IIA在三道防线模型基础上推出新的三线模型

       在过去一段时间里，IIA对其推出的受到广泛认可和信任的风险管理工具“三道防线模型”进行了修订和更新，并于近期发布了最新成果“三线模型”。通过专家在全新视角下对就旧模型的审视和研究，相信在此基础上形成的新模型能够改变许多组织看待风险、控制、协作、沟通、问责、确认等方面的方式。

       在一年多以前，我就曾经发表过文章，公布了IIA对“三道防线模型”进行修订的计划。修订的目的是为了更好地反映现代风险管理和治理发生的变化，同时保留模型直白、清晰的表达方式。令人感到高兴的是，经过长时间的辛勤工作，对全球专家、相关人士的意见进行了充分汇总和梳理，我们终于交出了一份满意的答卷。

三线模型：进化和发展

       新模型并没有对“三道防线模型”作出颠覆性的改变，而是在其基础上进行了发展和进化。但这并不意味着这些变化是微不足道的（但这些变化同样具有重要意义）。 

       其中非常重要的一个变化就是在模型中突出强调了治理机构的职责和作用。新的“三线模型”清晰地定义了治理机构、执行管理层和内部审计各自扮演的角色和应当履行的职责，并且没有局限于风险管理，而是将关注范围拓展到了组织的整体治理。

       尽管新模型还不能被称为一个治理模型，但对治理的强调能够有力地支持价值保护和价值创造，从风险管理的“进攻”和“防御”这两个相辅相成的方面进行探讨。之所以进行了这样的修订，是因为通过调研我们发现，“三道防线模型”过于注重“防御”（价值保护），这也是旧模型受到的最主要的批评之一。

       问责。治理机构对利益相关方负责，承担监督职责。 

       行动（包括管理风险）。管理层负责组织目标的实现。

       确认和咨询。独立内部审计部门为组织提供鉴证和树立信心，同时推动组织实现不断进步。 

       尽管已经建立了许多保障内部审计独立性和内部审计人员客观性的机制，有些人认为内部审计不能越雷池一步，只能作为第三线孤立存在。但是，修订后的模型明确提出“独立不意味着孤立”。新模型强调：“内部审计应当与管理层保持定期的互动……管理层的第一、二线职能部门和内部审计之间需要相互协作，保持沟通。”