IIA・3ラインモデルのアップデート要旨

※本記載は筆者による要旨の整理であり、IIAの公式見解ではありません。厳密な解釈を必要とする実務適用や社内規程への反映にあたっては原文をご確認ください。

はじめに

IIA（内部監査人協会）が2026年に公表したポジションペーパー「Three Lines Model: Assurance and Advice in Support of Effective Governance」は、従来の3ラインモデルを更新し、有効なガバナンスを支えるためにアシュアランスと助言をどのように設計し連携させるかについて明確化したものです。3ラインの基本構造自体は変更されていませんが、取締役会が意思決定に必要とする「信頼できるバランスの取れた情報（Reliable and balanced information）」を、組織としてどのように整えるかという観点が強調されています。

主要なポイントは次のとおりです。

• 第1線・第2線・第3線の役割は維持されるが、相互の連携と調整がより重視されていること
• アシュアランスと助言は異なるが補完的関係であり、いずれもガバナンスと意思決定を支えること
• 内部監査は独立性を維持しつつ、アシュアランスの統合促進者（Integrator of assurance）として全体像の可視化に貢献し得ること
• 他のラインや外部提供者への依拠（Reliance）は可能であるが、無条件ではなく、品質等の期待水準を満たしているかの検討が前提となること
• 役割の重複や兼務があり得るが、その場合でも独立性と客観性を守るための防御措置が必要であること

位置づけ、目的、原則

（1）位置づけ

本ポジションペーパーは従来版の更新であり、3ラインの基本構造を変更するものではありません。複雑化する経営環境下でアシュアランスと助言をどう組み合わせるかを示す原則ベース（principles-based）の文書です。

（2）主な対象読者

取締役会（または相当する統治機関）、経営陣、CAE（内部監査部門長）

（3）目的

①取締役会・経営陣・内部監査の役割・責任・関係性の明確化、②取締役会が必要とする信頼できるバランスの取れた情報の認識、③組織は外部要因と内部要因の組み合わせに基づいて構造やプロセスに関する意思決定を行うことの認識、④リスク管理、保証、助言の連携アプローチによる組織目標の達成、価値創造・保護、ステークホルダー間の信頼向上への貢献の強調の4点が挙げられています。

（4）原則

本ポジションペーパーでは5つの原則を示し、アシュアランスや助言がどのようにガバナンスを支え、独立性がいかに取締役会に提供される情報への信頼（確信）を高めるかについて記しています。

• 取締役会は、組織の目的、リスク選好、期待水準を定め、戦略目標の追求を監督する
• 有効な監督の成否は、業績・リスク・コントロールに関する信頼できるバランスの取れた情報に依拠する
• 取締役会と経営陣は、役割と責任を明確に定義することで説明責任を確立する
• 独立した主体を含むさまざまな保証の源泉は、ガバナンス、リスク管理、コンプライアンス、およびコントロールプロセスが意図したとおりに機能し、目標を達成し、かつ適時な是正措置を促進しているという確信を取締役会に与える
• 助言は、改善や十分な情報に基づく意思決定を支援する洞察、視点、選択肢を提供することで、アシュアランスを補完する

3ラインモデルの基本構造

IIAの3ラインモデルにおけるそれぞれの役割は以下のとおりです（図表1）。

• 第1線：業務執行の中でリスクを保有・管理し、日々のコントロールを設計・運用する役割。
  アシュアランスの視点からは業務知識は深いが客観性に制約がある。
• 第2線：専門的知見に基づき第1線を支援・モニタリングし、必要に応じて異議を唱える役割。
  アシュアランスの視点からは第1線より客観的だが保証深度は準拠性や監視に重点が置かれており、レポートラインが経営陣であるため、その影響を受ける可能性がある。
• 第3線（内部監査）：取締役会（監査委員会）への職務上（Functional）の報告ラインを有し、経営管理者からの独立性が確保された立場で、ガバナンス、リスクマネジメント、コンプライアンスおよびコントロールの有効性に関して独立した立場から客観的なアシュアランスと助言を提供する役割。
  その一方で、一般的には監査活動はリスクベースかつ周期的なものにとどまる（そのため助言による補完も有用な選択肢となる）。

これらの「線（ライン）」は硬直的な組織体制図を表すものではなく、役割の区別を明確にする考え方です。3つの線（ライン）は相互に連携することが前提であり、それによって組織全体として機能発揮されます。

図表1：IIAの3ラインモデル

今回の改訂で強調されている点

（1）アシュアランスと助言の整理

アシュアランスは各プロセスが適切かつ有効に機能しているかの客観的結論を提供するものであり、独立性が不可欠です。

助言は新たな論点や改善機会等の洞察を提供するもので、内部監査は経営管理者の責任や意思決定を担わないことが求められます。

（2）連携（Coordination）の重視

各ラインが個別に活動するのではなく協働・連携し、重複の削減、カバー不足領域の把握、取締役会への整合された情報（深度ある全体像の可視化）の提供を目指します。

（3）依拠（Reliance）の考え方

内部監査は適切な場合、他のラインや外部のアシュアランス提供者の作業に依拠し得ますが、無条件の依拠は想定されていません。内部監査では、他の提供者の作業が期待する品質水準（専門性、客観性、実施体制、目的・範囲など）を満たしているかを検討したうえで依拠の可否を判断し、満たしていないと判断した場合には依拠しないという選択を行うことができます。したがって依拠とは単なる「依存」ではなく、評価を前提とした慎重な活用と理解すべきと考えられます。

