L'IIA a mis à jour son modèle des trois lignes. Les rôles restent les mêmes : l'essentiel se joue entre les lignes.
À l'origine, un objectif : renforcer les dispositifs de maîtrise des risques. Et un constat : sans coordination entre les équipes, des « redondances inutiles » subsistent ici, des « lacunes dans les contrôles » là, de quoi mettre l'organisation en péril. Amélioration continue oblige, l'IIA a publié en juillet 2026 la deuxième mise à jour de son modèle.
⏳ De 2013 à 2026 : ce que les mises à jour ont changé
Trois lignes distinctes, numérotées de un à trois : le vocabulaire du modèle pourrait laisser croire à trois territoires étanches. L'IIA veille, à chaque mise à jour, à écarter cette lecture.
En 2020, l'institut abandonne le vocabulaire défensif. Les Trois Lignes de Maîtrise deviennent le Modèle des Trois Lignes : la protection de la valeur n'est plus le seul horizon du dispositif, sa création compte au même titre. Le texte précise que le mot lignes « ne sert pas à désigner des éléments structurels mais à distinguer les différents rôles » et que les trois opèrent simultanément. Le conseil d'administration entre dans le modèle, et l'accent se déplace sur ce qui relie les rôles : « communication, coopération et collaboration ».
La version 2026, adressée aux conseils d'administration, aux directions générales et aux responsables de l'audit interne, fait de cette collaboration un sujet à part entière et passe à la mise en pratique : chevauchements de rôles, externalisation, coordination.
🎯 L'union fait la force
La version 2026 constate les limites de chaque ligne.
- Première ligne : objectivité contrainte par la propriété opérationnelle. Elle peut « sous-estimer ou rationaliser » les faiblesses de contrôle, et le management peut contourner certains contrôles.
- Deuxième ligne : son reporting passe par le management, ce qui l'altère parfois. Elle peut se limiter à la conformité procédurale plutôt qu'à une réelle profondeur d'assurance.
- Troisième ligne : couverture fondée sur les risques, donc périodique. Les zones à faible risque et les risques émergents sont revus moins souvent.
Trois qualités font la valeur d'un regard sur le risque : la proximité opérationnelle, l'expertise spécialisée et l'indépendance. Aucune ligne ne peut les réunir toutes les trois en même temps. Chacune voit donc ce que les autres ne voient pas, et c'est ce qui rend leur coordination nécessaire.
🚧 L'indépendance ne signifie pas l'isolement
Le texte pose l'indépendance comme un fondement de la gouvernance. Et il met en garde, dans le même chapitre, contre le contresens qui la guette : l'indépendance ne doit pas être interprétée comme de l'isolement.
La mise en garde existait dès 2020, à propos du dialogue entre le management et l'audit interne. La version 2026 l'étend à tous les rôles et l'outille : un mécanisme nommé, des obligations posées.
Le mécanisme : si l'indépendance est mal comprise ou appliquée sans discernement, la perception qu'on en a peut involontairement limiter la communication transverse et créer du désalignement entre les rôles.
Autrement dit, l'indépendance peut devenir l'argument qui dispense de collaborer.
Les obligations s'adressent à deux niveaux. Tous les rôles sont tenus de cultiver la transparence, la clarté des responsabilités et un engagement constructif entre eux. Et la fonction qui porte l'assurance indépendante, l'audit interne au premier chef, dispose de moyens précis pour protéger la sienne : un rattachement fonctionnel au conseil d'administration, un accès sans restriction à l'information, et la maîtrise de ses propres ressources.
🤝 Assurance et conseil : les deux, sur les trois lignes
Le fil conducteur de la version 2026 tient en deux définitions :
- 🛡️ L'assurance confirme si les dispositifs de gouvernance, de gestion des risques, de conformité et de contrôle sont adéquats et efficaces.
- 💡 Le conseil identifie les sujets émergents, les axes d'amélioration et les leviers de performance et de résilience.
Les deux sont délivrés par les trois lignes. La version 2026 rend notamment explicite le conseil de première ligne : celui que le management délivre au plus près de l'exécution. Plus un rôle est proche des opérations, plus son apport est précis ; plus il est indépendant, plus il porte une vue d'ensemble. Le conseil d'administration et la direction générale renforcent ainsi leur supervision sans avoir à connaître chaque détail opérationnel.
Le conseil a toutefois un coût, que le texte expose : parce qu'il est collaboratif, il crée des risques de familiarité et d'auto-revue pour celui qui devra, ensuite, évaluer en toute indépendance ce qu'il a aidé à construire. Trois protections encadrent les missions de conseil : des rôles clairement définis, un conseiller qui s'abstient de prendre les décisions qui relèvent du management, et un conseil d'administration informé de leur nature et de leur périmètre.
😮💨 La fatigue d'assurance
Un terme fait son entrée dans la version 2026 : la fatigue d'assurance (assurance fatigue).
