Trois lignes, une seule vision : ce que change le nouveau modèle des trois lignes

Le 8 juillet 2026, l’IIA a publié deux prises de position révisées : l’une sur le modèle des trois lignes, l’autre sur le rôle de l’audit interne dans la gestion des risques d’entreprise. Toutes deux remplacent les prises de position précédentes et déplacent l’accent de la séparation rigide vers la coordination entre les lignes. Pour les responsables gouvernance, risques et conformité, la question est de savoir où se déplace réellement, au quotidien, la frontière entre le management, la deuxième ligne et l’audit interne.

Qu’est-ce qui change exactement le 8 juillet 2026 ?

À cette date, l’IIA a publié deux nouvelles prises de position qui remplacent les documents antérieurs consacrés au modèle des trois lignes et au rôle de l’audit interne dans la gestion des risques d’entreprise.

Le modèle des trois lignes révisé s’adresse en premier lieu au conseil d’administration et met l’accent sur la responsabilité de chaque rôle au sein de l’organisation quant à sa contribution propre et distincte à la gouvernance et à la gestion des risques. Référentiel modernisé, il se veut suffisamment souple pour s’appliquer à des organisations aux structures, aux environnements de risque et aux niveaux de maturité différents, comme l’expose l’IIA dans ses prises de position.

Dans le même temps, la prise de position réaffirme que des mesures de sauvegarde appropriées doivent être en place pour le responsable de l’audit interne dès lors que cette fonction assume des tâches de deuxième ligne. Ces mesures visent à protéger l’indépendance de l’audit interne et l’objectivité des auditeurs.

Où passe désormais la frontière entre le management et la deuxième ligne ?

La première ligne demeure propriétaire du risque : le management détient et gère les risques et en est responsable, comme l’indique le PDF officiel de la prise de position.

Le corps du texte ne donne pas de définition définitive de la deuxième ligne, mais les intitulés de sections publiés sur les scénarios de mise en œuvre laissent entrevoir davantage de souplesse que ne le permettaient les versions antérieures. La prise de position reconnaît que les rôles des trois lignes peuvent se recouper en pratique et propose des orientations pour encadrer ces situations plutôt que de les exclure par principe.

Les organisations qui admettent de tels recoupements devraient documenter la répartition des responsabilités de manière à rendre visibles les écarts entre la responsabilité attribuée et celle réellement exercée, une logique qui rejoint l’utilisation du décalage de gouvernance comme indicateur pour le registre des risques.

• Répartition des responsabilités transparente et documentée
• Revue indépendante des activités porteuses d’un risque d’auto-revue ou de supervision
• Approbation explicite des mandats élargis par le conseil d’administration
• Communication en temps utile des menaces réelles ou perçues pesant sur l’objectivité

Que peut faire, et ne pas faire, l’audit interne dans le cycle ERM ?

La prise de position sur l’ERM décrit la gestion des risques d’entreprise comme un ensemble coordonné de cinq activités, identifier, évaluer, gérer, surveiller et rendre compte, auxquelles l’audit interne contribue par l’assurance et le conseil sans en assumer lui-même la responsabilité.

Une analyse technique de Symbiant relève que l’audit interne peut apporter du conseil ou de l’assurance sur chacune des cinq activités, mais qu’il ne doit pas définir l’approche du management, hiérarchiser les réponses, mettre en œuvre des contrôles ni s’approprier le reporting des risques. En pratique, c’est cette ligne de partage qui détermine si une activité d’audit relève encore de l’assurance ou si elle est devenue, de fait, une activité de management.

Selon la prise de position, d’autres fonctions et rôles soutiennent également les travaux d’assurance et de conseil de l’organisation. Cela s’accorde avec le principe selon lequel la gestion des risques sert l’atteinte des objectifs et n’existe pas pour elle-même, raison pour laquelle la responsabilité des décisions relatives aux risques doit rester entre les mains de ceux qui répondent de l’objectif.

Pourquoi l’audit interne demeure-t-il l’intégrateur plutôt qu’une ligne parmi d’autres ?

Le modèle réaffirme le rôle de l’audit interne comme intégrateur de l’assurance, fournissant au conseil d’administration une vision globale à l’échelle de l’organisation, quel que soit le nombre de fonctions contribuant à l’assurance.

