Modèle des trois lignes de maîtrise

Définition

Le modèle des trois lignes de maîtrise, promu notamment par l'Institute of Internal Auditors et largement adopté dans la gouvernance des risques des grandes organisations, structure la répartition des responsabilités en matière de maîtrise des risques et de conformité en trois niveaux distincts et complémentaires. La première ligne de maîtrise regroupe les fonctions opérationnelles elles-mêmes, directement responsables de la mise en œuvre et du fonctionnement quotidien des contrôles, comme les équipes informatiques appliquant les mesures de sécurité définies. La deuxième ligne de maîtrise regroupe les fonctions de gestion des risques, de conformité et de sécurité de l'information proprement dites, chargées de définir le cadre, les politiques et les méthodologies applicables, ainsi que de superviser et challenger la première ligne sans se substituer à elle dans l'exécution opérationnelle. La troisième ligne de maîtrise regroupe la fonction d'audit interne, indépendante des deux premières lignes, chargée d'apporter une assurance objective à la direction et au comité d'audit sur l'efficacité globale du dispositif de maîtrise des risques mis en place par les deux premières lignes. Cette architecture, révisée en 2020 pour insister davantage sur la collaboration entre les trois lignes plutôt que sur leur seule séparation, permet d'éviter la confusion des rôles fréquemment observée lorsqu'une même fonction cumule des responsabilités opérationnelles et de contrôle sans distinction claire.