Mõjusa riskijuhtimise ja kontrolli kolm kaitseliini

Organisatsioonid on kahe või enama inimese kogum, kes tegutsevad üha ebakindlamas, keerukamas, omavahel seotud ja muutlikus maailmas. Neis on sageli mitu sidusrühma, kellel on erinevad, muutlikud ja mõnikord konkureerivad huvid. Sidusrühmad usaldavad organisatsioonilise järelevalve juhtorganile, mis omakorda delegeerib ressursid ja volitused juhtkonnale asjakohaste toimingute tegemiseks, sealhulgas riskijuhtimiseks. Nendel ja muudel põhjustel vajavad organisatsioonid eesmärkide saavutamiseks tõhusaid struktuure ja protsesse, toetades samal ajal tugevat valitsemist ja riskijuhtimist, Kuna juhtorgan saab juhtkonnalt aruandeid tegevuste, tulemuste ja prognooside kohta, toetuvad nii juhtorgan kui ka juhtkond siseauditile, et pakkuda sõltumatut, objektiivset kinnitust ja nõu kõikides küsimustes ning edendada ja hõlbustada innovatsiooni ja täiustamist. Juhtorgan vastutab lõpuks valitsemise eest, mis saavutatakse nii juhtorgani tegevuse ja käitumisega kui ka juhtimise ja siseauditi kaudu. 
Kolme liini mudel aitab organisatsioonidel tuvastada struktuure ja protsesse, mis aitavad kõige paremini saavutada eesmärke ning hõlbustavad tugevat juhtimist ja riskijuhtimist. Mudel kehtib kõikide organisatsioonide kohta ja on optimeeritud:
Kolme kaitseliini mudel.
Kolme liini mudelis on eristatud kolm rühma (või liini), mis on seotud mõjusa riskijuhtimisega:
Esimene kaitseliin: keskastme juhtkond.
Esimeses kaitseliinis toimub riskide võtmine ja juhtimine ning sellega tegelevad keskastme juhid. Nende ülesanne on ka vastutada, et parendusmeetmete rakendataks ning tegeleda protsessides ja kontrollides esile kerkinud probleemidega. Keskastme juhtkond peab tagama mõjusa sisekontrolli ning samuti riskijuhtimise ja igapäevased kontrollitegevused. Nad tuvastavad, hindavad, kontrollivad ja hajutavad riske, juhtides seejuures organisatsioonisiseste protseduuride arendust ning rakendamist. Läbi astmelise vastutusstruktuuri töötavad kesktaseme juhid välja detailseid protseduure, mille järgi töötajad on kohustatud tegutsema. Keskastme juhtkond kvalifitseerub esimeseks kaitseliiniks, sest nende ettekirjutuste alusel on kontrollid juba süsteemidesse ja protsessidesse formeeritud. Igas ettevõttes on vaja asjakohaste juhtimis- ja järelevalvekontrollide kehtestamist. Seda selleks, et oleks tagatud tegevuste vastavus kehtivatele nõuetele. Samuti, et tuua välja potentsiaalne kontrollide ebaefektiivsus, puudulikud protsessid ja ettenägematud sündmused. 
Teine kaitseliin: riskijuhtimise ja vastavuskontrolli funktsioonid.
Mõjusa riskijuhtimise tagamiseks ei piisa ainult ühest kaitseliinist. Teine kaitseliin on oluline komponent. Juhtkonna ülesanne on luua erinevaid riskijuhtimise ja vastavuskontrolli funktsioone ning seda selleks, et need aidaks koostada ja/või anda hinnangut esimese kaitseliini kontrollidele. Konkreetselt loodud funktsioonid on ettevõtete ja tegevusvaldkondade lõikes erinevad, kuid kõige levinumad teise kaitseliini funktsioonid on:
Juhtkonna ülesanne on luua eespool välja toodud funktsioonid, et tagada kontroll esimene kaitseliini õige kujundatuse ja toimimise üle. Kõik need funktsioonid on esimesest liinist sõltumatud, kuid oma olemuselt on need siiski justkui juhtimisfunktsioonid. Neil on lubatud sekkuda otse sisekontrolli ja riskisüsteemide muutmise ja arendamise protsessi. Teise kaitseliini olemasolu vajalikkus on seega teada, kuid meeles peab pidama, et täiesti sõltumatut analüüsi ei ole võimalik juhtkonnale pakkuda. Nende kolme funktsiooni kohustused on küll erinevad, kuid hõlmavad potentsiaalselt järgmist:
Kolmas kaitseliin: siseaudit.
