Das neue Drei-Linien-Modell 2026 einfach erklärt
Das Drei-Linien-Modell entwickelt sich weiter: Mit dem IIA-Update von Juli 2026 stehen klare Verantwortlichkeiten, bessere Zusammenarbeit und unabhängige Assurance im Zentrum. Für Verwaltungsrat, Geschäftsleitung und CFO bleibt die Kernfrage: Wer steuert, wer überwacht und wer prüft die Wirksamkeit der Kontrollen? In diesem Artikel zeigen wir auf, wie das neue Modell in der Praxis angewendet wird.
Vom Verteidigungsmodell zum flexiblen Governance-Modell
Das Drei-Linien-Modell hat sich über mehr als ein Jahrzehnt entwickelt. Seit 2013 hat das Institute of Internal Auditors (IIA) das damals verbreitete «Three Lines of Defense»-Modell stark geprägt. 2020 wurde daraus das «Three Lines Model»: Der Begriff «Defense» wurde bewusst aufgegeben, um stärker Governance, Wertbeitrag, Zusammenarbeit und klare Verantwortlichkeiten zu betonen. Im Juli 2026 hat das IIA das Modell erneut weiterentwickelt und als neues Statement of Position veröffentlicht. Das Deutsches Institut für Interne Revision hat das englische Positionspapier übersetzt..
In der Schweiz wurde die Diskussion um das Modell wesentlich durch Prof. Flemming T. Ruud mitgeprägt. Seine Arbeiten zum Internem Kontrollsystem, zur Corporate Governance, zum Risk Management und zum Internal Audit haben die fachliche Diskussion über die Rollen der drei Linien in der Schweiz früh geprägt, u.a. mit einigen Fachartikeln im EXPERTfokus.
Die Botschaft des neuen Modells ist klar: Die Linien sind keine starren organisatorischen Silos. Strukturen können sich je nach Grösse, Komplexität und Risikoprofil eines Unternehmens unterscheiden. Entscheidend sind klare Verantwortlichkeiten, Transparenz, Zusammenarbeit und – bei der Internen Revision – die Wahrung von Objektivität und Unabhängigkeit.
MODELL EINFÜGEN
Internes Kontrollsystem und Drei-Linien-Modell: Wer macht was?
Das Interne Kontrollsystem (IKS)
Das IKS ist in der Schweiz im Obligationenrecht geregelt und ist eine unübertragbare Aufgabe des Verwaltungsrats (Art. 716 a Ziffer 3 OR), wonach dieser für die Ausgestaltung des Rechnungswesens, der Finanzkontrolle sowie der Finanzplanung, sofern diese für die Führung der Gesellschaft notwendig ist, verantwortlich ist – unabhängig davon, ob eine Prüfpflicht (Art. 728a Abs. 1 Ziffer 3 OR) vorgeschrieben ist.
3-Linien-Modell
Ein IKS ist nur dann wirksam, wenn Kontrollen auch überwacht werden. Dementsprechend hat sich das 3-Linien-Modell entwickelt
Gerade bei kleineren und mittleren Unternehmen (KMU) können Funktionen kombiniert werden. Eine Person oder Funktion kann beispielsweise Aufgaben übernehmen, die man klassischerweise der zweiten Linie zuordnen würde. Das neue Drei-Linien-Modell lässt solche pragmatischen Lösungen ausdrücklich zu. Die Verantwortung darf dadurch aber nicht unklar und die Unabhängigkeit der Internen Revision nicht beeinträchtigt werden.
Was bedeutet das neue Drei-Linien-Modell für Schweizer KMU?
Für viele Schweizer KMU ist eine vollständig ausgebaute zweite und dritte Linie wirtschaftlich kaum sinnvoll. Hier bietet das neue Modell einen pragmatischen Ansatz: Funktionen können gebündelt oder teilweise ausgelagert werden.
Entscheidend ist nicht, ob formal drei Abteilungen bestehen. Entscheidend ist, dass klar geregelt ist, wer Risiken verantwortet, wer Management und Prozesse überwacht und wer unabhängig beurteilt, ob Governance, Risikomanagement und Kontrollen funktionieren.
Gerade bei einem pragmatischen Ansatz kann eine ausgelagerte Internal-Audit-Funktion einen erheblichen Mehrwert bieten: Die Interne Revision muss nicht nur Schwachstellen feststellen, sondern kann das Unternehmen auch bei der Weiterentwicklung von IKS, Risikomanagement und Governance unterstützen.
Dabei ist jedoch zwischen Beratung und Assurance sauber zu unterscheiden. Wer beispielsweise ein Kontrollsystem konzipiert, sollte dieses nicht anschliessend ohne geeignete Schutzmassnahmen selbst beurteilen. Die GIAS verlangen entsprechende Vorkehrungen gegen Selbstprüfungsrisiken und Beeinträchtigungen der Objektivität.
Hierzu kann auch der Ansatz von Swiss Code of Best Practice for Corporate Governance von Economie Suisse helfen, wo in Ziffer 23 die Überwachungsfunktion des Prüfausschuss beschrieben wird, als auch in Ziffer 31 die Wirksamkeit des Internen Kontrollsystem erwähnt wird.
