「3 Lines of Defenseモデル」とは？企業管理するために意識しておくべきこと

『図説 金融規制の潮流と銀行ERM―続・金融工学とリスクマネジメント』より一部抜粋

(本記事は、吉藤 茂氏の著書『図説 金融規制の潮流と銀行ERM―続・金融工学とリスクマネジメント』＝きんざい、2020年8月19日刊＝の中から一部を抜粋・編集しています)

第1 節 3 Lines of Defenseモデル

2015年5 月改正会社法が施行、6 月にはコーポレート・ガバナンス・コードの適用が開始され、金融機関におけるガバナンス改革が実践段階に入った。前章で説明したRAF（リスクアペタイト・フレームワーク）を中核とする銀行ERMの実効性を高めるために、3 つの防衛線（3LinesofDefense）はきわめて重要である。2015年7 月の金融庁のモニタリングレポートには、「金融機関をはじめとして各種のリスクに直面する企業においては、一般的に、各リスク・カテゴリーの担当部門、コンプライアンス部門、内部監査部門等のさまざまな部門がリスク管理に携わるようになっている。こうしたなか、金融機関においては、先般の金融危機の反省をふまえ、複雑な業務から生じるリスクを従前のように各リスク・カテゴリーの担当部門を中心に管理することの限界が認識され、リスク管理に携わる各部門の役割・責任を見直す動きがみられる。こうした背景から、組織を第1 の防衛線、第2 の防衛線、第3 の防衛線に整理したうえで、リスク管理におけるそれぞれの役割や責任を明確化したものが「3 つの防衛線」に基づくリスク管理の枠組みである」と、記されている。

図表5 － 2 にIIA Working Paperより作成した3 つのディフェンスライン・モデルの構成図を示した。バーゼル委の定義によれば、各ラインの役割は次のようになる。第1 の防衛線（ビジネス部門、顧客と接する部門）は、割り当てられたリスクエクスポージャーの限度内でリスクを引き受け、事業のリスクの特定、評価および統制に対する責任および説明責任を負う。第2 の防衛線（リスク管理部門、コンプライアンス部門等）は、第1 の防衛線のリスクが適切に特定および管理されるように確実を期す。第3 の防衛線（内部監査部門）は、第1 の防衛線および第2 の防衛線で築かれたプロセスの有効性を独立して評価する。

図表5 － 2 　3 つのディフェンスライン・モデル

また、金融機関の場合は、この外側に第4 として「外部監査」が、第5 として「監督官庁」のディフェンスラインが存在するという重厚な構えとなっている。

⑴　MUFG Bankの取組み

本項では、MUFG Bank（三菱UFJ銀行）における3 つの防衛線の強化に向けた取組みを紹介する。第1 線はビジネス部門、第2 線はリスク管理部門、第3 線は監査部門がそれぞれ担うが、図表5 － 3 に示すMUFG Bankの3 線防御体制の組織図に照らせば、第1 線は個人の顧客を担当する支店、法人の顧客を担当する支社（現在は支店・支社が一体化されて運営している）、事務を扱う部署、金融商品の提供を行う部署、営業推進を行う部署などが該当する。第2 線は信用リスク、市場リスク、コンプライアンスリスク、事務リスク、ITリスクなどリスク・カテゴリーに応じたリスク管理の専門部署が担い、第3 線はいずれの組織からも独立した監査部が担う。

図表5 － 3 　MUFG Bank（三菱UFJ銀行）の3 線防御体制

1 線では、自律的な内部管理態勢を構築し、顧客に評価される営業現場となるようリスク感覚を研ぎ澄ませることが重要であるが、2 線であるリスク管理部署の整備・強化に伴い、逆にリスクのオーナーであるという意識が希薄になり、不正を生む土壌をつくりだしてしまうおそれもあると感じている（不正の問題に関しては、BOX20参照）。この懸念への対応もあり、MUFGBankでは1 線のなかに部門リスク統括部という1.5線組織を置いている。彼らは、ビジネス部門のなかにあって、牽制機能を発揮している。部門長へのレポーティングラインに加え、CCO（チーフ・コンプライアンス・オフィサー）へのレポーティングラインも有しているので、1.5線と定義している。

2 線は、市場、信用、コンプライアンス、事務などリスク・カテゴリーごとの所管部がコントロールプロセスを構築し、ビジネス部門の内部管理態勢の有効性を検証している。最後の砦として3 線である監査部が、2 線を含めた執行部門の内部管理態勢の有効性を検証している。

図表5 － 4 　国内拠点の内部統制

かつては、自律的な管理として1 線と3 線による検査のみが存在していたが、1990年代後半以降リスク管理部門が整備・強化されるにつれ、1 線・2線・3 線の間で業務の重複がみられるようになってきた。図表5 － 4 に示すとおり、拠点（支店および支社） は、1 線内にある部門リスク統括部（MUFG Bankでは1.5線）、2 線のコンプライアンス、事務、与信などの担当部、また3 線の監査部などさまざまな部署から牽制を受けており、その負荷はきわめて重かった。また、監査部の監査も準拠性検証中心で、ガバナンス改革のなかで求められる役割には程遠かった。そこで、MUFG Bankでは、1 線、1.5線、2 線、3 線の役割を再整理し、2015年10月に1.5線であるリスク統括部内に「部門検査室」を新設し、監査部の国内拠点検査・監査機能をシフトした。2 線は、部門検査室の検証内容も活用することでモニタリング機能を強化した。そして、3 線は準拠性監査から有効性監査へと大きく舵を切った（監査機能の高度化に関しては、次節で述べる）。

国内拠点検査・監査機能をシフトするにあたり、懸念されたのは独立性・牽制力の低下だった。部門内に入ることで、検査結果等が部門長の意見に左右されてしまうのではないかということだった。これらの懸念に対しては、入口では検査計画策定プロセスの確認、中間では検査へのサンプルでの帯同訪問、出口では検査判定会への陪席、被検査拠点アンケートなどの対策をとっている。（執筆時点で） 3 年弱が経過しているが、有効に機能していると思う。