La première ligne s'auto-évalue. La deuxième contrôle. La troisième audite. S'y ajoutent, hors des trois lignes, l'audit externe et les revues des régulateurs. Les mêmes personnes peuvent ainsi répondre quatre fois aux mêmes questions, sur des référentiels différents, dans des formats différents, à des moments différents. Chacun a fait son travail, et le dispositif finit pourtant par peser sur ceux qu'il est censé servir.
La solution proposée : la coordination, et une confiance raisonnée dans les travaux des autres, sous la supervision du conseil d'administration. Les bénéfices annoncés : moins de doublons, une couverture d'assurance optimisée, moins de fatigue, et une compréhension plus intégrée des risques.
🗺️ L'assurance intégrée et la carte d'assurance
Quand la coordination se structure, elle prend un nom : l'assurance intégrée (integrated assurance).
Le texte reste prudent : ce n'est pas une obligation de structure, mais une forme plus mature de coordination, d'autant plus utile que les risques deviennent complexes et interconnectés. Sa conception doit refléter le contexte de l'organisation.
Quatre outils sont cités pour y parvenir :
- 🗺️ Une carte d'assurance (assurance map) : un document de synthèse qui recense la couverture des risques à l'échelle de l'organisation, tous prestataires d'assurance confondus, et fait apparaître les lacunes comme les doublons de couverture.
- 🏷️ Des taxonomies de risque partagées : le même risque porte le même nom d'un bout à l'autre de l'organisation.
- 📊 Un reporting aligné : des restitutions bâties sur les mêmes définitions et les mêmes périodes, donc comparables entre elles.
- 📅 Une planification coordonnée entre les prestataires d'assurance.
Plutôt que d'opérer en silos, les prestataires d'assurance peuvent aligner leurs méthodes, partager leur information sur les risques et coordonner leur planification. Gain annoncé : plus de transparence, moins de travaux en double, et une clarté sur ce qui est couvert et ce qui ne l'est pas.
C'est ici que la version 2026 formalise le rôle de l'audit interne et lui donne un nom : l'intégrateur de l'assurance (integrator of assurance). Parce qu'il rend compte au conseil d'administration et qu'il voit toute l'organisation, l'IIA lui reconnaît la vue la plus complète et la plus intégrée du système. Il peut s'appuyer sur les travaux des première et deuxième lignes, il peut décider de ne pas s'y appuyer si la qualité n'est pas au niveau, et il doit se garder de s'approprier les activités de deuxième ligne.
💡 Des principes à l'outillage
Le modèle est fondé sur des principes, et l'IIA ne prescrit aucun outil. En pratique, pourtant, les quatre leviers de la coordination partagent une condition : que les évaluations, les contrôles, les incidents et les recommandations d'audit se réfèrent aux mêmes données. Une taxonomie partagée vit mal en plusieurs versions concurrentes ; une carte d'assurance perd sa valeur dès qu'elle date ; un reporting aligné se construit difficilement à partir de fichiers dispersés.
C'est notre approche chez Delta RM : un référentiel unique, partagé par les modules Gestion des risques, Contrôle interne, Audit interne et Assurances. Les trois lignes y travaillent sur les mêmes objets, chacune avec ses droits, son périmètre et son niveau de validation : la première ligne s'auto-évalue, la deuxième challenge, la troisième audite, sans ressaisie de ce qui est déjà documenté.
Deux choix de départ soutiennent cette approche. Un modèle à utilisateurs illimités, pour embarquer les trois lignes du terrain au comité d'audit : la gestion des risques est un effort collectif, nous voulons la démocratiser et l'ouvrir au plus grand nombre. Et la plateforme a été construite par des professionnels du risque qui ont exercé le métier avant de l'outiller, hébergée en France, certifiée ISO/IEC 27001:2022.
L'indépendance n'est pas l'isolement, dit l'IIA. Notre conviction le rejoint : le risque n'est une menace que pour ceux qui l'affrontent seuls.
❓ Questions fréquentes
Qu'est-ce que le modèle des trois lignes ?
C'est un cadre de gouvernance publié par l'IIA (Institute of Internal Auditors) qui clarifie où un conseil d'administration trouve l'assurance et le conseil dont il a besoin. La première ligne est le management, qui détient et gère les risques et opère les contrôles. La deuxième réunit les fonctions d'expertise et de support qui appuient, challengent et surveillent. La troisième est l'audit interne, qui apporte une assurance indépendante et objective, y compris sur la deuxième ligne.
Faut-il dire « lignes de défense », « lignes de maîtrise » ou « les trois lignes » ?
Les trois lignes. Les deux autres expressions désignent le modèle d'origine, celui de janvier 2013 : « Three Lines of Defense » en anglais, « Les Trois Lignes de Maîtrise » dans la traduction de l'IFACI. En 2020, l'IIA a renommé son cadre « Modèle des Trois Lignes » et la version 2026 confirme ce choix. Les anciens termes restent employés en France, mais ils renvoient à une version remplacée depuis 2020.
