Das Drei-Linien-Modell des IIA (deutsche Bezeichnung) oder the IIA’s Three Lines Model (englisch) ist ein Modell des Revisionsweltverbandes Institute of Internal Auditors (IIA). Es beschreibt wirksame Strukturen und Prozesse innerhalb von Organisationen, die zur Erreichung der gesetzten Ziele beitragen und gleichzeitig eine starke Governance und ein starkes Risikomanagement unterstützen.
Das Modell wird seit 2020 beim IIA in überarbeiteter Fassung unter dieser neuen Bezeichnung geführt. Zuvor trug es die Bezeichnungen Modell der drei Verteidigungslinien (deutsch) bzw. Three Lines of Defense Model (englisch).
Einführung
Nach Darstellung des IIA soll das Drei-Linien-Modell Organisationen (Unternehmen eingeschlossen) dabei helfen, Strukturen und Prozesse zu identifizieren, die die Erreichung der gesetzten Ziele am besten unterstützen und eine starke Governance und ein starkes Risikomanagement fördern. Das Modell soll laut IIA für alle Organisationen anwendbar sein. Als Vorteile des Modells werden angegeben: Die Wahl eines prinzipienbasierten Ansatzes und die Anpassung des Modells an die Ziele und Umstände der Organisation. Die Konzentration auf den Beitrag, den das Risikomanagement zur Erreichung der gesetzten Ziele und der Wertschöpfung leistet sowie auf Fragen der Verteidigung bzw. des Schutzes von Werten. Ein klares Verständnis der im Modell dargestellten Rollen und Verantwortlichkeiten und der Beziehungen zwischen ihnen. Umsetzungsmaßnahmen, die sicherstellen, dass die Aktivitäten und Ziele mit den vorrangigen Interessen der Interessengruppen in Einklang stehen.
Grundsätze des Drei-Linien-Modells Das Modell umfasst sechs Grundsätze:
Grundsatz 1: Governance Die Governance einer Organisation soll angemessene Strukturen und Prozesse aufweisen im Hinblick auf:
Die Verantwortung eines Leitungsorgans gegenüber Interessengruppen für die organisatorische Beaufsichtigung durch Integrität, Führung und Transparenz. Tätigkeiten des Managements (das Risikomanagement eingeschlossen) zur Erreichung der Ziele der Organisation durch risikoorientierte Entscheidungen und Einsatz der Ressourcen. Prüfungssicherheit und Beratung durch eine unabhängige interne Revisionsfunktion, die Klarheit und Vertrauen schafft und kontinuierliche Verbesserungen durch gründliche Untersuchungen und aufschlussreiche Kommunikation fördert.
Grundsatz 2: Rollen des Leitungsorgans Das Leitungsorgan stellt sicher:
Dass die für eine wirksame Governance angemessenen Strukturen und Prozesse vorhanden sind. Dass die Ziele und Aktivitäten der Organisation an die wichtigsten Ziele der Interessengruppen angepasst sind.
Das Leitungsorgan:
Delegiert Verantwortung und stellt dem Management Ressourcen zur Verfügung, um die Ziele der Organisation zu erreichen und sicherzustellen, dass rechtliche, regulatorische und ethische Erwartungen erfüllt werden. Etabliert und beaufsichtigt eine unabhängige, objektive und kompetente interne Revisionsfunktion, die Klarheit und Vertrauen liefert bezüglich des Fortschritts bei der Erreichung der Ziele.
Grundsatz 3: Management und Rollen der ersten und zweiten Linie
Zur Erreichung der Ziele der Organisation umfasst die Verantwortung des Managements sowohl Rollen der ersten als auch der zweiten Linie.
Rollen der ersten Linie: hauptsächlich verbunden mit der Lieferung von Produkten oder Dienstleistungen an Kunden. Darin eingeschlossen sind auch Unterstützungsfunktionen. Rollen der zweiten Linie: leisten Unterstützung beim Management von Risiken.
Grundsatz 4: Rollen der dritten Linie
Die Interne Revision bietet Sicherheit durch unabhängige und objektive Prüfungen und Beratung in Bezug auf die Angemessenheit und Wirksamkeit der Governance und des Risikomanagements. Sie erreicht dies durch Kompetenz und Expertise bei der Anwendung systematischer und zielgerichteter Prozesse. Ihre Erkenntnisse berichtet sie dem Management und dem Leitungsorgan, um kontinuierliche Verbesserungen zu fördern. Sie kann die von anderen internen und externen Anbietern erbrachten Prüfungsleistungen berücksichtigen.
