Gouvernance · Maîtrise des risques · Rôles
Les trois lignes de maîtrise : qui fait quoi face aux risques
« Qui est responsable de la maîtrise des risques dans l'entreprise ? » La réponse tient dans un modèle simple et éprouvé — le modèle des trois lignes — qui répartit clairement les rôles entre le management, les fonctions de contrôle et l'audit interne. Un repère précieux pour tout dirigeant et tout administrateur.
Formalisé par l'Institute of Internal Auditors (IIA), le modèle des trois lignes répond à une question de gouvernance fondamentale : dans une organisation, qui possède le risque, qui le surveille, et qui en donne une vision indépendante ? Sa force est sa simplicité. Il évite deux écueils classiques : croire que « tout le monde s'en occupe » (donc personne) ou, à l'inverse, penser que la maîtrise des risques serait l'affaire d'un seul service.
Un modèle pour clarifier les responsabilités
Première et deuxième lignes : agir et encadrer
La première ligne, ce sont les métiers : commercial, production, informatique, finance… Ceux qui créent de la valeur prennent aussi des risques, et en sont les premiers responsables. Ils appliquent au quotidien les contrôles intégrés à leurs processus.
La deuxième ligne rassemble les fonctions qui encadrent et surveillent : gestion des risques, conformité, contrôle interne, sécurité. Elles définissent les règles, outillent les métiers et alertent la direction. Elles font partie du management : elles conseillent et contrôlent, mais restent dans la ligne hiérarchique de la direction.
La troisième ligne : l'assurance indépendante
L'audit interne constitue la troisième ligne. Sa particularité — et toute sa valeur — est son indépendance : il n'exécute pas les processus qu'il évalue et ne dépend pas de la direction opérationnelle. Il vérifie que les première et deuxième lignes font bien leur travail, puis rend compte directement au conseil ou au comité d'audit. C'est ce recul qui permet un jugement crédible.
Le rôle du conseil dans ce dispositif
Le conseil d'administration se situe au sommet de l'édifice. Il fixe le cap, définit le niveau de risque acceptable et supervise l'ensemble. Son rôle est notamment de garantir l'indépendance de la troisième ligne : sans un audit interne rattaché au bon niveau et réellement écouté, le modèle perd son intérêt. Comprendre ces trois lignes, c'est pouvoir poser les bonnes questions et repérer les zones où les responsabilités se chevauchent — ou, au contraire, où personne ne les assume.
ARCAD aide à positionner chaque ligne — et à renforcer la troisième.
Références & pour aller plus loin
- Le modèle des trois lignes (The Three Lines Model), Institute of Internal Auditors (IIA), 2020.