Toutes les organisations sont exposées à des risques financiers, opérationnels, informatiques, réglementaires ou réputationnels. La difficulté ne tient pas seulement à leur identification : elle tient surtout à la répartition des rôles. Qui applique les contrôles ? Qui définit les règles ? Qui vérifie que le dispositif fonctionne ?
Le modèle des 3 lignes, publié par The Institute of Internal Auditors (IIA), répond précisément à cette question. Il structure les responsabilités en matière de maîtrise des risques et évite que des sujets importants ne restent sans propriétaire.
Ce que vous allez trouver dans cet article
Cet article présente le modèle des 3 lignes dans une logique opérationnelle. Il en rappelle l’origine et la définition, détaille le rôle de chaque ligne, précise ce que recouvrent les « 4ᵉ et 5ᵉ lignes » parfois évoquées, et illustre le fonctionnement d’ensemble par un exemple appliqué au risque de fraude.
✅ Qu’est-ce que le modèle des 3 lignes ?
Le modèle des 3 lignes est un cadre de référence international émis par l’IIA (The Institute of Internal Auditors), dont l’IFACI est le chapitre français. Il répartit les rôles et les responsabilités en matière de gouvernance et de maîtrise des risques entre trois catégories d’acteurs.
Ce cadre a connu une évolution importante. Publié initialement sous le nom de « trois lignes de défense », il a été renommé « modèle des trois lignes » lors de sa mise à jour de 2020, puis précisé par une nouvelle prise de position de l’IIA en 2026. Ce changement de dénomination traduit un changement d’approche : le modèle ne se limite plus à une logique défensive de protection de la valeur, mais intègre la contribution de la gestion des risques à l’atteinte des objectifs et à la création de valeur. En français, on rencontre également l’expression « lignes de maîtrise », largement utilisée par les professionnels.
Le modèle explicite par ailleurs le rôle de l’organe de gouvernance (conseil d’administration, conseil de surveillance ou instance équivalente), qui fixe les orientations et supervise l’ensemble du dispositif, ainsi que celui de la direction générale, qui conçoit les structures permettant d’atteindre les objectifs. Les première et deuxième lignes relèvent du management, tandis que la troisième ligne apporte une assurance indépendante.
Le modèle se résume ainsi :
- La première ligne rassemble les opérationnels, les managers et les responsables de processus. Elle réalise les activités et maîtrise au quotidien les risques qui leur sont associés.
- La deuxième ligne regroupe le risk management, le contrôle interne, la conformité, la qualité ou encore la cybersécurité. Elle définit le cadre, accompagne les métiers et supervise le dispositif.
- La troisième ligne correspond à l’audit interne. Elle fournit une assurance indépendante et objective sur l’ensemble du dispositif.
Le modèle s’applique à tous les types d’organisations : banques, assurances, industrie, secteur public, associations, PME. Il apporte trois bénéfices majeurs : la clarté des responsabilités, la cohérence des dispositifs de maîtrise et la confiance des parties prenantes dans la façon dont les risques sont réellement gérés.
À retenir
Le modèle des 3 lignes ne crée pas de nouvelles fonctions : il clarifie qui fait quoi, afin qu’aucun risque significatif ne reste sans responsable identifié.
👥 La première ligne : les opérationnels
La première ligne constitue la base du dispositif, et souvent la plus sous-estimée. Elle regroupe l’ensemble des personnes qui réalisent les activités quotidiennes de l’organisation : managers, collaborateurs, équipes de terrain, responsables de processus.
Ces acteurs sont au cœur du dispositif parce qu’ils rencontrent les risques en temps réel. Une erreur dans un contrat, une défaillance machine, un courriel suspect, une procédure contournée, un stock mal géré : ce sont eux qui détectent en premier ce qui peut mal tourner.
La première ligne assume trois responsabilités majeures :
- appliquer les règles et les procédures de traitement des risques définies par l’organisation
- identifier et gérer les risques directement liés à ses activités
- signaler les incidents et les anomalies plutôt que de les laisser s’accumuler
Concrètement, un chef d’équipe qui veille à la sécurité sur un chantier, un commercial qui vérifie la conformité d’un dossier client ou un technicien qui applique les bonnes pratiques de cybersécurité exercent tous un rôle de première ligne.
Sans une première ligne responsabilisée, aucune supervision ni aucun audit ne peut réellement compenser. C’est elle qui assure la maîtrise des risques de premier niveau, là où les activités se déroulent.
🛡️ La deuxième ligne : expertise, accompagnement et supervision
La deuxième ligne accompagne la première. Elle regroupe les fonctions spécialisées dont l’activité porte spécifiquement sur la maîtrise des risques : risk management, contrôle interne, conformité, qualité, cybersécurité, contrôle financier, sécurité, lutte contre la fraude.
Son rôle est triple :
- définir le cadre : élaborer les politiques, les procédures, les méthodes et les standards de contrôle
- accompagner et conseiller : former les opérationnels, répondre à leurs questions, les appuyer sur les situations complexes
- superviser : vérifier que la première ligne applique les règles, analyser les indicateurs de risque et alerter la direction
Une comparaison utile : la deuxième ligne fonctionne comme une tour de contrôle. Elle ne pilote pas l’avion, mais elle s’assure que la trajectoire est respectée et qu’aucune anomalie n’échappe au système.
