3ラインモデル（Three Lines Model）とは、組織のガバナンス、リスク・マネジメント、コンプライアンス、コントロールに関わる役割と関係性を整理する、IIA（The Institute of Internal Auditors／内部監査人協会）の枠組みです。

一般的には、第1ラインが日々の業務とリスク管理を担い、第2ラインがリスク管理・コンプライアンスなどの専門的な支援やモニタリングを行い、第3ラインである内部監査が独立した立場からアシュアランスと助言を提供します。これらを取締役会などの統治機関と経営陣の監督・意思決定につなげることが、モデルの重要な考え方です。

IIAは2026年7月8日、3ラインモデルを刷新したStatement of Position「Three Lines Model: Assurance and Advice in Support of Effective Governance」を公表し、従来のPosition Paperを置き換えました。基本的な3ラインの構造は維持しつつ、取締役会などへの説明責任、アシュアランスと助言、各ラインの連携・調整・適切な依拠、内部監査の独立性などがより明確に整理されています。

本記事では、従来の「3ラインディフェンス」との違いから、2026年に刷新された3ラインモデル、グローバル内部監査基準との関係、実務で機能させるためのポイントまで解説します。

目次
3ラインモデルとは？30秒で理解｜各ラインの役割
3ラインディフェンスとは
3ラインディフェンスから3ラインモデルへ｜何が変わった？
3ラインディフェンスと3ラインモデルの違い
2026年に3ラインモデルが刷新｜何が変わった？
3ラインモデルとグローバル内部監査基準の関係
3ラインモデルを実務で機能させる5つのポイント
3ラインモデルが機能しない典型例
3ラインモデルにおける内部監査とCIA
3ラインモデルのまとめ
3ラインモデルについてよくある質問

3ラインモデルは、「第1・第2・第3ラインを順番に並べる」ためのモデルではありません。取締役会等が組織を監督し、経営陣が目的達成のための体制を設計する中で、各ラインが異なる立場からリスク管理、アシュアランス、助言に貢献し、信頼できる情報を意思決定につなげるための枠組みです。

2026年版では、組織ごとに構造やリスク環境、成熟度が異なることを前提に、柔軟に適用できる原則ベースのモデルとして整理されています。

主体	主な役割
取締役会などの統治機関	戦略的方向性を示し、組織全体を監督する。ステークホルダーに対する説明責任を担い、信頼できるアシュアランスと助言を必要とする。
第1ライン（業務執行部門）	日常業務の中でリスクを所有・管理し、プロセスやコントロールを設計・実行する。
第2ライン（リスク管理・コンプライアンス等の専門・支援機能）	専門知識を提供し、第1ラインを支援・助言・牽制・モニタリングする。
第3ライン（内部監査）	ガバナンス、リスク・マネジメント、コンプライアンス、コントロールの有効性について、独立した客観的アシュアランスと助言を提供する。取締役会などの統治機関への機能上の報告関係が独立性を支える。
外部のアシュアランス・助言提供者（外部監査人等）	組織外からアシュアランスや助言を提供する。必要に応じて組織内のアシュアランス活動と調整・依拠の対象となる。

3ラインディフェンス（Three Lines of Defense）は、リスク管理や内部統制に関する役割を、第1のディフェンスライン・第2のディフェンスライン・第3のディフェンスラインの3つに整理する考え方として広く使われてきました。

一般的には、第1のディフェンスラインが業務執行部門、第2のディフェンスラインがリスク管理・コンプライアンスなどの管理・専門部門、第3のディフェンスラインが内部監査部門と整理されます。第1のディフェンスラインが日々の業務の中でリスクを管理し、第2のディフェンスラインが専門的な支援・監視を行い、第3のディフェンスラインが独立した立場から評価するという基本的な役割分担は、現在の3ラインモデルにも引き継がれています。