Organisatsioonis on vaja funktsiooni, kellel on sõltumatus ja objektiivsus. Need on siseaudiitorid, kes saavad anda kõrgemale juhtorganile ja tippjuhtkonnale täieliku kindlustunde. Sellist sõltumatust ei suuda teine kaitseliin saavutada. Kolmas kaitseliin annab vajalikele osapooltele kindlust selles, et ettevõtte valitsemine, riskijuhtimine ja sisekontroll on mõjusad, teostades samal ajal kontrolli ka esimese ja teise kaitseliini riskijuhtimise ja kontrolli alaste eesmärkide saavutamise mõjususe osas. Antav kindlus seondub enamasti järgmiste valdkondadega:
Oskusliku siseauditi välja töötamine peaks olema kohustuslik kõikidele organisatsioonidele. Teema on äärmiselt oluline nii suurtele, keskmise suurusega kui ka väikstele ettevõtetele. Väikeses ettevõttes ei pruugi olla vähem keerulisem töökeskkond, kuid võib olla vähem jõuline organisatsiooniline ehitus ja suutlikkus, et tagada tõhusad juhtimise ja riskijuhtimisprotsessid ettevõttele.
Kolmanda kaitseliini panus organisatsiooni mõjusasse valitsemisse on oluline ning seda tehakse aktiivselt, kuid eeldusel, et mõningased tingimused (näiteks siseauditi sõltumatusele ja professionaalsusele kaasa aitamine) on täidetud. Kõige parem viis on luua sõltumatu ning professionaalsete töötajatega siseauditi funktsioon, milles oleks täitetud järgmised kriteeriumid:
Välisaudiitorid, regulaatorid ja teised välised organid.
Välisaudiitorid, regulaatorid ja teised välised organid ei ole osa ettevõttest, kuid on võimalik, et neil on oluline roll organisatsiooni üldises valitsemis- ja kontrollistruktuuris. Eriti aktuaalne on see väide tugevalt reguleeritud tegevusaladel (näiteks finantsteenuste osutajad või kindlustus ettevõtted). Välised regulaatorid kehtestavad vahetevahel nõudeid, mis oleksid abiks organisatsioonisisese kontrolli tugevdamisele, kuid tegutsevad muudel juhtudel sõltumatu ja objektiivse osapoolena, abistades erinevaid kaitseliine või nende osi varem kehtestatud nõuete täitmisel. Kui on suudetud koordineerida välisaudiitorid, regulaatorid ja teised organisatsioonivälised organid, võib seda koordinatsiooni pidada täiendavaks ehk neljandaks kaitseliiniks. See annab veelgi enam kindlust huvirühmadele, aga ka organisatsiooni juhtorganile ja tippjuhtkonnale. Võttes arvesse nende väliste osapoolte missioone ja tegevuse ulatust, jääb siiski nende kogutud riski käsitlev teave enamasti väga vähesekse ning enim rolli mängib ikkagi kolme kaitseliini väljastatav informatsioon.
Kolme kaitseliini koordineerimine.
Oleks hea, kui kõik kolm kaitseliini igas organisatsioonis, sõltumata selle suurusest, olemas oleks. Kui nende olemasolu on selgelt määratletud, on riskijuhtimine kõige tõhusam. Mõningate eranditega (eriti väikestes ehk mikroettevõtetes) toimib hästi ka see, kui kaitseliinid on omavahel ühendatud. Ajaloos on olemas ka juhtumeid, kus mõne organisatsiooni siseauditile on antud käsk luua ettevõtte riskijuhtimise või vastavuskontrolliga seotud printsiibid ning seda tegevust juhtida. Sellises olukorras on oluline, et siseaudit teavitaks kõrgemat juhtorganit ja tippjuhtkonda ühendamise mõjust. Kui ühele osakonnale määratakse mingil hetkel mitu kohustust, võiks hiljem kaaluda siiski nende eraldamist ning luua kolm kaitseliini. Sõltumata sellest, kuidas organisatsioonis täpselt kolme kaitseliini mudelit kasutatakse, peaksid tippjuhtkond ja kõrgemad juhtorganid konkreetselt nõudma, et ettevõtte igas riskijuhtimise ja kontrolli eest vastutavas üksuses peab toimuma pidev info vahetus ning tagada koordinatsioon. Töö tuleb koordineerida nii siseste kui ka väliste seotud osapooltega ning seda selleks, et oleks tagatud nõuetekohane kaetus ja tööd ei oleks dubleeritud.