Le risk manager qui construit et fait vivre la cartographie des risques, la fonction conformité qui vérifie la conformité réglementaire des contrats ou l’équipe cybersécurité qui définit la politique de gestion des accès illustrent ce rôle. Le contrôleur interne en est l’une des figures centrales.
La deuxième ligne structure, guide et surveille, mais ne prend pas les décisions opérationnelles à la place des équipes de terrain. Elle garantit que la gestion des risques forme un dispositif cohérent et fiable.
🔍 La troisième ligne : l’audit interne
La troisième ligne correspond à l’audit interne. Son positionnement diffère fondamentalement de celui des deux premières : il est indépendant du management. L’audit interne ne définit pas les procédures, ne pilote pas les risques et n’arbitre pas la stratégie. Il évalue.
Ses missions consistent à :
- vérifier que les risques sont correctement identifiés et maîtrisés
- apprécier l’efficacité des processus et des contrôles existants
- formuler des recommandations d’amélioration
- fournir une assurance objective à la direction générale et à l’organe de gouvernance
Pour filer la métaphore, l’audit interne joue le rôle d’un arbitre : il observe, analyse et rend un avis, sans jouer sur le terrain. Un audit des processus financiers, un audit du dispositif de cybersécurité ou un audit de conformité relèvent de cette troisième ligne.
Son apport est décisif : il permet à la direction et aux parties prenantes de savoir que les deux premières lignes remplissent effectivement leur rôle. Pour approfondir cette distinction, l’article Audit interne vs contrôle interne : les différences détaille la complémentarité des deux fonctions.
Bon à savoir
L’indépendance de l’audit interne repose sur son rattachement fonctionnel à l’organe de gouvernance, son autonomie de programmation, son accès sans restriction à l’information et la maîtrise de ses ressources. Elle constitue une exigence des Normes mondiales d’audit interne, et non une simple bonne pratique.
🌐 4ᵉ et 5ᵉ lignes : de quoi parle-t-on ?
Certaines organisations, notamment dans les secteurs très régulés, évoquent une quatrième et une cinquième ligne.
- La 4ᵉ ligne désigne l’audit externe : commissaires aux comptes, cabinets indépendants ou experts mandatés. Ces acteurs interviennent depuis l’extérieur, avec un regard neutre, principalement sur la fiabilité de l’information financière et la conformité réglementaire.
- La 5ᵉ ligne désigne les régulateurs et autorités publiques : banques centrales, autorités des marchés financiers, organismes de contrôle sectoriels, agences gouvernementales. Ils définissent les règles, en contrôlent l’application et disposent d’un pouvoir de sanction.
Bon à savoir
Ces quatrième et cinquième lignes ne font pas partie du modèle de l’IIA. Celui-ci s’arrête à trois lignes et traite l’audit externe comme les régulateurs dans une catégorie distincte, celle des autres fournisseurs d’assurance ou de conseil. Il s’agit donc d’extensions issues de la pratique, courantes dans la finance, l’assurance, la santé ou l’énergie.
Elles ne se substituent pas aux trois premières lignes : elles ajoutent un niveau d’assurance externe et réglementaire à un dispositif interne qui doit rester solide.
🚨 Exemple concret : les 3 lignes face au risque de fraude
Le risque de fraude interne illustre bien l’articulation des trois lignes.
La première ligne applique les contrôles au quotidien. Les équipes qui traitent les paiements, les commandes, les notes de frais et les contrats mettent en œuvre la séparation des tâches, la double validation des paiements significatifs, la vérification des justificatifs et le signalement des anomalies. Elles sont au contact direct des opérations, donc de la fraude potentielle.
La deuxième ligne encadre et surveille. Le contrôle interne et la conformité définissent le dispositif antifraude : contrôles obligatoires, traçabilité des opérations sensibles, seuils d’alerte. Ils forment les équipes, suivent les indicateurs et analysent les schémas suspects. Leur rôle est de s’assurer que la première ligne applique les bons contrôles et que l’ensemble reste cohérent.
La troisième ligne évalue l’efficacité réelle du dispositif. L’audit interne teste les contrôles antifraude, examine les processus sensibles, identifie les failles et apprécie la capacité de l’organisation à détecter et traiter une fraude. Il en rend compte à la direction sous forme d’assurance indépendante et de recommandations.
La logique d’ensemble est cumulative : la première ligne prévient les erreurs et les abus, la deuxième encadre et surveille, la troisième vérifie que le dispositif produit les effets attendus.
⏭️ En résumé : un cadre simple pour des responsabilités claires
Le modèle des 3 lignes répartit la maîtrise des risques entre les opérationnels qui la mettent en œuvre, les fonctions d’expertise qui l’encadrent et l’audit interne qui l’évalue en toute indépendance.
Sa force tient à sa simplicité. En clarifiant qui fait quoi, il réduit les zones grises, limite les doublons de contrôle et diminue le risque qu’un événement significatif passe entre les mailles du filet. Ses mises à jour successives en ont par ailleurs élargi la portée : au-delà de la protection de la valeur, le modèle contribue directement à l’atteinte des objectifs de l’organisation et à la qualité de l’information transmise à l’organe de gouvernance.
Comprendre et appliquer ce cadre, c’est renforcer la sécurité, la conformité et la résilience de l’organisation.
