Современное управление рисками в организациях любого масштаба — от образовательных учреждений до крупных корпораций вроде ПАО «Магнит» — немыслимо без структурированного подхода к распределению ответственности. Золотым стандартом де-факто стала Модель трех линий защиты (Three Lines of Defense), разработанная и рекомендованная Международным институтом внутренних аудиторов (The IIA). В 2020 году модель претерпела значительное обновление, сместив фокус с чисто «защитной» функции на создание стоимости и достижение целей организации.

Эволюция модели: от 2013 к 2020 году

Изначально модель (версия 2013 г.) фокусировалась на линиях защиты, подразумевая барьеры на пути угроз. Обновленная версия 2020 года (часто называемая просто «Модель трех линий») сделала акцент на ролях, принципах и взаимодействии. Ключевое изменение — явная связь управления рисками с достижением поставленных задач и созданием стоимости, а не только с защитой уже созданной активов. Как отмечают эксперты GAAP.RU и EY, это переход от реактивного «тушения пожаров» к проактивному риск-менеджменту.

Архитектура модели: Подробное описание линий

Первая линия: Владение рисками и управление ими (Frontline)

Ключевая роль: Руководители подразделений, руководители компаний, операционный персонал.

Именно эти сотрудники ежедневно принимают решения, управляют процессами и несут непосредственную ответственность (ownership) за идентификацию, оценку и минимизацию рисков в своей деятельности. Они «владеют» рисками.

• Исполняют стратегию и политику, установленную руководством.
• Идентифицируют и оценивают риски в своих процессах.
• Проектируют и поддерживают эффективные контрольные процедуры.
• Сообщают о материальных рисках и инцидентах выше по иерархии.

Пример из практики ВУЗа (по данным интеграции модели IIA): Руководители кафедр и административно-хозяйственных отделов выступают первой линией, управляя операционными рисками учебного процесса и хозяйственной деятельности.

Вторая линия: Экспертиза, поддержка и мониторинг (Oversight Functions)

Ключевые роли: Функции управления рисками (CRO — Chief Risk Officer), комплаенс (CCO — Chief Compliance Officer), контроль качества, информационная безопасность, правовые департаменты.

Вторая линия не управляет рисками оперативно (это задача первой линии), но предоставляет методологию, инструменты, консультирование и независимый мониторинг эффективности управления рисками первой линией.

• Разрабатывают политики, рамки риск-аппетита и методологии оценки.
• Обеспечивают идентификацию и мониторинг событий, влияющих на риски и контроль.
• Способствуют соблюдению показателей риск-аппетита и допустимого уровня риска.
• Взаимодействуют и консультируют структурные подразделения первой линии.

Важное обновление 2020 г.: Рекомендуется, чтобы руководители второстепенных ролей (CRO, CCO) имели прямую линию подчинения (reporting line) Высшему органу управления (Совету директоров/Наблюдательному совету), что усиливает их независимость от операционного управления (CEO/Первой линии).

Третья линия: Независимое подтверждение (Internal Audit)

Ключевая роль: Внутренний аудит (CAE — Chief Audit Executive).

Третья линия предоставляет независимое и объективное подтверждение (assurance) достоверности информации, а также консультирование по вопросам, связанным с достижением поставленных целей. Она оценивает эффективность управления рисками, внутреннего контроля и процессов управления организацией в целом (включая работу первой и второй линий).

• Планирует аудит на основе оценки рисков всей организации.
• Сообщает результаты непосредственно Высшему органу управления (Аудиторскому комитету).
• Не несет ответственности за операционное управление рисками (сохраняет независимость).

Управляющий орган (Governing Body), «Нулевая линия»

Хотя формально не входя в «три линии», Высший орган управления (Совет директоров, Наблюдательный совет) играет решающую роль. Он:

1. Устанавливает риск-аппетит (уровень риска, который организация готова принять).
2. Утверждает политику по управлению рисками.
3. Осуществляет общий надзор за эффективностью всей модели.
4. Обеспечивает подотчетность руководства (менеджмента) перед собой.

Принципы эффективного взаимодействия (Кооперация вместо Конфликта)

Исследования (в т.ч. материалы КонсультантПлюс и научные публикации 2024–2026 гг.) указывают на частую проблему: конфликты между линиями при отсутствии развитой системы корпоративного управления. Типичные точки трения:

• Вторая линия пытается «управлять» первой (заменяя владельцев рисков).
• Первая линия воспринимает вторую как «полицию», скрывая проблемы.
• Внутренний аудит (3-я линия) аудитует вторую линию, что может создавать напряжение.

Принципы обновленной модели IIA для предотвращения конфликтов:

• Четкое разграничение функций и обязанностей (RACI-матрицы).
• Открытое взаимодействие и консультирование, а не только контроль.
• Единая методология и язык (общий реестр рисков, единые критерии оценки).
• Координация планов работ второй и третьей линий для избежания дублирования усилий («audit fatigue»).

Интеграция в систему управления операционными рисками: Кейс образовательной организации

На примере интеграции модели IIA в ВУЗ (данные за 2024–2026 гг.) прослеживается тесная корреляция между процессом управления, рисками и эффективно функционирующей системой контроля.

Этапы внедрения:

1. Гап-анализ: Оценка текущего состояния СУР (Системы управления рисками) и СВК (Системы внутреннего контроля) на соответствие модели.
2. Назначение ответственных: Формальное закрепление ролей CRO, CCO, CAE за конкретными должностными лицами (*).
3. Разработка нормативной базы: Политика УР, Регламент трех линий, Методология оценки рисков, Риск-аппетит (утвержден Высшим органом).
4. Автоматизация: Внедрение ГРС (GRC-системы) для единого реестра рисков, контроля и инцидентов.
5. Обучение и культура: Тренинги для первой линии (владельцы рисков), вторая линия выступает менторами.
6. Мониторинг и отчетность: Регулярные отчеты перед Аудиторским комитетом (*) о статусе ключевых рисков и эффективности контроля.

Результат: Переход от фрагментарного реагирования на инциденты к структурированному и проактивному управлению операционными рисками.

Корпоративная практика: ПАО «Магнит» (Отчет за 2022 г.)

В отчете в области устойчивого развития за 2022 год компания зафиксировала: «В Компании реализована модель трех линий защиты… которая координирует процессы управления рисками и внутреннего контроля за счет четкого определения и разграничения соответствующих функций и обязанностей». Это демонстрирует, как модель масштабируется на уровне крупного ритейлера с распределенной сетью магазинов и логистических центров.

Чек-лист зрелости модели «Три линии»

Модель «Три линии защиты» (в актуальной редакции IIA 2020 г.), это не просто организационная схема, а фундамент корпоративного управления. Ее сила, в принципе «трех линий, одна цель»: создание и сохранение стоимости организации через эффективное управление неопределенностью. Успешная интеграция требует:

• Тонкого спонсорства со стороны Высшего органа управления.
• Смены культуры: от «кто виноват?» к «как мы управляем риском для достижения цели?».
• Инвестиций в компетенции первой линии (владельцы рисков) и независимость второй/третьей линий.

На эталоном остается именно обновленная модель IIA, интегрированная в системы GRC и корпоративное управление ведущих компаний и госсектора.

Статья подготовлена на основе открытых источников: публикации IIA, GAAP.RU, блога EY, отчетов ПАО «Магнит», материалов КонсультантПлюс и научных работ по интеграции модели в образовательных организациях (2024–2026). Персональные данные и контакты ответственных лиц замаскированы (*).