Grundsatz 5: Unabhängigkeit der dritten Linie
Die Unabhängigkeit der Internen Revision von den Verantwortlichkeiten des Managements ist von kritischer Bedeutung für ihre Objektivität, Autorität und Glaubwürdigkeit. Erreicht wird sie durch Verantwortung gegenüber dem Leitungsorgan, ungehinderten Zugang zu Menschen, Ressourcen und Daten, die für die Durchführung der Tätigkeiten erforderlich sind, sowie unvoreingenommene und frei von Einflussnahme durchgeführte Planung und Erbringung von Revisionsleistungen.
Grundsatz 6: Wertschöpfung und Schutz von Werten
Alle innerhalb des Unternehmens bzw. der Organisation zusammenarbeitenden Rollen tragen gemeinsam zur Wertschöpfung und zum Schutz der Werte bei, wenn sie miteinander und mit den vorrangigen Interessen der Interessengruppen in Einklang gebracht werden. Durch Kommunikation, Kooperation und Zusammenarbeit wird die Abstimmung der Aktivitäten erreicht. Damit wird die Zuverlässigkeit, Kohärenz und Transparenz der Informationen gewährleistet, die für risikoorientierte Entscheidungen benötigt werden.
Wichtige Rollen im Drei-Linien-Modell In Organisationen gibt es große Unterschiede bei der Zuordnung von Verantwortlichkeiten. Die folgenden übergeordneten Rollen sind im Rahmen des Drei-Linien-Modells besonders bedeutsam.
Das Leitungsorgan Ist rechenschaftspflichtig gegenüber den Interessengruppen für die Aufsicht über die Organisation. Arbeitet mit den Interessengruppen zusammen Pflegt eine Kultur, die ethisches Verhalten und Rechenschaftspflicht fördert. Richtet Strukturen und Prozesse für die Governance ein. Delegiert Verantwortung und stellt dem Management Ressourcen zur Verfügung, um die Ziele zu erreichen. Bestimmt die Risikobereitschaft der Organisation und übt die Aufsicht über das Risikomanagement (einschließlich der Internen Kontrollen) aus. Beaufsichtigt die Einhaltung rechtlicher, regulatorischer und ethischer Erwartungen. Errichtet und beaufsichtigt eine unabhängige, objektive und kompetente interne Revisionsfunktion.
Management Rollen der ersten Linie Leitet und lenkt die Tätigkeiten – auch das Risikomanagement – und den Ressourceneinsatz, um die Ziele der Organisation zu erreichen. Ist im Dialog mit dem Leitungsorgan und berichtet über Ergebnisse und Risiken. Errichtet und unterhält geeignete Strukturen und Prozesse für das Management des Betriebs und der Risiken (interne Kontrollen eingeschlossen). Stellt die Einhaltung gesetzlicher, regulatorischer und ethischer Anforderungen und Erwartungen sicher.
Rollen der zweiten Linie Bietet ergänzende Fachkenntnisse, Unterstützung, Überwachung und Aufgaben im Zusammenhang mit dem Risikomanagement, einschließlich Entwicklung, Implementierung und kontinuierliche Verbesserung von Risikomanagementpraktiken (einschließlich interner Kontrollen) auf Ebene von Prozessen, Systemen und Entitäten. Erreichung von Risikomanagement-Zielen, wie z. B. Einhaltung von Gesetzen, Regulierungen und akzeptablem ethischem Verhalten, interne Kontrollen, Informations- und Technologiesicherheit, Nachhaltigkeit und Qualitätssicherung. Bereitstellung von Analysen und Berichten über die Angemessenheit und Wirksamkeit des Risikomanagements (einschließlich interner Kontrollen).
Interne Revision Bewahrt die primäre Rechenschaftspflicht gegenüber dem Leitungsorgan und die Unabhängigkeit von den Verantwortlichkeiten des Managements. Vermittelt dem Management und dem Leitungsorgan unabhängige und objektive Prüfungssicherheit und Beratung hinsichtlich der Angemessenheit und Wirksamkeit der Governance und des Risikomanagements (interne Kontrollen eingeschlossen), um die Erreichung der Ziele der Organisation zu unterstützen und zu kontinuierlichen Verbesserungen beizutragen. Meldet dem Leitungsorgan Beeinträchtigungen der Unabhängigkeit und Objektivität und setzt bei Bedarf Schutzvorkehrungen um.
