Het three lines of defence model verdeelt de verantwoordelijkheid voor risico over drie groepen rollen. De eerste lijn beheert het risico, de tweede lijn houdt toezicht en daagt uit, de derde lijn toetst onafhankelijk of het geheel werkt.
Voor IT- en cyberrisico is dat geen boekhoudtheorie meer. DORA verwijst er letterlijk naar en de Cyberbeveiligingswet legt de eindverantwoordelijkheid bij het bestuur. Wie de drie lijnen niet scherp heeft, krijgt daar vroeg of laat vragen over van een toezichthouder of auditor.
Wat is het three lines of defence model?
Het model komt uit de wereld van interne audit. Het Institute of Internal Auditors (IIA) herzag het in 2020 en noemt het sindsdien het Three Lines Model. In Europese regelgeving en in de meeste organisaties heet het nog gewoon three lines of defence.
Bovenaan staat het bestuur. Dat is eindverantwoordelijk, bepaalt de risicobereidheid en richt de interne auditfunctie in. Daaronder zit het management, met rollen in de eerste en de tweede lijn. Interne audit vormt de derde lijn en legt verantwoording af aan het bestuur.
Een detail dat veel uitmaakt bij het inhuren: de IIA schrijft er expliciet bij dat de lijnen rollen aanduiden en geen onderdelen van het organigram. Een afdeling kan dus mensen in twee lijnen hebben. Een persoon kan dat beter niet.
De drie lijnen voor IT- en cyberrisico
Eerste lijn: wie het risico bezit
De eerste lijn levert de dienst en draagt daarbij het risico. Voor IT gaat het om IT-management, de teams die systemen bouwen en beheren, security engineers, IAM- en PAM-specialisten en het SOC. Volgens de IIA blijft de verantwoordelijkheid voor risicobeheer bij deze rollen liggen, ook als de tweede lijn meekijkt.
Dat betekent dat een security engineer niet alleen tooling uitrolt. Hij moet ook kunnen laten zien dat zijn maatregelen werken, met logging, testresultaten en wijzigingshistorie.
Tweede lijn: expertise, monitoring en challenge
De tweede lijn helpt het risico te beheren en rapporteert of dat voldoende en effectief gebeurt. Typische rollen zijn de IT risk manager, de compliance officer en, afhankelijk van hoe je het inricht, de CISO. Zij schrijven het raamwerk, monitoren de risico's en stellen lastige vragen aan de eerste lijn.
Een goede tweedelijns IT risk manager kent de techniek goed genoeg om een engineer te challengen, maar zijn werk is analyseren en rapporteren, niet bouwen.
Derde lijn: onafhankelijke assurance
Interne audit geeft onafhankelijk oordeel over governance, risicobeheer en beheersing. De IIA noemt die onafhankelijkheid van het management essentieel en koppelt haar aan verantwoording aan het bestuur en onbelemmerde toegang tot mensen, middelen en data. Voor IT is dit het terrein van de IT-auditor. Externe accountants en auditors staan daar nog naast, als extra assurance.
Wat DORA en de Cyberbeveiligingswet ervan vragen
DORA is het meest expliciet. De overwegingen bij de verordening verwijzen naar het organiseren van ICT-risicobeheer volgens het three lines of defence model, en artikel 5 legt de eindverantwoordelijkheid voor ICT-risico bij het leidinggevend orgaan. De AFM schrijft dat DORA veel nadruk legt op het three lines of defence model en verwacht dat je een controlefunctie en een auditfunctie aanstelt die voldoende onafhankelijk zijn gepositioneerd. De interne auditor beoordeelt het raamwerk periodiek.
De Cyberbeveiligingswet noemt het model niet. Wel is het bestuur volgens het NCSC eindverantwoordelijk, keurt het de maatregelen goed, houdt het toezicht op de uitvoering en volgt het training. Een van de tien zorgplichtmaatregelen gaat over processen om de effectiviteit van je maatregelen te beoordelen.
Mijn advies: gebruik het model ook als je alleen onder de Cyberbeveiligingswet valt. Een bestuur dat toezicht moet houden, heeft iemand nodig die niet zelf de maatregelen bouwt en toch kan zeggen of ze werken. Dat is precies wat de tweede lijn doet.
Waar het misgaat: één persoon in twee lijnen
De keuze is het lastigst bij de CISO. Plaats je de CISO in de tweede lijn, dan moet iemand anders de securitymaatregelen bouwen en beheren, bijvoorbeeld een security manager in de eerste lijn. Laat je de CISO ook de securityoperatie aansturen, dan zit hij in de eerste lijn en heb je een aparte tweede lijn nodig die hem kan tegenspreken.
Beide keuzes zijn te verdedigen. Wat niet werkt, is een CISO die de maatregelen ontwerpt, ze laat uitvoeren en daarna zelf aan het bestuur rapporteert dat ze effectief zijn. Dan toetst hij zijn eigen werk.
Bij inhuur ligt dezelfde valkuil op de loer. Een interim IT risk manager voor de tweede lijn heeft vaak de kennis om ook te implementeren, en dan is het verleidelijk hem dat te laten doen. Na een paar maanden rapporteert hij dan over controls die hij zelf heeft ingericht. Ik vind dat je dat vooraf moet uitsluiten, in de opdrachtomschrijving en in het gesprek met de kandidaat.
Welk profiel zoek je per lijn?
Bepaal vóór je een aanvraag uitzet in welke lijn de rol valt. Dat bepaalt aan wie de kandidaat rapporteert, welke bevoegdheden hij krijgt en welke ervaring je moet zoeken.
- Eerste lijn: hands-on ervaring met de techniek die je beheert, zoals Entra ID, CyberArk of een SIEM, en de discipline om bewijs vast te leggen. Voor toegangsbeheer onder DORA beschreven we de rollen in privileged access management onder DORA.
- Tweede lijn: kennis van risicoraamwerken en de regelgeving in jouw sector, en het vermogen om een engineer of IT-manager tegen te spreken. Voor leveranciersrisico kun je de vragen gebruiken uit interviewvragen voor een TPRM-specialist.
- Derde lijn: auditervaring, onafhankelijkheid ten opzichte van de teams die je toetst en de vaardigheid om bevindingen op bestuursniveau te rapporteren.
Voor interim is de tweede lijn vaak de snelste winst. Een raamwerk opzetten of een DORA-gapanalyse uitvoeren is afgebakend werk met een duidelijk einde. Een rol in de eerste lijn is meestal doorlopend beheer, en daar kies je eerder vast.
Bij MVPeople zoeken we interim en vaste professionals voor alle drie de lijnen. Zoek je een IT risk manager voor de tweede lijn, een GRC- of compliancespecialist of een interim CISO? Bel of mail me, dan bespreken we eerst in welke lijn de rol hoort.
