يجيب نموذج الخطوط الثلاثة عن سؤال يطرحه كل مجلس عاجلا أو آجلا، من يفعل ماذا في المخاطر. فالإدارة التنفيذية تملك المخاطر وتديرها، ووظائف المخاطر والامتثال تضع المنهج وتدعم وتراجع، والتدقيق الداخلي يقدم تأكيدا مستقلا للمجلس. ومن دون هذا الفصل تنشأ فجوات لا يغطيها أحد وضوابط تكررها ثلاث فرق. والنموذج بالنسبة إلى المجلس خريطة تبين مصدر كل نوع من الاطمئنان.
يرسخ النموذج في سياسة إدارة المخاطر ومواثيق الوظائف، وكثيرا ما يترجم إلى مصفوفة RACI فوق الأنشطة الرئيسة. وفي استمرارية الأعمال يكتب مالكو الخدمات في الخط الأول خططهم ويحدثونها، وتضع وظيفة الاستمرارية أو المخاطر في الخط الثاني المنهجية وتنسق التمارين وتراجع الجودة، ويفحص التدقيق الداخلي دوريا هل يعمل البرنامج كله. ويرفع كل خط تقاريره عبر قناته الخاصة، وهذا ما يجعل الصورة موثوقة. وقد أعاد معهد المدققين الداخليين IIA صياغة النموذج في 2020 مؤكدا التعاون بين الخطوط لا الجدران بينها.
التشويه المعتاد هو تحويل الخط الثاني إلى شرطة، فيخفي الخط الأول مشكلاته بدل رفعها، أو العكس حين يقرر مديرو الأعمال أن المخاطر شأن إدارة المخاطر وحدها. وكلاهما يهدم الغاية، فالمخاطر تبقى مع من يدير العمل، والخط الثاني وجد ليسهل عمله ويجعل ادعاءاته قابلة للاختبار. ومن الخطأ أيضا إشراك التدقيق الداخلي في تصميم ضوابط سيدققها لاحقا. ويدرس منطق التأكيد الذي يقوم عليه النموذج في الوحدة M6 من برنامج ERGP.
هذا المصطلح جزء من اللغة العملية لبرنامج ERGP — أول شهادة في حوكمة مرونة المؤسسات متاحة بالعربية بالكامل، ومتاحة بالإنجليزية أيضاً. 94 فصلاً في ست وحدات وشهادة قابلة للتحقق.
تعرفوا على برنامج ERGP