Definition
Governance-Modell mit drei klar getrennten Verteidigungslinien gegen Risiken. Erste Linie: operatives Management mit eigener Risikoverantwortung. Zweite Linie: Risiko- und Compliance-Funktionen, die unabhängig überwachen und Methodik bereitstellen. Dritte Linie: interne Revision, die die Wirksamkeit aller Linien unabhängig prüft. Etabliertes Modell in Banken, zunehmend in regulierten Industrien — strukturelle Grundlage für ISO 37301, DORA und IDW PS 980.
In der Praxis
Das Drei-Linien-Modell scheitert im Mittelstand selten am Konzept, sondern an zwei Missverständnissen. Erstens die Rollenvermischung: Die zweite Linie — Risikomanagement oder Compliance — übernimmt operative Aufgaben der ersten Linie und überwacht damit faktisch sich selbst. Wenn der Qualitätsverantwortliche die Risikobewertung für die Produktion schreibt und später ihre Wirksamkeit beurteilt, ist die Trennung dahin. Zweitens der Standardsatz „wir sind zu klein dafür": Falsch — Rollen dürfen kombiniert werden, die Verantwortung nicht. Die erste Linie bleibt das operative Management; Risiko ist dessen Aufgabe, nicht die des Risikomanagers. Und die dritte Linie muss keine interne Revision im Konzernstil sein: Externe Prüfungen, Peer Reviews oder ein beauftragter Wirtschaftsprüfer für Schwerpunkt-Audits erfüllen die Funktion pragmatisch. Das IIA hat das Modell 2020 als Three Lines Model aktualisiert und die Rollen präzisiert. Für Unternehmen im Umfeld von DORA, ISO 37301 oder Banken-Kundenanforderungen ist die saubere Linien-Trennung längst Prüfgegenstand — und ehrlich gesagt: Sie macht jedes Managementsystem besser, weil sie die Frage klärt, wer trägt, wer überwacht, wer prüft.
Verwandte Begriffe
Häufige Fragen zu Three Lines of Defense
Was genau sind die drei Linien — und wo sitzt der QMB?
Die erste Linie ist das operative Management: Es trägt die Risiken im Tagesgeschäft und ist für deren Behandlung verantwortlich — Produktion, Vertrieb, Einkauf. Die zweite Linie umfasst die unterstützenden und überwachenden Fachfunktionen: Risikomanagement, Compliance, Arbeitssicherheit, Datenschutz — sie stellen Methodik bereit, geben Standards vor und kontrollieren die Einhaltung. Die dritte Linie ist die unabhängige Prüfung, klassisch die interne Revision, die Wirksamkeit und Angemessenheit beider Linien gegenüber der Leitung beurteilt. Der QMB sitzt typischerweise in der zweiten Linie: Er definiert das Managementsystem und auditiert es — betreibt aber nicht die Prozesse selbst. Genau diese Zuordnung verhindert, dass sich jemand selbst attestiert. Das IIA Three Lines Model von 2020 beschreibt die Rollen und ihre Schnittstellen zur Geschäftsleitung.
Ist das Drei-Linien-Modell gesetzlich oder normativ vorgeschrieben?
Als Modell nicht — kein deutsches Gesetz und keine ISO-Norm schreibt „Three Lines of Defense" wörtlich vor. Die dahinterliegenden Anforderungen sind aber real: § 91 Abs. 3 AktG verlangt von börsennotierten Gesellschaften ein angemessenes und wirksames IKS und Risikomanagementsystem, und die Linien-Trennung ist der etablierte Weg, die dafür nötige Unabhängigkeit der Überwachung zu organisieren. In der Finanzwelt ist das Modell über DORA und die aufsichtsrechtliche Praxis faktisch Standard. Auch ISO 37301 für Compliance-Managementsysteme setzt auf unabhängige Überwachungs- und Prüfstrukturen, die sich nahtlos auf das Modell abbilden lassen. Für den nicht regulierten Mittelstand bleibt es ein bewährtes Ordnungsprinzip — freiwillig, aber zunehmend von Banken und Kunden erwartet (Rollenmodell: IIA Three Lines Model, 2020).
Wie setzen wir das Modell in einem 150-Mann-Betrieb ohne interne Revision um?
Denken Sie in Funktionen, nicht in Abteilungen. Die erste Linie sind Ihre Bereichsleiter — sie verantworten ihre Risiken selbst. Die zweite Linie kann eine Person in Doppelrolle sein, etwa der QMB, der zusätzlich Risikomanagement-Methodik bereitstellt, solange er nicht seine eigenen operativen Risiken überwacht. Für die dritte Linie gibt es tragfähige Ersatzlösungen: externe Audits, Peer Reviews mit einem Schwesterunternehmen oder eine beauftragte externe Prüfung für Schwerpunktthemen. Dokumentieren Sie die Rollenzuordnung in einer einfachen Matrix — wer trägt, wer überwacht, wer prüft — und legen Sie sie der Geschäftsführung zur Kenntnis vor. Damit erfüllen Sie die Logik des Modells auch ohne Konzernstrukturen. Wichtig ist nur: Die dritte Linie darf nicht ganz fehlen, sonst prüft niemand unabhängig (IIA Three Lines Model, 2020).