「三線を敷けば守れる」——だが三線は責任を分ける地図であって、線の間は断絶しうるし独立性には構造的な緊張がある。地図があること自体は守りにならない

リスクの優先順位が見えたら、次は誰がどう受け持つか——三線モデルだ。第1線は現場でリスクを取り管理し、第2線は方針を示し見張り、第3線は独立に確かめる。三つを敷けば守れると思いやすいが、三線は責任を整理する地図であって、地図があること自体は守りにならない。Davies & Zhivitskaya 2018 は三線を『堅牢な枠組みか砂上の線か』と問い直し、Stewart & Subramaniam 2010 は第3線の独立性の構造的な緊張を整理した。効果の実証でなく規範であり運用の強化が要る（Luburić 2017、Kotb ら 2020）。作り手のIIAは2020年改訂で名称から『防衛』を外した（Tawfik ら 2023）。三線は守りの保証でなく役割を確かめ合う地図である。

「三線を敷けば守れる」——だが、地図があることは守りにならない

前の単位では、リスクに優先順位をつける話を扱った。マトリクスは順位を確定する装置ではなく、対話の道具だと見た。優先順位の見立てができたら、次は、そのリスクを誰がどう受け持つか——役割の分担だ。ここでよく使われるのが、三線モデル（three lines）——リスク管理と統制の責任を、大きく三つの線（ライン）に分けて整理する枠組みである。第1線は、現場で日々の仕事をしながらリスクを取り、それを管理する部門。第2線は、その現場を横から支え、方針や基準を示してリスク管理を見張る部門（管理・コンプライアンスなど）。第3線は、その全体が本当に機能しているかを、独立の立場から確かめる内部監査だ。

「この三つの線をきちんと敷けば、会社は守られる」——そう思いやすい。役割の絵がきれいに描かれ、誰が何を受け持つかが一目で分かると、いかにも堅牢に見える。だが、この単位が最初に置く注意はこうだ。三線は、責任を整理する「地図」であって、地図があること自体は、守りにならない。 線を引いたことと、その線が実際に働くことは、別ものだ。Davies と Zhivitskaya が2018年に、三線の枠組みを「堅牢な組織化の枠組みか、それとも砂の上に引いた線にすぎないか」と問い直した。図の上できれいに分かれている線が、現場では曖昧に溶け合い、誰の責任でもない隙間が生まれる。なぜ、この区別が大事なのか。人は、組織図の上にきれいな箱と線が並ぶと、そこに描かれたとおりに現実が動いていると、つい思い込んでしまうからだ。「担当」と書いてあれば、その人が本当に見ているつもりになり、「監査」と書いてあれば、独立の目が働いているつもりになる。だが、紙の上の役割と、実際にその役割が果たされていることは、まったく別のことだ。線は、引いた瞬間に働きはじめるのではない。だから、絵が整っていることに安心するのではなく、その線が本当に働いているかを、いつも確かめ続けなければならない。整った図ほど、点検を忘れさせる力を持っている。

三線とは、責任を分ける地図である

まず、三線が何のための道具かを、正確につかんでおきたい。これは、リスク管理の責任を「現場」「見張り」「独立の確認」の三層に分けて、誰がどこまで受け持つかを、組織の中ではっきりさせるための枠組みだ。狙いは、責任のなすりつけ合いや、逆に全員が同じ仕事を重複してやる無駄を、防ぐことにある。

大事なのは、これが「効果が実証された仕組み」ではなく、「役割を整理するための約束ごと（規範）」だ、という点である。三線モデルは、内部監査人協会（IIA）などが示す、業界のコンセンサスにもとづく枠組みであって、「この形にすれば不祥事が減る」という実験で確かめられた法則ではない。だから、三線を敷いたという事実は、守りができたことの証明にはならない。Luburić が2017年に、三線の運用そのものを強化する必要を論じたのも、線を引くだけでは足りず、それを実際に機能させる不断の手入れが要るからだ。規範とは、「こう分けるのが望ましい」という、みんなで合意した約束ごとである。約束ごとには、それ自体に効き目を保証する力はない。交通ルールを紙に書いても、みんなが守らなければ事故は減らないのと同じで、三線も、その線を実際に人が受け持ち、動かして、はじめて意味を持つ。だから「うちは三線を敷いています」という言葉は、安心の理由にはならない。問うべきは、敷いたかどうかではなく、その三つが本当に別々の目として働いているか、である。地図を持つことと、道に迷わないことは、違う。

線の間は、しばしば断絶する

三線モデルのいちばんの弱点は、線と線の「間」にある。図の上では三つの層はきれいに分かれているが、現実の仕事は、そんなにはっきりとは切れない。第1線と第2線は、どこまでが現場の責任で、どこからが見張りの責任か、境目が曖昧になりやすい。「見張る側」と「見張られる側」が近づきすぎれば、なれ合いが生まれ、遠すぎれば、現場の実態が見えなくなる。小さな組織ほど、この難しさは大きい。人手が限られていれば、現場で仕事をする人が、同時にその仕事を見張る役も兼ねることになりがちだ。すると、第1線と第2線が、同じ一人の中に重なってしまう。自分の仕事を、自分で見張る。それは、線が二本あるように見えて、実は一本しかない状態だ。図の上では二つの箱に分かれていても、中身が同じ人なら、独立した目は働いていない。

