【IIA新ガイドライン】三つのラインモデル、何が変わった？初心者にもわかる全26頁の読み方

こんにちは、「IA Insight Lab（IAラボ）」管理人のHIROです。米国シリコンバレーで「内部監査・GRC × 生成AI」の研究とコンサルティングをしています。このシリーズでは、内部監査人が覚えておくべき最新の規制やガイドラインを、専門家の視点でわかりやすく解説します。

今回お伝えするのは、IIA（The Institute of Internal Auditors／内部監査人協会）が2026年7月に公表した「三つのラインモデル」の新しい方針書です。全26頁の英文ですが、この記事を読むことで、何が変わったのか、そしてご自身の会社・部署にとって何が変わるのかを、専門知識なしで理解できるようになります。

先に結論を3行で書きます。

三つ目は、日本の中堅企業にとって特に大きな話です。「監査室は3人で、リスク管理の事務局も兼ねている」——そういう組織を、IIAはこれまで「あるべき姿から外れている」として扱いがちでした。実際に、私もスタートアップで働いていた時は、内部監査とリスク管理＆コンプライアンスを兼務しており、外部からは「あるべき姿ではない」と言われたことがあります（私は全くそうは思ってませんでしたが）。ただし、今回の更新により状況は変わりました。

記事全体のサマリー

本文を読み進める前に、まずは本記事のサマリー画像を掲載しますので、全体の理解促進にお役立ていただければ幸いです。

1. ガイドラインの概要：この文書は「基準」ではない

1-1. まず文書の身分を押さえる

今回取り上げるのは、IIAが2026年7月に公表した『Three Lines Model: Assurance and Advice in Support of Effective Governance（三つのラインモデル——実効的ガバナンスを支えるアシュアランスとアドバイス）』です。全26頁となっています。

種類は「Statement of Position」（定訳が確立していないため、本記事では「方針書」と表記します）。IIAが「この論点についてIIAはこう考える」という公式の立場を示す文書で、規制当局・基準設定主体・取締役会・経営幹部に影響を与えることを意図していると原典に明記されています。つまり想定読者は内部監査人だけではなく、むしろ経営層・取締役会です。

そして絶対に混同してはいけない点があります。

「グローバル内部監査基準」は内部監査人にとって遵守の対象ですが、方針書は規則ではなく専門職としての判断を助けるための公式見解です。原典自身も「原則主義であり組織構造を規定するものではない」と述べています。ですから社内で「IIAの新基準ではこう決まりました」と説明するのは誤りで、正確には「IIAの新しい方針書ではこういう考え方が示されました」。この1語の違いが、あとで議論の土台を守ってくれます。

1-2. 何を置き換えた文書なのか

原典は、この更新版が「先行のポジションペーパーを置き換える」と述べています。ただし本文には置き換え対象の年次が明記されていません。日本で広く引用されてきたのは2020年に公表された三つのラインモデルで、多くの監査部門の規程やeラーニング教材がこの版の図を使っています。実務上は「これまで参照してきた図と説明は更新の対象になった」と理解しておけば十分です。年次を特定して社内文書に書くなら、IIAの公式アナウンスで確認するのが安全です。

次章では、そもそも三つのラインモデルとは何なのかを専門用語なしで説明します。ご存じの方は第3章からお読みください。

2. 【超入門】そもそも三つのラインモデルとは何か

2-1. レストランで考えるとすべてが繋がる

第1線は、厨房とホールで実際に働く人たちとその管理者です。料理を作り、食材を発注し、冷蔵庫の温度を保つ。食中毒や火災というリスクを実際に作り出しているのも、防いでいるのもこの人たちです。原典の言葉では「リスクを日常的に所有し、プロセス・統制・日々のリスク管理を設計・実装・運用する」役割です。

第2線は、衛生管理や食品安全の専門スタッフです。調理はしません。その代わり衛生基準のマニュアルを作り、現場に助言し、抜き打ちで温度記録を確かめ、店長に「この運用は危ない」と異議を唱えます。原典では「専門領域における専門的支援、助言、チャレンジ（異議）、モニタリング、テーマ別レビューを提供する」役割です。

第3線が、内部監査です。料理も衛生マニュアルも作りません。その代わり「厨房の運用は機能しているか」「衛生スタッフのチェックは実効性があるか」「この2つが噛み合って店全体として食中毒を防げる仕組みになっているか」を独立した立場で確かめ、オーナー（取締役会）に報告します。

2-2. なぜ「3つ」に分かれている必要があるのか

「衛生スタッフがチェックしているなら内部監査は要らないのでは？」という疑問への答えは、原典が3つの線の強みと限界を対比している箇所から読み取れます。それぞれの線に強みと同時に構造的な限界があるのです。

第1線は現場を深く知り即座に手を打てますが、自分が運用しているプロセスを自分で評価するため客観性が制約されます。第2線は第1線から組織的に分離しているぶん客観的で専門知識を持ち込めますが、経営者を通じて報告するため独立性が損なわれることがあります。第3線は独立性が最も高く全業務を俯瞰し、すべての情報にアクセスして経営者の影響を受けずに報告できますが、リスクベースゆえ保証が周期的で、業務への直接的な接触は少なくなります。

そして原典は、この構造をこう総括します。

現場に近ければ客観性が下がり、客観性を高めれば現場から遠くなる。このトレードオフは解消できないので、3つ並べて補い合わせる。これが三つのラインモデルの本質です。

2-3. 初心者がつまずく2つの誤解

原典には、実務でよく議論になる2点が脚注という控えめな形で明示されています。

一つ目は、人事・総務・施設管理などのバックオフィス部門は第2線ではないという点です。三つのラインモデルでは第1線に「フロント・オブ・ハウス（顧客に接する業務）」と「バックオフィス」の両方を含め、第2線はリスク関連事項に焦点を絞った補完活動に限ると明確化されています。人事部は人事という業務プロセスを所有し運用しているので第1線なのです。

二つ目は、第3線は内部監査部門だけとは限らないという点です。組織によっては監督、検査、調査、評価、是正といった他の第3線ロールが特定され、内部監査機能の一部である場合も別に運営されている場合もあるとされています。日本企業でいえば、独立した品質保証部門や内部通報の調査機能がこれに近い位置にあります。

3. 刷新の核心：「アシュアランス」と「アドバイス」という2本の軸

3-1. 副題がすべてを語っている