最終更新日：
3線モデルとは、組織のリスク管理とガバナンスについて、事業の現場、リスク管理を支える部門、内部監査の役割を分けて整理する考え方です。
内部監査人協会（IIA）が2020年7月に公表した「3ラインモデル」は、以前「3つのディフェンスライン」として知られていたものを改訂したものです。統治機関（取締役会など）が、経営管理者と内部監査の役割を監督する形で整理されています。
第1ラインは、製品やサービスを顧客に届ける現場の部門で、リスクの管理に責任を持ちます。第2ラインは、リスク管理の専門知識や支援、点検を行う部門（リスク管理、コンプライアンス、情報セキュリティの管理部門など）で、第1ラインに異議を唱えることもあります。第3ラインの内部監査は、経営管理者から独立して、ガバナンスとリスク管理が妥当で有効かについて、客観的な保証と助言を行い、主に統治機関に報告します。
IIAは、「ライン」は組織の階層ではなく役割の区分で、番号は作業の順番を表すものではないとしています。ITでは、システムを使う部門、情報システムやセキュリティの管理部門、内部監査やシステム監査の役割を分けて考えるときに使われます。