三道防线模型（Three Lines of Defense）

三道防线模型（3LoD）是一种治理与风险管理框架，将组织划分为三个防护层级：第一道防线（业务运营管理，是风险的责任人）、第二道防线（监督、合规与风险控制职能）和第三道防线（独立的内部审计）。

该模型由国际内部审计师协会（IIA）推广，并于2020年7月更新为“三线模型”（Three Lines Model），更强调价值创造、协调配合以及与组织目标保持一致。

角色与职责

• 第一道防线：业务运营管理：业务部门是风险的责任人，负责日常的风险识别、评估、控制和缓释，并落实内部控制。
• 第二道防线：合规与风险控制：对第一道防线进行监督、提供建议并提出质询。包括合规、风险管理、内部控制、信息安全及其他监督职能。
• 第三道防线：内部审计：就风险管理和内部控制的有效性提供独立鉴证，直接向治理机构（董事会、审计委员会）汇报。

这取决于行业和司法辖区。对于金融机构（银行、投资服务公司、资产管理公司、保险公司），落实三道防线是源自MiFID II、Solvency II、巴塞尔协议III以及欧洲银行管理局（EBA）和欧洲保险与职业养老金管理局（EIOPA）指引的隐性或显性监管要求。

对于非金融企业，法律上并不强制，但这是公司治理的最佳实践标准。此外，西班牙《刑法典》第31条之二要求建立包含监督与控制措施的组织与管理模型，三道防线可以自然地满足这一要求。

IIA于2020年7月发布了“三线模型”（名称中去掉了“防线”二字），与2013年的模型相比有重大变化：

• 从纯粹防御的思路，转向以创造和保护价值为导向。
• 明确了治理机构作为整个模型监督者的角色。
• 第一、第二道防线的角色可以根据组织需要合并或分设。
• 进一步强化内部审计相对于管理层的独立性。
• 强调三道防线之间的协调与协作，而不是彼此孤立。

合规职能位于第二道防线。其职责是监督法规遵从情况，就监管风险向第一道防线提供建议，制定政策和标准，并向高级管理层和治理机构汇报。

在一些组织中，合规可以与风险管理、内部控制、信息安全或反洗钱等其他第二道防线职能并存。关键在于每项职能都有明确的职责授权，不留缺口，也不重复。

可以，但有区别。第一道防线本质上是内部的（即业务运营管理）。第二道防线可以借助外部顾问，但责任仍由管理层承担。第三道防线（内部审计）可以全部或部分外包，不过受监管机构需保留最低限度的内部职能。

此外还存在一种非正式的“第四道防线”：外部审计师、监管机构和监督机构，从组织外部提供额外的鉴证。

西班牙《刑法典》第31条之二规定，法人如果已建立包含监督与控制措施的组织与管理模型以预防犯罪，可以免除刑事责任。三道防线是满足这一要求的天然架构。

第一道防线落实运营控制，第二道防线（合规）监督合规与刑事预防，第三道防线（内部审计）核查模型的有效性。关于刑事合规管理体系的UNE 19601标准与这一思路相一致。

在IIA更新后的模型（2020年）中，治理机构（董事会、审计委员会）具有明确而核心的角色：确立组织目标，确定风险偏好，向管理层授权，并监督三道防线的运作。

治理机构接收三道防线的报告，尤其是来自内部审计的报告；内部审计须直接向其负责，以保证相对于管理层的独立性。