（4）Integrated assuranceの重要性

各ラインが保有する情報を連携させ、ガバナンス等の有効性について一貫した見取り図を取締役会に示すことを意図するものです。実務例としては、アシュアランスマップの整備、共通のリスクタクソノミーの活用、報告様式の整合、重複・未カバー領域の可視化、計画策定段階での調整的な対話などが挙げられます。

この概念については同時期に発行された「ERMにおける内部監査の役割（Role of the Internal Audit Function in Enterprise Risk Management/IIA/2026）」においても同様に記載されています。

（5）アシュアランスの統合促進者（Integrator of assurance）としての内部監査の役割

内部監査は全社横断的視点と取締役会への直接的コミュニケーション経路を有することから、各種アシュアランス活動をつなぐ役割が期待されます。ただし、これは他ラインの責任を引き受けることを意味せず、責任の代替ではなく全体像の可視化と連携の促進が期待されています。

（6）役割の重複がある場合の防御措置

組織の規模、成熟度、資源制約等によって役割の重複・兼務が生じることがあります。本ポジションペーパーでは内部監査部門、CAEが第2線に関連する役割・機能を担う場合についてそれぞれ触れています。こうした取り決めでは、慎重な検討、定期的な評価（外部等による独立評価含む）および取締役会への十分な透明性の確保が求められます。防御措置の例として以下のような記載がなされています。

• 自ら設計または運用したプロセスについて、自らアシュアランスを行わないこと
• 過去に責任を負っていた領域についてアシュアランスを行う場合、客観性確保のため原則として少なくとも12カ月の期間を置くことが目安とされること
• 管理責任との境界を明確にすること
• 取締役会との直接的なコミュニケーション（透明性）を確保すること

実務上の示唆

（1）取締役会・経営陣

3ラインモデルを内部監査の枠組みではなく経営・監督機能を支える基盤として捉え、①誰がリスクを保有・支援・監視・独立評価するかの明確化、②報告・コミュニケーション経路の整備、③重複領域と空白領域の把握を行うことが重要です。

取締役会・経営陣が必要とするのは、組織目標やリスク選好と関連づけられた、信頼できるバランスの取れた情報です。

また、役割兼務の際は効率性と独立性・客観性に対する防御措置を併せて設計する必要があります。

（2）内部監査

独立性（第3線固有の立場）を維持しつつ、最も価値を持つアシュアランスと補完としての助言に重点を置くことが重要です。

①独立かつ客観的なアシュアランスの提供、②助言時に経営管理者の責任・意思決定を担わないこと、③他ラインや外部提供者への依拠に際する品質等の検討、④統合促進者としての支援、⑤第2線的活動への関与は例外的・状況依存的対応として取締役会と共有し防御措置を講じることなどが求められます。

内部監査は「助言する」ことはできますが、「決める」「担う」ことまで行ってはならないという線引きは、引き続き重要です。

また、内部監査（人）には、従来の「独立した評価者」としての能力に加え、各ラインの情報を接続し、連携・調整を促すためのコミュニケーション能力、構想力、全社的視点がより一層求められると考えられます。「独立」と「孤立」は別の概念になります。

実効的に機能させるための要点

これまで説明してきたように、3ラインモデルを機能させるポイントとしては①役割と責任の明確化、②情報の接続、③重複と空白の管理、④必要に応じた直接的コミュニケーション、⑤独立性と客観性を守るための防御措置（自ら設計・運用した対象を評価しない、過去の責任領域の評価時は客観性に配慮する等）の5点に整理することができます。

おわりに

本ポジションペーパーの意義は、3ラインモデルを単なる役割分担の整理としてではなく、3ラインの連携のあり方を通じて取締役会が信頼できる全体像を把握し、意思決定の質を高めるための仕組みとして再整理した点にあります。

内部監査には、独立した立場から客観的なアシュアランスを提供するという中核的役割に加え、アシュアランスの統合促進者として組織全体の見取り図を示すことが、より明確に期待されています。その意味で、本ポジションペーパーは、取締役会、経営陣、内部監査のそれぞれに対し、「誰が何を担うのか」だけでなく、「それらをどうつなぎ、取締役会にどう示すのか」を問い直すものと言えます。

また、今後GRC領域へのAIエージェントの導入に伴い、より3つのライン間の連携も促進されていくものと思われます。その中で連携と依拠のあり方を考える上での整理になると思われます。

参照：Three Lines Model: Assurance and Advice in Support of Effective Governance/ IIA/ 2026
https://www.theiia.org/globalassets/site/resources/statements-of-position/tlm_assurance_advice_support_effective_gov_en.pdf