Que signifie « assurance » dans le modèle des trois lignes ?
Dans le vocabulaire de l'IIA, l'assurance est un énoncé destiné à renforcer la confiance des parties prenantes dans les dispositifs de gouvernance, de gestion des risques, de conformité et de contrôle. C'est le sens du mot dans « prestataires d'assurance » ou « carte d'assurance ». Plusieurs fonctions délivrent cette assurance, chacune à son niveau : le contrôle interne, la conformité, la gestion des risques, l'audit interne. Le terme recouvre donc davantage que les polices et programmes d'assurance : la couverture assurantielle est l'une des réponses au risque, portée par la fonction assurances ; l'assurance au sens du modèle porte, elle, sur la confiance dans l'ensemble du dispositif. Les deux se complètent sans se confondre.
Le nouveau modèle change-t-il les rôles des trois lignes ?
Non, et il ne les changeait déjà pas beaucoup en 2020. L'architecture de 2013 tient toujours : le management détient et gère les risques, les fonctions spécialisées appuient et challengent, l'audit interne donne une assurance indépendante y compris sur la deuxième ligne. Deux évolutions notables depuis l'origine : le conseil d'administration et la direction générale se situaient hors des trois lignes en 2013 et sont intégrés au modèle depuis 2020 ; et le texte, jadis destiné à la profession d'audit, s'adresse désormais aux dirigeants. Ce qui change en 2026 porte sur l'articulation entre les rôles, pas sur leur contenu.
Quels sont les cinq principes du modèle des trois lignes ?
La version 2026 réorganise le modèle autour de cinq principes, contre six en 2020 :
- Le conseil d'administration fixe la finalité, l'appétence au risque et les attentes, et supervise la poursuite des objectifs stratégiques.
- Une supervision efficace dépend d'une information fiable et équilibrée sur la performance, les risques et les contrôles.
- Le conseil d'administration et la direction générale établissent les responsabilités en définissant les rôles de chacun.
- Des sources d'assurance distinctes, dont une indépendante, donnent au conseil d'administration confiance dans le fonctionnement des dispositifs et le déclenchement des actions correctives.
- Les services de conseil complètent l'assurance en apportant des perspectives et des options pour l'amélioration et la décision.
Les six principes de 2020 décrivaient surtout les rôles de chaque acteur ; les cinq de 2026 partent des besoins du conseil d'administration : une information fiable, de l'assurance, du conseil.
Qu'est-ce que la fatigue d'assurance ?
L'épuisement produit par des travaux d'assurance non coordonnés : les mêmes équipes sollicitées plusieurs fois sur les mêmes sujets, par des acteurs différents, avec des référentiels et des formats différents.
Qu'est-ce qu'une carte d'assurance (assurance map) ?
Un document de synthèse qui identifie la couverture des risques par l'ensemble des prestataires d'assurance de l'organisation. Elle sert à repérer les doublons et surtout les zones non couvertes.
L'audit interne peut-il faire du conseil ?
Oui, et ce n'est pas nouveau : la version 2020 énonçait déjà qu'il fournit « une assurance et des conseils indépendants et objectifs ». La version 2026 l'encadre : le conseil se délivre dans une perspective transverse, sans endosser de responsabilité de management ni de pouvoir de décision. Le conseil n'est d'ailleurs pas réservé à la troisième ligne : les trois lignes en délivrent.
Faut-il un outil GRC pour appliquer le modèle des trois lignes ?
L'IIA ne l'impose pas : le modèle est fondé sur des principes et ne prescrit ni structure ni outil, l'assurance intégrée y étant présentée comme une pratique de maturité. En pratique, appliquer ces principes sans outil se révèle vite difficile : maintenir une carte d'assurance vivante, des taxonomies partagées et un reporting aligné dans des fichiers séparés, c'est précisément ce qui produit la fatigue d'assurance que le modèle cherche à réduire. Un SIGR, aussi appelé outil GRC, IRM ou RMIS selon les marchés, tient ces quatre leviers dans un seul référentiel.
📄 Pour aller à la source
- Three Lines Model — Assurance and Advice in Support of Effective Governance (IIA, PDF, en anglais), Statement of Position publié le 8 juillet 2026
- Le modèle des 3 lignes : le cadre qui clarifie la maîtrise des risques (IFACI, en français), présentation du modèle et de sa mise à jour 2026
Pour aller plus loin
- Le module Audit interne
- Le module Contrôle interne
- Digitaliser l'audit interne : les questions à se poser
- Nos réponses à plus de 70 questions GRC
Vos trois lignes travaillent-elles sur le même référentiel ?
Risques, contrôles, audits, incidents, assurances : une seule base, des droits par rôle, et personne qui ressaisit le travail déjà fait.