一方、「Defense（防御）」という名称や各ラインを固定的に捉える表現は、組織の目的達成や価値創造、各役割の連携という側面を十分に表現しにくい面がありました。IIAは2020年に名称を「Three Lines Model」へ更新し、ガバナンスの中で各役割がどう関係するかをより明確にしました。

2020年の3ラインモデルは、3ラインディフェンスの基本的な役割分担を否定したものではありません。大きな変化は、リスクを「防ぐ」ことだけでなく、組織の目的達成や価値の創造・保全に各役割がどう貢献するか、また取締役会などの統治機関・経営陣・内部監査がどのように連携するかを重視した点です。

つまり、3つのラインを別々の防御壁として捉えるのではなく、役割の違いを保ちながら相互に情報を共有し、組織全体としてガバナンスとリスク管理を機能させる考え方へ発展しました。

両者の違いを理解する際は、「第1のディフェンスライン・第2のディフェンスライン・第3のディフェンスライン」から「第1ライン・第2ライン・第3ライン」へ呼び方が変わったことだけを見るのではなく、モデルが何を重視しているかを見ることが重要です。

比較項目	3ラインディフェンス	3ラインモデル
主眼	リスクへの防御・内部統制	組織の目的達成、価値の創造・保全を含むガバナンス
役割の捉え方	3つの防御線として理解されやすい	異なる役割と相互の関係性を重視
第1・第2の役割	第1・第2のディフェンスラインは別の防御線として分離して見えやすい	第1・第2ラインはいずれも経営管理者側の役割として、連携を重視
第3の役割	第3のディフェンスラインが独立した評価・監査を担う	第3ラインが独立・客観的なアシュアランスと助言を担い、取締役会などとの関係も明確化
コミュニケーション	一方向・縦割りに理解される余地	整合、コミュニケーション、調整、協働を重視

まずは無料の説明会にご参加ください。

IIAは2026年7月8日、3ラインモデルを更新したStatement of Positionを公表しました。この文書は従来のPosition Paperを置き換えるもので、モデルの基本構造を維持しながら、複雑化する組織環境で、取締役会などの統治機関や経営陣が信頼できるアシュアランスと助言を得るために、各ラインがどう機能するかをより具体的に示しています。

2026年版で特に押さえたいポイントは、次の5つです。

2026年版は、取締役会などの構成員、経営陣、CAE（最高監査責任者）を主な対象として位置づけています。取締役会などの統治機関は、戦略的な方向性を示して組織を監督する立場にあり、意思決定のために、業績・リスク・コントロールに関する信頼できるバランスの取れた情報を必要とします。

3ラインはそれぞれ異なる立場から情報、アシュアランス、助言を提供し、それらを取締役会などの監督と意思決定につなげます。

2026年版では、assurance（アシュアランス）とadvice（助言）は異なるものの、組織の意思決定とパフォーマンスを支える補完的な価値として整理されています。

第1・第2・第3ラインはいずれも、その役割や業務への近さ、独立性の程度に応じてアシュアランスや助言に貢献します。ただし、独立した立場から客観的な結論を提供する第3ラインのアシュアランスには、他のラインとは異なる固有の価値があります。

内部監査にとって独立性は重要ですが、IIAは「独立性＝他部門と距離を置き、関わらないこと」ではないと明確にしています。

独立性を守りながらも、第1・第2ラインと透明性のあるコミュニケーションを行い、責任範囲を明確にし、建設的に関与することが必要です。内部監査が他部門と対話すること自体が独立性を損なうわけではありません。重要なのは、内部監査が管理上の意思決定や実行責任を引き受けず、客観性を守ることです。

2026年版では、各ラインや外部提供者によるアシュアランス・助言を調整し、必要に応じて適切に依拠することで、重複を減らし、リスクカバレッジの抜けを見つけ、取締役会などの統治機関や経営陣へ、より一貫した情報を届ける考え方が強調されています。

各部門が個別に同じ領域を確認するだけでは、監査・モニタリングの重複が増える一方で、重要リスクが誰にも見られていないという「抜け」が生じる可能性があります。全社のアシュアランス活動を見渡すことが重要です。

