مدل سه‌خطی IIA برای روشن‌کردن مسئولیت‌ها در حاکمیت، مدیریت ریسک و کنترل طراحی شده است. این مدل نمی‌گوید سه واحد کاملاً جدا بسازید؛ می‌گوید نقش‌ها باید روشن باشند تا کسی که عملیات را انجام می‌دهد، همان کسی نباشد که مستقل درباره اثربخشی آن اطمینان می‌دهد.
سناریو: پرداخت غیرمجاز به تأمین‌کننده
در یک سازمان، پرداختی به تأمین‌کننده انجام شده که سقف مجاز را رد کرده است. مالی می‌گوید کنترل در سیستم وجود داشت، واحد ریسک می‌گوید فرآیند باید بازبینی شود و حسابرسی داخلی می‌گوید استقلال بررسی رعایت نشده. مدل سه‌خطی دقیقاً برای چنین موقعیتی کاربرد دارد.
سه خط چه نقشی دارند؟
| خط | نقش | مثال در سناریو |
|---|---|---|
| خط اول | مالک عملیات و مدیریت مستقیم ریسک | واحد مالی و تدارکات کنترل پرداخت را اجرا می‌کنند |
| خط دوم | تخصص، پایش و چالش در حوزه ریسک و انطباق | واحد ریسک یا Compliance معیار و پایش تعریف می‌کند |
| خط سوم | اطمینان‌بخشی مستقل | حسابرسی داخلی اثربخشی کنترل و حاکمیت را مستقل ارزیابی می‌کند |
سناریو را مرحله‌به‌مرحله ببینیم
| مرحله | مسئول اصلی | اقدام |
|---|---|---|
| طراحی کنترل سقف پرداخت | خط اول با راهنمایی خط دوم | تعریف Approval Matrix |
| پایش عبور از سقف | خط اول و دوم | گزارش استثنا و KRI |
| بررسی مستقل اثربخشی | خط سوم | نمونه‌گیری و ممیزی |
| تصمیم کلان درباره ضعف کنترل | مدیریت و هیئت‌مدیره | اصلاح سیاست یا ساختار |
بزرگ‌ترین سوءتفاهم
خط دوم «مالک همه ریسک‌ها» نیست. مالک اصلی ریسک معمولاً در کسب‌وکار و عملیات است. واحد ریسک چارچوب، روش، چالش و پایش ارائه می‌دهد؛ اما اگر خط دوم مالک همه ریسک‌ها شود، خط اول مسئولیت واقعی خود را از دست می‌دهد.
استقلال حسابرسی داخلی
خط سوم باید بتواند بدون تعارض منافع درباره اثربخشی حاکمیت، مدیریت ریسک و کنترل اطمینان بدهد. اگر حسابرسی داخلی خودش کنترل را طراحی و اجرا کند و بعد همان کنترل را ممیزی کند، استقلال زیر سؤال می‌رود.
مدل سه‌خطی در MedaGRC
در MedaGRC می‌توان مالک ریسک، مالک کنترل، ممیز، مسئول اقدام اصلاحی و تأییدکننده را از هم تفکیک کرد. این تفکیک در Workflow و Audit Trail کمک می‌کند مشخص باشد چه کسی اجرا کرده، چه کسی بررسی کرده و چه کسی مستقل اطمینان داده است.
چیستان GRC
اگر خودم کنترل را طراحی کنم، خودم اجرا کنم و آخر سال هم بنویسم «کنترل مؤثر است»، کدام بخش از مدل سه‌خطی را گم کرده‌ام؟
پاسخ
استقلال خط سوم و تفکیک مسئولیت‌ها. اطمینان‌بخشی مستقل باید از اجرای روزمره کنترل جدا باشد.
جمع‌بندی
مدل سه‌خطی IIA درباره رسم سه جعبه در چارت سازمانی نیست؛ درباره شفافیت مسئولیت، همکاری بدون تداخل و اطمینان‌بخشی مستقل است. هرچه نقش‌ها شفاف‌تر باشند، ریسک «بین واحدها گم» نمی‌شود.
