Wat is het Three Lines of Defense-model (3LoD)?

De eerste verdedigingslinie (1st LoD) is operationeel beheer, bestaande uit front-line-managers die verantwoordelijk zijn voor de dagelijkse activiteiten op het gebied van risicobeheer. Deze managers houden toezicht op werknemers terwijl ze binnen bedrijfssystemen en -toepassingen werken, en zorgen ervoor dat de juiste procedures voor risicobeheer worden gevolgd. Zij zijn ook verantwoordelijk voor het implementeren van corrigerende maatregelen in het geval dat er tekortkomingen in het proces en de controle optreden.

Het operationele bedrijfsbeheer is in wezen verplicht om adequate interne controles te onderhouden, risicoprocedures uit te voeren, risico's te identificeren en beoordelen, intern beleid te begeleiden en implementeren, en ervoor te zorgen dat alle activiteiten vastgestelde doelen ondersteunen, en dat alles dagelijks. Het algehele doel van deze eerste verdedigingslinie is voortdurende compliance en het vermogen om snel controleverstoringen, ontoereikende processen of opkomende gebeurtenissen te identificeren.

Dagelijkse activiteiten spelen een cruciale rol in operationele risico's. Om die reden is deze eerste verdedigingslinie absoluut cruciaal en moet deze worden ondersteund door interne mechanismen, zoals betrouwbare beheercontroles en interne controlemaatregelen. Deze worden ontwikkeld en geïmplementeerd met sterk toezicht van het operationele beheer, en moeten regelmatig worden getest op functionaliteit en effectiviteit.

De derde verdedigingslinie (3rd LoD) in het 3LoD-model is de interne auditor. Auditors zijn verantwoordelijk voor het beoordelen van alle processen, procedures en frameworks voor risicobeheer, en bieden uitgebreide zekerheid over de effectiviteit van governance en interne controles. Deze verdedigingslinie ondersteunt de twee vorige linies, maar moet volledig onafhankelijk kunnen functioneren, een objectief standpunt innemen en rechtstreeks rapporteren aan het hogere management en een hoger(e) bestuursorgaan, raad of auditcomité.

Als laatste verdedigingslinie moeten interne audits in staat zijn om een reeks doelstellingen te ondersteunen die gerelateerd zijn aan operationele efficiëntie en effectiviteit, betrouwbaarheid van de rapportage, naleving van regelgeving en meer.

Hoewel de derde verdedigingslinie voornamelijk wordt geassocieerd met interne audits, kunnen ook externe audits worden ingevoerd om deze linie verder aan te vullen en een extra zekerheidslaag toe te voegen. In sommige gevallen (zoals bij het verkrijgen van SOC1- of SOC2-compliance, het maken van een PCI-rapport of het documenteren van de effectiviteit van SOX-404-controle) kan een externe auditor een vereiste zijn.

Het Three Lines of Defense-model is een beproefde aanpak van risicobeheer. Maar net zoals de plannen voor continuïteit en veerkracht regelmatig moeten worden bijgewerkt om beter rekening te houden met veranderende situaties, heeft 3LoD sinds de introductie een aantal revisies ondergaan.

Onlangs heeft het Basel Committee on Banking Supervision (BCBS) revisies gepubliceerd voor de Principles for the Sound Management of Operational Risk. Hoewel deze herzieningen van het 3LoD-model specifiek zijn bedoeld voor banken en verwante organisaties, kunnen ze net zo gemakkelijk worden toegepast op niet-bancaire bedrijven om hun risicobeheerprofielen verder te verbeteren.

Basel 3LoD-updates omvatten:

• Meer nadruk op de rol van het senior management bij de uitvoering van activiteiten voor operationeel risicobeheer.
• Duidelijkere beschrijvingen van andere rollen binnen het Three Lines of Defense-model.
• Grotere articulatie van opkomende risicobronnen.
• Een afzonderlijke focus op operationele veerkracht.

Naarmate risico's diverser worden, moet het Three Lines of Defense-model zich ook blijven aanpassen. Deze waarheid heeft mogelijk het meest direct betrekking op de derde linie: interne audits. Interne auditors en hun processen moeten flexibeler worden en meer vooruitdenken, en positieve veranderingen bevorderen in de rest van het 3LoD-model. In de toekomst zal van auditors verwacht worden dat ze een veel actievere rol zullen spelen in het adviseren en anticiperen, en in het opleiden van belanghebbenden op alle niveaus.

Naast interne audits zullen andere vorderingen het 3LoD-model blijven vormgeven. Nieuwe innovaties, waaronder automatisering, machine learning en AI-implementatie, zullen het identificeren en verhelpen van risico's vergemakkelijken. Op vergelijkbare wijze zullen organisaties zich meer richten op het menselijke element van de drie verdedigingslinies, door te werken aan het verbeteren van de coördinatie, communicatie en methoden in teams en afdelingen.

Het beheersen van operationele risico's is een essentieel aspect van moderne bedrijfsvoering. Het 3LoD-model bestaat om redundante beveiligingslagen toe te voegen om een betere beveiliging te bieden tegen een reeks mogelijke bedreigingen. Maar op zichzelf is 3LoD misschien niet genoeg om organisaties volledig te beschermen tegen ontwikkelende gevaren. ServiceNow, de marktleider op het gebied van IT-beheer, biedt de oplossing.

Operational Risk Management van ServiceNow stelt organisaties in staat om continu toezicht te houden, relevante gegevensinzichten uit de hele onderneming op te nemen, en sneller prioriteiten te stellen en op opkomende risico's te reageren dan anders mogelijk zou zijn. De GRC-toepassing van Operational Risk Management omvat tools voor zelfevaluatie van risico's, controle, testen, registratie van incidenten en verliezen, en geautomatiseerde bewaking. Ondersteund door geavanceerde analyse en rapportage, geïntegreerd, met voorspellende intelligentie verbeterd probleembeheer en meer, biedt Operational Risk Management de verhoogde bescherming waar organisaties van nu van afhankelijk zijn om te overleven en te bloeien.

Operationele verliezen verminderen. Bouw veerkracht en betrouwbaarheid op. Verlaag de kosten en verbeter de productiviteit. En dankzij dit alles kunt u genieten van volledige, realtime zichtbaarheid van alle risico- en controletoleranties. Operational Risk Management van ServiceNow maakt het allemaal mogelijk.