2026年版では、内部監査は組織全体を横断して見ることができ、取締役会などの統治機関へ直接アクセスできることから、全社のアシュアランスを統合する役割（integrator of assurance）を担いうる独自の立場にあるとされています。

これは、内部監査がすべてのリスク管理やモニタリングを自ら実施するという意味ではありません。第1・第2ラインや外部のアシュアランス・助言提供者の活動を把握し、必要な調整や依拠を行い、組織全体のリスクとコントロールを一貫した視点で、取締役会などの統治機関へ示すことが期待されています。

参照：The IIA「Statements of Position」
参照：The IIA「Three Lines Model: Assurance and Advice in Support of Effective Governance」

3ラインモデルとグローバル内部監査基準は密接に関係していますが、同じものではありません。

グローバル内部監査基準のDomain III「Governing the Internal Audit Function」は、取締役会等、経営陣、内部監査部門の間に必要な関係と条件を定めています。IIAは、3ラインモデルとDomain IIIの双方が、取締役会等・経営陣・内部監査部門のパートナーシップを通じて組織の成功を支える点で結びついていると説明しています。

特にDomain IIIでは、Principle 6で内部監査の権限・役割・責任、Principle 7で独立性、Principle 8で取締役会等による監督が重視されています。またStandard 9.5「Coordination and Reliance」では、CAEが他のアシュアランス提供者と調整し、その業務への依拠を検討することが求められています。

なお、3ラインモデル自体はグローバル内部監査基準の必須要件そのものではありません。IIAは、組織全体のガバナンス関係の詳細はStandardsの範囲を超えるため、3ラインモデルを関連するガイダンス・IIAの見解として位置づけています。

参照：The IIA「The Three Lines Model and the Global Internal Audit Standards」

まずは無料の説明会にご参加ください。

3ラインモデルは、組織図に「第1・第2・第3ライン」と書くだけで機能するものではありません。IIAの2026年版の考え方を実務へ落とし込むと、少なくとも次の5点を確認することが重要です。

日々の業務に伴うリスクを最も近くで把握し、プロセスやコントロールを設計・運用するのは第1ラインです。「リスクはリスク管理部門の仕事」とせず、業務部門自身がリスクオーナーとして責任を持つことが出発点になります。

第2ラインは、第1ラインを支援し、専門知識を提供し、必要に応じて牽制・問いかけ（challenge）やモニタリングを行う役割です。リスク管理、コンプライアンス、情報セキュリティなどの専門機能が、業務部門と分断されずに機能することが重要です。

内部監査は独立した立場からアシュアランスを提供する一方、独立性を理由に第1・第2ラインとの情報共有を避ける必要はありません。監査対象やリスクを理解するための対話・連携は行いながら、管理責任や意思決定は引き受けないという境界を明確にします。

第1ラインの自己点検、第2ラインのモニタリング、内部監査、外部監査など、組織内外では複数の確認活動が行われています。誰がどの重要リスクをどの程度確認しているかを整理し、重複と未カバー領域を把握することで、限られたリソースを有効に使えます。

組織規模や体制によっては、役割を完全に分離できない場合があります。2026年版も、実務上ラインの役割が重複することを認めています。

例えばCAEが第2ラインの責任も担う場合には、取締役会などの統治機関による承認、責任範囲の明確化、独立したレビューなど、内部監査の独立性と客観性を守るための適切なセーフガードが必要です。

3ラインモデルは柔軟な枠組みだからこそ、役割の名前だけを導入すると形骸化する可能性があります。以下は、IIAが示す役割・独立性・調整の原則を基に、実務上注意したい状態をアビタスが整理したものです。

