IIA’s model fordeler roller, ikke afdelinger. Første linje leverer og ejer risikoen, anden linje hjælper med at styre den og udfordrer, og tredje linje er den interne revision, som giver bestyrelsen uafhængig sikkerhed, mens en ekstern vurdering kommer udefra som et supplement.
Spørgsmålet om, hvor CISO står, har derfor sjældent ét svar. Det afhænger af, hvad sikkerhedsfunktionen faktisk gør i hverdagen, og det er værd at skrive ned, før koncernen begynder at måle.
Modellen og dens navn
The IIA’s Three Lines Model er et positionspapir fra 2020. Det er en opdatering af den ældre model, som hed Three Lines of Defense. Den udgave, IIA har liggende i dag, er påskrevet en opdatering fra september 2024, hvor begreberne er afstemt med de globale standarder for intern revision.
Modellen er principbaseret. Den gælder alle slags organisationer og skal tilpasses organisationens egne mål og forhold. Ordet forsvar står i dag i anførselstegn som én af to vinkler, fordi modellen også handler om at skabe værdi.
Uden for finanssektoren er modellen frivillig. I finans har lovgiver skrevet den ind: DORA’s artikel 6, stk. 4, kræver, at IKT-risikostyring, kontrolfunktioner og intern revision holdes adskilt. Forordningen peger på tre forsvarslinjer, men lader også enheden bruge sin egen interne model for kontrol og risiko. Den danske tekst bruger altså stadig det gamle navn.
Seks principper i korte træk
- 1 Governance · Styringen skal hænge sammen, så ansvar, handling og sikkerhed kan følges
- 2 Bestyrelsens roller · Bestyrelsen fører tilsyn og har den interne revision som sin primære kilde til uafhængig sikkerhed
- 3 Ledelsen, første og anden linje · Ledelsen ejer risikoen og får hjælp til at styre den
- 4 Tredje linjes roller · Intern revision vurderer, om styring og risikostyring er tilstrækkelig og virker
- 5 Tredje linjes uafhængighed · Uafhængigheden kommer af ansvar over for bestyrelsen og fri adgang
- 6 At skabe og beskytte værdi · Rollerne skal tilsammen bidrage til organisationens mål
Første og anden linje
Første linje er de roller, der ligger tættest på leverancen til kunderne, og modellen regner støttefunktioner med. Anden linje hjælper med at styre risiko. Modellen nævner selv compliance, kontrol, kvalitetssikring og informations- og teknologisikkerhed som eksempler. De to linjer kan være blandet sammen eller adskilt. Ansvaret for at styre risikoen bliver i første linje og hos ledelsen.
En fodnote i modellen er vigtig for en koncern. Første, anden og tredje er bevaret, fordi ordene er velkendte. Linjerne er ikke organisatoriske kasser, nummereringen er ikke en rækkefølge, og alle rollerne virker på samme tid.
Hvor står CISO?
Modellen nævner ikke CISO. Placeringen nedenfor er derfor sitets tolkning ud fra modellens rollebeskrivelser.
Når sikkerhedsfunktionen selv driver adgangsstyring, overvågning eller patchning, udfører den en første linje-rolle. Når den skriver politikken, overvåger enhederne og udfordrer deres risikovurderinger, udfører den en anden linje-rolle. I mange større virksomheder gør den samme funktion begge dele.
I en koncern kan billedet være endnu mere blandet. En koncern-CISO kan have en ren anden linje-rolle over for datterselskaberne, mens de lokale IT-chefer både driver og kontrollerer. Det er praksis at beskrive rollerne pr. niveau, så det fremgår, hvem der udfordrer hvem.
Det har en konsekvens for målingen. Ifølge modellen kan anden linje aldrig blive helt fri af ledelsen, hvordan rapporteringslinjerne end er tegnet. En modenhedsscore, som sikkerhedsfunktionen selv giver enhederne, er altså ledelsens egen måling. Den kan være god og nyttig, men den er ikke uafhængig sikkerhed. Hvordan det håndteres, står i når anden linje måler sig selv.
Compliance og andre kontrolfunktioner
Compliance er efter modellen en anden linje-rolle. Modellen advarer om en bestemt sammenblanding: Får revisionschefen ansvaret for fx compliance eller virksomhedens risikostyring, er den interne revision ikke længere uafhængig af de områder. Vil bestyrelsen have uafhængig sikkerhed dér, skal en kvalificeret tredjepart levere den.
Tredje linje: den interne revision
Den interne audit-funktion giver uafhængig og objektiv sikkerhed og rådgivning om, hvorvidt styring og risikostyring er tilstrækkelig og effektiv. Den må gerne bygge på den sikkerhed, som andre parter i eller uden for huset leverer. Uafhængigheden bygger på ansvar over for bestyrelsen, uhindret adgang til personer, ressourcer og data og frihed fra påvirkning, når opgaverne planlægges og udføres.
Modellen beskriver også bestyrelsens side. Bestyrelsen sikrer en uafhængig funktion, ansætter og afskediger revisionschefen, er den primære rapporteringslinje, godkender revisionsplanen og giver revisionschefen adgang til møder uden ledelsen. Administrativt kan revisionschefen rapportere til et passende niveau i direktionen.
Den eksterne vurdering
En ekstern vurdering er efter modellen en ekstern leverandør af sikkerhed. Den står uden for de tre linjer og giver ekstra sikkerhed, enten fordi lov og regulering kræver det, eller fordi ledelse og bestyrelse ønsker at supplere de interne kilder. Hvem den rapporterer til, afhænger af, hvem der har bestilt den. Det er praksis at skrive det i opdraget.
Modellen beder linjerne samarbejde, så unødig dobbelthed, overlap og huller undgås. En ekstern vurdering, som ingen har koordineret med den interne revision, risikerer at gøre det modsatte.
Hvad det kræver, og hvad det koster at lade være
Det kræver en kort beskrivelse af, hvilke roller sikkerhedsfunktionen, compliance, den interne revision og eventuelle eksterne vurderinger har, og hvem hver af dem rapporterer til. Beskrivelsen skal ses igen, når koncernen ændrer organisation.
Uden den beskrivelse læser bestyrelsen let en score fra anden linje som uafhængig sikkerhed. Den tror, at tre linjer dækker området, men i praksis kan alle tre bygge på det samme tal. Det er også lettere for revisionsudvalget at stille de rigtige spørgsmål, når det ved, hvilken rolle hver rapport kommer fra.
Det skal I lade være med
- At tegne linjerne som afdelinger · modellen beskriver roller, og én funktion kan have flere.
- At kalde sikkerhedsfunktionens egen score uafhængig · anden linje hører til ledelsens side.
- At skrive, at loven kræver modellen · uden for finans er den frivillig.
Det skal gennemgangen kunne vise
- ☐ En beskrivelse af, hvilke roller sikkerhedsfunktionen udfører i første og anden linje.
- ☐ Revisionschefens rapporteringslinje og eventuelle roller uden for intern revision.
- ☐ Hvem der har bestilt hver ekstern vurdering, og hvem den rapporterer til.
- ☐ En oversigt, der viser, at linjernes arbejde er koordineret.
Kilder
- IIA, The IIA’s Three Lines Model. An Update of the Three Lines of Defense (2020, opdateret september 2024), læst 14. november 2026.
- Forordning (EU) 2022/2554 (DORA), artikel 6, stk. 4, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv for hver kontrolfunktion ned, hvilken linje-rolle den udfører, og hvem den rapporterer til.
Læs også: Assurance-kortet · CISO’s rapporteringslinje som auditpunkt
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