とりわけ難しいのが、第3線——内部監査の独立性だ。Stewart と Subramaniam が2010年に、内部監査の独立性と客観性には、構造的な緊張があることを整理した。内部監査は、同じ会社に雇われ、その会社の給料で動きながら、その会社を厳しく点検しなければならない。自分を雇っている相手を、身内としてかばう力と、独立して切り込む役割とが、いつも引っ張り合う。この緊張は、担当者の心がけだけで消せるものではなく、仕組みそのものに埋め込まれている。Kotb、Elbardan、Halabi が2020年に、エンロン事件以降の内部監査研究を広く整理したように、この分野が長く問い続けてきたのは、まさに「独立した確認は、どうすれば本当に独立でいられるか」だった。線を引いただけでは、この緊張は解けない。

作り手自身が、「防衛」を外した

象徴的な出来事がある。この枠組みは、もともと「三つの防衛線（Three Lines of Defense）」と呼ばれていた。守りの陣地を三重に敷く、という軍隊のような比喩である。ところが、IIA は2020年の改訂で、名称から「防衛（defense）」という言葉を外し、「Three Lines Model（三線モデル）」へと改めた。作り手自身が、「防衛線」という比喩の限界を認めたのだ。

なぜか。「防衛線」という言葉は、三つの線を、敵の侵入を食い止める壁のように思わせる。だが、実際のガバナンスは、ただ守るだけの営みではない。第1線は、そもそもリスクを取って価値を生む現場であり、守りの壁ではない。三本の壁を築けば安全、という発想そのものが、現場を萎縮させ、線の間の連携を見えなくしてしまう。2020年の改訂は、三線を「壁」ではなく、目的を達するために各自の役割と協働を整理する「モデル（枠組み）」として捉え直すものだった。ここには、大事な発想の転換がある。守りとは、挑戦をやめて城にこもることではない。むしろ、リスクを取って前へ進む会社が、転んでも立ち上がれるように、役割を分けて備えておくことだ。第1線が萎縮して何も取らなくなれば、そもそも守るべき価値も生まれない。三線は、攻めを止めるための壁ではなく、攻め続けられる会社であるための、役割の地図なのである。作り手が言葉を替えたという事実は、「線を敷けば守れる」という受け取り方が、当の作り手からも否定されたことを意味する。

時間・変化：2010年から今へ

順に置く。2010年、Stewart と Subramaniam が、内部監査の独立性と客観性の構造的な緊張を整理する。2017年、Luburić が、三線を実際に機能させるには運用の強化が要ると論じる。2018年、Davies と Zhivitskaya が、三線は「堅牢な枠組みか、砂上の線か」と問い直す。2020年、IIA が改訂で名称から「防衛」を外し、同じ年、Kotb らがエンロン後の内部監査研究を整理する。2023年、Tawfik らが、三線モデルの中で内部監査が果たす役割をあらためて論じた。

この間に確からしくなったのは、「三線を敷けば守れる」ということではない。確からしくなったのは、三線は責任を分ける地図であって、線の間は断絶しうるし、独立性には構造的な緊張がある——だから地図があること自体は、守りにならない——という、向きのほうである。

妨げるもの、助けるもの、最初の一歩

妨げるものの筆頭は、組織図に三本の線を描いたことで、守りができたと安心してしまうことである。絵が整うほど、線の間の隙間や、独立性の緊張は、見えなくなる。もう一つは、逆に、限界を知って「どうせ形だけだ」と、役割分担そのものを投げ出してしまうことだ。だが、地図が完全でないことと、地図が無駄なことは、違う。誰が何を受け持つかがはっきりしていなければ、いざというとき、責任のなすりつけ合いで時間を失う。三線という共通の言葉があるだけで、「これは誰の仕事か」を、落ち着いて話し合える。大事なのは、三線を「完成した守り」としてではなく、「点検のための問いのリスト」として持つことだ。線を引いて終わりにするのではなく、その線に沿って「ここは本当に別の人が見ているか」「独立の確認は、形だけになっていないか」と、折にふれて問い直す。地図は、目的地に着いたことを保証しないが、いま自分がどこにいて、どこが空白かを教えてくれる。三線の価値も、そこにある。

助けになるのは、三線を「守りの保証」ではなく「役割を確かめ合うための地図」として使うことだ。最初の一歩は10分。自分の会社の主なリスクを一つ思い浮かべ、それについて「現場で管理する人（第1線）」「方針を示し見張る人（第2線）」「独立して確かめる人（第3線）」が、それぞれ誰なのかを書き出してみる。小さな組織なら、一人が二役、三役を兼ねていて当たり前だ。そのうえで、必ず一つ問い直す。「この三つが、同じ一人に重なっていないか。もし重なっているなら、独立の確認は、どこにあるのか」。この問いが、絵の上の安心から、あなたを引き戻す。三線の値打ちは、線を敷いたことにあるのではなく、その線が本当に働いているかを、問い続けられることにある。

皮肉なのは、いちばん整って見える絵——三本の線がきれいに分かれた組織図——が、いちばん多くの隙間を、内側に隠していることだ。線を引いた瞬間、私たちは、その間に空いた『誰の責任でもない領域』や、第3線が抱える『雇われながら点検する』という緊張を、忘れてしまう。確からしいのは、三線は責任を分ける地図であって、線の間は断絶しうるし、独立性には構造的な緊張がある、ということだ。だからといって、捨てる必要はない。地図が完全でないことと、地図が無駄なことは、違う。大事なのは、それを『守りの保証』でなく『役割を確かめ合う地図』として使うことだ。三つの線が誰なのかを書き出したうえで、必ず一度、問い直す。『この三つが同じ一人に重なっていないか。独立の確認は、どこにあるのか』。三線の本当の値打ちは、線を敷いたことにあるのではなく、その線が本当に働いているかを、問い続けられることにある。ここまでで、方針を決め、リスクを見立て、役割を分ける——青段（方針とリスク識別）を、ひととおり歩いた。次の単位 549 からは、その方針と役割を、日々の記録と決裁のなかで、どう回していくかへ進む。