ケース	問題
ケース1：リスク管理を第2ラインへ丸投げ	第1ラインがリスクオーナーとしての責任を持たず、業務とリスク管理が分離する。
ケース2：内部監査が改善策の実行責任まで持つ	第3ラインが管理責任を引き受け、自ら実施した活動を後で評価する自己レビュー（self-review）のリスクが生じる。
ケース3：「独立性」を理由に内部監査が孤立する	第1・第2ラインとの情報共有が不足し、重要リスクや変化を把握しにくくなる。
ケース4：各部門の確認活動が重複、または重要リスクが未カバー	調整・依拠が不足し、監査疲れやリソースの無駄、カバレッジの抜けにつながる。
ケース5：各ラインの情報が取締役会などまで統合されない	個別の報告はあっても、取締役会などが組織全体のリスク・コントロールの状況を把握しにくい。

まずは無料の説明会にご参加ください。

3ラインモデルでは、内部監査は第3ラインとして、ガバナンス、リスク・マネジメント、コンプライアンス、コントロールの有効性について、独立した客観的アシュアランスと助言を提供します。

この役割を果たすには、監査手続だけでなく、ガバナンス、リスク、コントロールを組織全体の視点で理解することが必要です。CIA（公認内部監査人）は、こうした内部監査の専門知識・スキル・能力を体系的に学び、その専門性を客観的に示す国際資格です。

CIAの試験内容、取得メリット、キャリアについては、以下のページで詳しく解説しています。

関連ページ：CIA（公認内部監査人）とは？取得メリット・試験・難易度・キャリアを解説

3ラインモデルは、第1・第2・第3ラインを単純に分けるための組織図ではなく、取締役会などの統治機関、経営陣、各ラインがそれぞれの責任と独立性を保ちながら、アシュアランスと助言を組織の目的達成につなげるためのガバナンスの枠組みです。

2026年7月に刷新されたIIAのStatement of Positionでは、取締役会などへの説明責任、アシュアランスと助言の補完関係、独立性と連携の両立、調整・依拠、内部監査によるアシュアランスの統合がより明確になりました。

自社で3ラインモデルを機能させるには、「誰が第何ラインか」という分類だけでなく、誰がリスクを所有するのか、どの役割がどのアシュアランス・助言を提供するのか、重複や抜けがないか、重要な情報が取締役会などまで届いているかを確認することが重要です。

完全に同じではありません。3ラインモデルは、3ラインディフェンスの基本的な役割分担を引き継ぎながら、組織の目的達成や価値の創造・保全、ガバナンス、各役割の連携をより重視する形へ発展したモデルです。IIAは2020年に「Three Lines Model」へ更新し、2026年7月にはさらにStatement of Positionを刷新しました。

必ずしも完全に独立しているわけではありません。第2ラインは経営陣側の役割であり、第1ラインを支援し、専門的な助言、牽制・問いかけ（challenge）、モニタリングを行います。第1ラインの報告ラインから一定の距離を持つ場合もありますが、第3ラインである内部監査の独立性とは性質が異なります。

連携すること自体で独立性を失うわけではありません。IIAは2026年版で、独立性は孤立を意味しないと説明しています。内部監査は第1・第2ラインと対話・調整を行いながら、管理責任や意思決定を引き受けず、客観性を保つことが重要です。

3ラインモデル自体を採用することが、グローバル内部監査基準の必須要件というわけではありません。一方、IIAは3ラインモデルとDomain IIIの関係を明確に説明しており、取締役会等・経営陣・内部監査部門の役割や独立性、監督、連携を理解するうえで重要な関連フレームワークです。

必ずしも3つのラインを別々の部門として完全に分離する必要はありません。2026年版は、組織の構造、リスク環境、成熟度に応じて適用できる柔軟なモデルです。役割が重複する場合は、責任の明確化、透明性、独立性・客観性を守るためのセーフガードが重要になります。

第3ラインである内部監査には、ガバナンス、リスク・マネジメント、コントロールを横断的に理解する専門性が求められます。CIA（公認内部監査人）の特徴や試験、取得メリットを詳しく知りたい方は、アビタスのCIA解説ページをご覧ください。

関連ページ：CIA（公認内部監査人）とは？取得メリット・試験・難易度・キャリアを解説