Externe Prüfungsdienstleister Bieten zusätzliche Prüfungssicherheit bezüglich der Erfüllung von gesetzlichen und regulatorischen Erwartungen. Erfüllung von Wünschen des Managements und des Leitungsorgans zur Ergänzung interner Quellen von Prüfungssicherheit.
Beziehungen zwischen den Kernrollen mini|600px|Schematische Darstellung des Drei-Linien-Modells Das Modell beschreibt die Beziehungen zwischen den Kernrollen wie folgt:
Zwischen Leitungsorgan und Management In der Regel gibt das Leitungsorgan durch die Definition der Vision, des Auftrags, der Werte und der Risikobereitschaft die Richtung der Organisation vor. Es delegiert die Verantwortung für die Zielerreichung mit den erforderlichen Ressourcen an das Management. Das Leitungsorgan erhält vom Management Berichte über die Ergebnisse und über Risiken und das Risikomanagement.
Zwischen Management und Interner Revision Die Unabhängigkeit der Internen Revision vom Management gewährleistet, dass sie in ihrer Planung und bei der Durchführung ihrer Arbeit frei von Behinderungen und Voreingenommenheit ist und ungehinderten Zugang zu den erforderlichen Personen, Ressourcen und Informationen hat. Dem Leitungsorgan gegenüber ist die Interne Revision rechenschaftspflichtig. Ein regelmäßiger Austausch zwischen Interner Revision und Management ist erforderlich.
Zwischen Interner Revision und Leitungsorgan Die Interne Revision ist dem Leitungsorgan gegenüber rechenschaftspflichtig und gilt deshalb zuweilen auch als deren Auge und Ohr.
Das Leitungsorgan ist für die Aufsicht über die Interne Revision verantwortlich.
Zwischen allen Rollen Leitungsorgan, Management und Interne Revision haben unterschiedliche Verantwortlichkeiten. Gemeinsam ist ihnen, dass alle Aktivitäten auf die Ziele der Organisation abgestimmt sein müssen. Dazu bedarf es einer regelmäßigen und wirksamen Koordination, Zusammenarbeit und Kommunikation.
Anwendung des Modells Zur Anwendung des Modells werden u. a. folgende Aussagen getroffen:
Struktur, Rollen und Verantwortlichkeiten Am wirksamsten ist das Drei-Linien-Modell, wenn es an die Ziele und Umstände der Organisation angepasst wird. Die Strukturierung einer Organisation und die Verteilung der Rollen sind durch das Management und das Leitungsorgan festzulegen.
Die Leitung und Beaufsichtigung der Funktionen der zweiten Linie kann so gestaltet werden, dass ein gewisses Maß an Unabhängigkeit von denen der ersten Linie – oder auch von den obersten Managementebenen – gewährleistet ist, z. B. durch Rechenschaftspflichten und Berichtslinien gegenüber dem Leitungsorgan. Es sind so viele Berichtslinien zwischen Management und Leitungsorgan zulässig, wie erforderlich sind. Insbesondere in regulierten Finanzinstitutionen können solche Regelungen gesetzlich vorgeschrieben sein, um eine ausreichende Unabhängigkeit zu gewährleisten. Die Managementrollen der ersten Linie bleiben für das Risikomanagement aber verantwortlich.
Ein definierendes Merkmal der Funktionen der dritten Linie ist die Unabhängigkeit vom Management. Die Interne Revision hebt sich durch ihre Bedeutung und die Art der Unabhängigkeit von anderen Funktionen ab, was den besonderen Wert ihrer Prüfungs- und Beratungsleistungen erst ermöglicht. Die Unabhängigkeit der Internen Revision wird dadurch gewahrt, dass sie keine Entscheidungen trifft oder Tätigkeiten übernimmt, die zur Verantwortung des Managements gehören (einschließlich des Risikomanagements) und dass sie sich weigert, Aktivitäten zu prüfen, für die sie aktuell oder in jüngster Zeit verantwortlich ist oder war.
Beaufsichtigung und Prüfungssicherheit