alla protezione del valore.
La prima linea di difesa è composta dalle aree di business e dalle funzioni operative dell’organizzazione. Sono i titolari dei rischi: identificano, valutano, controllano e mitigano i rischi legati alla loro attività quotidiana. Implementano i controlli interni ed eseguono i piani di mitigazione. Senza una prima linea efficace, l’intero modello perde la sua base.
La seconda linea comprende funzioni specializzate come la compliance, la gestione dei rischi aziendali (ERM), il controllo interno, la sicurezza delle informazioni, l’antiriciclaggio e altre funzioni di supervisione. La sua missione è vigilare sulla prima linea, affiancarla con consulenza e metterla in discussione, definire policy e standard, e riferire all’alta direzione sullo stato dei rischi e sulla conformità normativa.
La terza linea è l’audit interno, la cui caratteristica distintiva è l’indipendenza dalla direzione operativa. Fornisce assurance obiettiva sull’efficacia della gestione dei rischi e dei controlli interni delle prime due linee. Deve riferire direttamente all’organo di governo (consiglio di amministrazione o comitato di audit) per garantire la propria indipendenza.
In Spagna l’articolo 31 bis del Codice penale richiede un modello di organizzazione e gestione con misure di vigilanza e controllo per prevenire i reati. Le tre linee di difesa sono la struttura naturale per soddisfare questo requisito. La norma UNE 19601 sulla compliance penale è in linea con questo approccio. Per le istituzioni finanziarie, l’implementazione delle tre linee è un’esigenza normativa derivante dalla normativa di settore (MiFID II, Solvency II, orientamenti dell’EBA) e dalla vigilanza della Banca di Spagna e della CNMV.