Th&ma 2022-1

TH MA themahogeronderwijs.org
Het Three Lines Model van het IIA
LEGENDA:
BESTUURSORGAAN
Verantwoording verschuldigd aan stakeholders voor toezicht op de organisatie
MANAGEMENT
Acties (inclusief risicomanagement) om
doelstellingen van de organisatie te realiseren
Eerstelijnsrollen:
Leveren van
producten/diensten
aan klanten;
managen risico’s
Rollen Bestuursorgaan: integriteit, leiderschap en transparantie
Verantwoording,
rapporteren
Tweedelijnsrollen:
Expertise,
ondersteuning,
monitoring en
kritische blik bij
risicogerelateerde
zaken
Delegeren, richting,
middelen, toezicht
INTERNAL AUDIT
Onafhankelijke assurance
Derdelijnsrollen:
Onafhankelijke en
objectieve
assurance en
adviezen over alle
zaken m.b.t. het
realiseren van
doelstellingen
EXTERNE AUDITORS
Afstemming, communicatie,
coördinatie, samenwerking
EXTERNAL ASSURANCE PROVIDERS
Figuur 1 Het Three Lines Model
Ook de meeste ondersteunde diensten kunnen we tot de
eerstelijnsrollen rekenen.
Essentieel is dat deze eerstelijnsrollen in de eerste plaats
verantwoordelijk zijn voor het geven van leiding, voor het
sturen van acties en voor het realiseren van de doelstellingen
van de instelling. Ze staan in voor de beheersing van
hun eigen processen en voor het managen van hun risico’s.
De eerstelijnsrollen krijgen bevoegdheden en middelen van
het bestuursorgaan; in ruil daarvoor rapporteren de eerstelijnsrollen
aan het bestuur over geplande en werkelijke
resultaten.
Tweedelijnsrollen
Tweedelijnsrollen bieden ondersteuning, monitoring en
een kritische blik op bepaalde specifieke risico’s. In een
hogeronderwijscontext kun je bijvoorbeeld denken aan de
volgende tweedelijnsrollen:
• risicomanagement;
• kwaliteitszorg of -borging;
• veiligheid, gezondheid en milieu;
• gegevensbescherming;
• informatieveiligheid;
• juridische aangelegenheden;
• interne beheersing;
• duurzaamheid;
• diversiteit;
• compliance.
Tweedelijnsrollen richten zich op het beheersen van specifieke
risico’s, zoals de borging van de (onderwijs)kwaliteit,
de naleving van wet- en regelgeving, de beveiliging van
informatie en persoonsgegevens of het stellen van aanvaardbaar
ethisch gedrag. Tweedelijnsrollen kunnen ook
een bredere verantwoordelijkheid omvatten voor het risicomanagement,
zoals Enterprise Risk Management. Denk
hierbij aan de recente invoering van risicomanagement in
het Vlaamse hoger onderwijs en de voorziene evaluaties
van het risicomanagement door het Regeringscommissariaat
van de Vlaamse Regering. De verantwoordelijkheid
Ze staan in voor de
beheersing van hun eigen
processen en voor het
managen van hun risico’s
43