Three-Lines-Modell

Das Modell wird vom Institute of Internal Auditors (IIA) gepflegt und ist aus dem früheren Three-Lines-of-Defence-Modell hervorgegangen. In seinem Statement of Position vom Juli 2026 beschreibt das IIA das Management als erste Linie, die Risiken trägt und steuert sowie Prozesse und Kontrollen gestaltet und betreibt. Rollen der zweiten Linie bringen Fachwissen, Unterstützung, Überwachung und Challenge ein. Die interne Revision ist die unabhängige dritte Linie und gibt objektive Prüfungssicherheit zu Governance, Risikomanagement, Compliance und Kontrollen. Der Verwaltungsrat legt Zweck und Risikoappetit fest und beaufsichtigt alle drei Linien.

Die Aufsicht folgt derselben Logik. DORA verlangt die Trennung von IKT-Risikomanagement, Kontrollfunktionen und interner Revision nach dem Modell der drei Verteidigungslinien oder einem internen Risikomanagement- und Kontrollmodell. Das FINMA-Rundschreiben 2017/1 verlangt im IKS mindestens zwei Kontrollinstanzen, die ertragsorientierten Geschäftseinheiten und die unabhängigen Kontrollinstanzen, sowie eine unabhängige interne Revision.

Typische Fehler sind, die Linien als Organisationseinheiten statt als Rollen zu verstehen, Funktionen der zweiten Linie, die der ersten Linie die Risikoverantwortung abnehmen, und eine interne Revision, die Aufgaben der zweiten Linie ohne Schutzvorkehrungen für ihre Unabhängigkeit übernimmt.

In der Praxis

1. 01
   Dokumentiert je Risikoart, wer das Risiko trägt, wer Standards setzt und challenged und wer unabhängige Prüfungssicherheit gibt.
2. 02
   Gewährt den Funktionen der zweiten Linie direkten Zugang zum Verwaltungsrat und vermeidet Vergütungsanreize, die ihrer Kontrollaufgabe widersprechen.
3. 03
   Stimmt die Prüfpläne der Linien aufeinander ab, um Lücken und Doppelprüfungen zu vermeiden.
4. 04
   Sieht ausdrückliche Schutzvorkehrungen vor, wenn die interne Revision Aufgaben der zweiten Linie übernimmt.

Quellen

• The IIA, Statement of Position: Three Lines Model, Assurance and Advice in Support of Effective Governance (July 2026) →
• Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA) →
• FINMA Circular 2017/1, Corporate governance (banks), consolidated version, last amended 4 November 2020 →