Drei-Linien-Modell bei Versicherern: FINMA-Vorgaben bleiben verbindlich
Für Versicherungsunternehmen ist das Drei-Linien-Modell kein Ersatz für die aufsichtsrechtlichen Vorgaben. Das FINMA-Rundschreiben 2017/2 «Corporate Governance – Versicherer» regelt ausdrücklich Risikomanagement, IKS und Kontrollfunktionen. Die Interne Revision ist dem Verwaltungsrat oder dessen Prüfungsausschuss unmittelbar unterstellt und organisatorisch sowie operativ von den anderen Kontrollfunktionen unabhängig.
Das Rundschreiben verlangt zudem eine risikobasierte Prüfungsplanung und mindestens eine jährliche Risikobeurteilung der Prüfobjekte. Eine vollständige oder teilweise Auslagerung der Internen Revision ist unter den im Rundschreiben genannten Voraussetzungen möglich. Bei einer Auslagerung an eine Prüfgesellschaft oder einen externen Dienstleister muss insbesondere die Unabhängigkeit von der bereits beauftragten Prüfgesellschaft gewährleistet sein.
Damit zeigt sich gerade bei Versicherern: Das 3-Linien-Modell schafft den Governance-Rahmen und die FINMA definiert die verbindlichen regulatorischen Anforderungen.
Von der Kontrolle zur nachweisbaren Wirksamkeit
Ein modernes IKS besteht nicht darin, möglichst viele Kontrollen zu dokumentieren. Entscheidend ist, ob die wesentlichen Risiken tatsächlich adressiert werden und ob die definierten Kontrollen funktionieren. Eine sinnvolle Prüfung unterscheidet deshalb zwischen:
- Design – Ist die Kontrolle geeignet, das Risiko zu adressieren?
- Implementierung – Ist die Kontrolle tatsächlich eingerichtet?
- Wirksamkeit – Wird sie über einen relevanten Zeitraum tatsächlich durchgeführt und dokumentiert?
Dieser Gedanke entspricht auch der Methodik der Aufsichtsprüfung und lässt sich in der Internen Revision als praxisorientierter Prüfungsansatz verwenden.
Die Global Internal Audit Standards (GIAS) 2024 und Topical Requirements erklärt
Für die Interne Revision sind die Global Internal Audit Standards 2024 (GIAS 2024) der zentrale internationale Berufsstandard. FINMA-regulierte Gesellschaften sind verpflichtet die GIAS einzuhalten. Die GIAS 2024 wurden am 9. Januar 2024 herausgegeben und sind seit dem 9. Januar 2025 gültig. Der Standard stärken insbesondere Governance, Unabhängigkeit, Qualität, Risikoorientierung und die Beziehung zum Aufsichtsgremium.
Neu hinzugekommen sind die Topical Requirements als verbindlicher Bestandteil des IPPF 2024 (International Professional Practices Framework des Institute of Internal Auditors). Sie definieren Mindestanforderungen für bestimmte Risikobereiche. Bei Assurance-Prüfungen muss die Interne Revision beurteilen, ob ein anwendbares Topical Requirement relevant ist, und die entsprechenden Anforderungen berücksichtigen.
Aktuell sind folgende Topical Requirement publiziert worden:
Weitere Informationen sind auf der Webseite des IIA Switzerland aufgeschaltet.
Digitalisierung und KI im IKS: Auswirkungen auf das Drei-Linien-Modell
Auch die Technologie verändert das Zusammenspiel der drei Linien. Moderne ERP-Systeme können beispielsweise kritische Stammdatenänderungen, Zugriffsrechte oder ungewöhnliche Transaktionen automatisiert protokollieren. Datenanalysen können Zahlungen unterhalb von Freigabelimiten, neue Kreditoren, geänderte Bankverbindungen oder auffällige Buchungsmuster kontinuierlich überwachen.
Damit verschiebt sich die Aufgabe teilweise von der manuellen Kontrolle zur automatisierten Überwachung. Gleichzeitig entsteht eine neue Frage: Wer beurteilt, ob die automatisierte oder KI-basierte Kontrolle selbst zuverlässig funktioniert?
Hier kann die Interne Revision einen wichtigen Beitrag leisten – etwa durch die Beurteilung von Datenqualität, Berechtigungen, Änderungen an Modellen oder Regeln, Überwachungsmechanismen und menschlicher Übersteuerung.
Unser Ansatz: Interne Revision als aktiver Partner
Für viele Krankenkassen, Versicherungen und KMU übernehmen wir bereits heute die Funktion einer ausgelagerten Internen Revision. Dabei verstehen wir als Balmer-Etienne Internal Audit nicht nur als nachgelagerte Prüfung, sondern als aktive Unterstützung für den Verwaltungsrat, das Audit Committee, den CEO und den CFO. Gleichzeitig sind wir uns bewusst, dass kleinere Krankenkassen und Versicherungen eine Interne Revision oft nur implementiert haben, weil dies die gesetzlichen Vorgaben entspricht. Mit unserem gesamtheitlichen Prozessverständnis und dem nötigen Pragmatismus sind wir überzeugt auch in diesem Kontext einen Mehrwert generieren zu können.
Prüfung vs. Beratung
Unsere Prüfarbeiten sind so ausgerichtet, dass wir am Ende eine Prüfsession einen Internen Revisionsbericht verfassen, mit klaren Feststellungen und Empfehlungen. In Gesprächen mit den Fachabteilungen geben wir gerne unsere Expertise und Best-Practice-Erfahrungen mit. Sollte es mal zu einer kritischen Situation zwischen Beratung und Prüfung kommen, so adressieren wir die relevanten Punkte transparent und klar an die zuständigen Aufsichtsgremien. