三線ディフェンス — 現場・管理部門・内部監査の役割分担

守りを一カ所に集めると、その一カ所が抜けた瞬間に終わる。だから組織は三段で構える。現場、管理部門、内部監査。それぞれが別の角度から同じリスクを見張ることで、どこか一線が落ちても全体は崩れない。資材審査は、この三段のうち第 2 線に座っている。

01守りを重ねる、という発想

不正やミスは、いつかどこかで起きる。問題は「起きるかどうか」ではなく、起きたときに食い止める層が何枚あるかです。一枚の壁だけに頼れば、その壁が破られた瞬間に、すべてが通り抜けてしまう。

三線ディフェンス（3 ラインモデル）は、防御を重ねて配置する考え方です。第 1 線がリスクを取りながら自ら統制し、第 2 線がその統制を設計・監視し、第 3 線が独立して全体を検証する。一つの線の失敗を、別の線が拾う。守りを多層にしておくこと自体が、設計上の意図です。

02三つの線 ── 誰が何を担うか

三線は役割で分かれます。漠然と「みんなで気をつける」のではなく、誰が前線でリスクを取り、誰がそれを牽制し、誰が独立して検証するかを、あらかじめ線引きしておく。担い手を並べると、資材審査の居場所が見えてきます。

資材審査は第 2 線の典型です。営業という第 1 線を牽制し、内部監査という第 3 線に検証される。この座標を押さえると、審査が「誰のために、誰に対して」機能しているのかが、一本の線でつながります。

03重複と空白を、同時に避ける

なぜ三つに分けるのか。IIA（内部監査人協会）の 3 ラインモデルは 2020 年の改訂で、責任の「重複」と「空白」を同時に避ける設計だと整理しました。役割が曖昧なままだと、複数部門が同じ点を二重に見て非効率になるか、逆に誰も見ない死角が生まれます。

線を分けたうえで第 3 線に客観性を持たせると、どこか一線が機能しなくても、他の線が補える。守りの冗長性は無駄ではなく、設計された保険です。第 6 回で見た内部統制システム構築義務は、この層を「決定し、整える」ことを取締役会に課しています。

04第 2 線が第 1 線に呑まれるとき

三線が崩れる典型は、第 2 線が第 1 線に取り込まれる場面です。審査が営業と一体化し、営業の目標に従属すると、牽制という第 2 線の機能は静かに消える。形のうえで審査部門が存在していても、独立していなければ第 1 線の延長にすぎません。

分岐点は独立性にあります。審査の評価指標や人事が営業の数字に縛られていないか。逸脱を指摘した審査員が、それで不利を被らないか。第 7 回のリスクアペタイトでいえば、取締役会が承認した「許容の幅」を現場に押し返す力が、第 2 線には要ります。

05内部統制の運用としての三線

COSO の内部統制フレームワークの構成要素である統制活動・モニタリングと重ねて読むと、三線は抽象的な理念ではなく、内部統制を実際に動かす「人の配置」だと分かります。誰がリスクを取り、誰が監視し、誰が検証するか。その配置が崩れ、線が混ざるほど牽制は弱まり、統制は名目だけになります。

厚生労働省の販売情報提供活動監視事業報告書には、第 2 線である審査体制が形骸化した結果とみられる逸脱事例が並びます。三線が機能しているかどうかは、資材審査の現場に最も鮮明に表れる。審査員が自分の位置を「第 2 線」と正確に認識することが、牽制を保つ出発点になります。取締役会の視点から資材審査を統治の証拠として読み直す作業は、第 10 回で扱います。