Un article technique publié sur Tandfonline note que les responsabilités fondamentales sont préservées dans les prises de position de 2026, mais que la coordination, le recours aux travaux d’autres acteurs et l’assurance intégrée y pèsent nettement plus que dans la version de 2020. Le changement de dénomination, des trois lignes de défense vers le modèle des trois lignes, opéré dès 2020, avait déjà, selon Accounting Today, atténué l’orientation purement défensive et davantage mis en avant la saisie des opportunités dans le cadre d’une prise de décision fondée sur les risques.

La nouvelle prise de position sur l’ERM est-elle contraignante ?

Non : un commentateur, dans un texte daté du 16 juillet 2026, qualifie le document de prise de position qui reflète le point de vue de l’IIA sans constituer une exigence contraignante.

Pour les fonctions gouvernance, risques et conformité, cela signifie que ces prises de position offrent une orientation pour clarifier leurs propres rôles, sans déclencher d’obligation de certification. Les organisations qui révisent les frontières entre les trois lignes devraient néanmoins confronter leur propre modèle de gouvernance aux mesures de sauvegarde décrites, car cela facilite la vérification de l’indépendance.

Comment les responsables GRC doivent-ils procéder maintenant ?

La première étape consiste à recenser les tâches de deuxième ligne que l’audit interne exerce déjà aujourd’hui en pratique et à vérifier si les mesures de sauvegarde citées dans la prise de position sont documentées pour ces tâches.

Ce recensement devrait être conduit par le responsable de l’audit interne avec le directeur des risques ou le responsable de la conformité, puis présenté au conseil d’administration avant toute attribution de nouveaux mandats. Là où les rôles se recoupent déjà, il vaut la peine d’examiner les nouvelles interfaces, par exemple lorsque des tâches d’audit et de conseil supplémentaires apparaissent, une question qui se pose également lorsque l’on se demande si la gouvernance de l’IA fusionne avec la GRC ou reste un silo distinct.

FAQ

Questions fréquentes

Qui reste responsable des risques dans le modèle des trois lignes révisé ?

La première ligne, c’est-à-dire le management, demeure propriétaire du risque et en reste responsable. Le modèle des trois lignes révisé ne change pas ce principe, mais il exige une coordination plus étroite et des mesures de sauvegarde documentées dès lors que l’audit interne assume des tâches de deuxième ligne.

Quelles mesures de sauvegarde l’IIA exige-t-il lorsque l’audit interne assume des tâches de deuxième ligne ?

La prise de position en cite quatre : une répartition des responsabilités transparente et documentée, une revue indépendante des activités porteuses d’un risque d’auto-revue ou de supervision, une approbation explicite des mandats élargis par le conseil d’administration et une communication en temps utile des menaces réelles ou perçues pesant sur l’objectivité, afin de préserver l’indépendance et l’objectivité des auditeurs.

L’audit interne peut-il prendre des décisions relatives aux risques dans le cycle ERM ?

Non. L’audit interne peut apporter de l’assurance et du conseil sur les cinq activités de l’ERM : identifier, évaluer, gérer, surveiller et rendre compte. Il ne doit pas définir l’approche du management, hiérarchiser les réponses, mettre en œuvre des contrôles ni s’approprier le reporting des risques.

Quel rôle l’audit interne conserve-t-il par rapport aux autres fonctions d’assurance ?

L’audit interne demeure l’intégrateur de l’assurance et fournit au conseil d’administration une vision globale à l’échelle de l’organisation, quel que soit le nombre d’autres fonctions contribuant à l’assurance. Ce rôle le distingue des autres lignes, même si la coordination et le recours aux travaux d’autres acteurs pèsent nettement plus dans le modèle révisé qu’auparavant.

Les organisations sont-elles tenues de mettre en œuvre les prises de position révisées de l’IIA ?

Non, il s’agit de prises de position qui reflètent le point de vue de l’IIA mais qui ne sont pas contraignantes et ne déclenchent aucune obligation de certification. Les responsables GRC peuvent s’en servir comme orientation pour clarifier leurs propres rôles et confronter leur modèle de gouvernance aux mesures de sauvegarde décrites, sans que cela crée une quelconque obligation de conformité.

Sources

1. Statements of Position for Internal AuditingIIA
2. Internal audit and risk managementNorman Marks on Governance, Risk Management, and Internal Audit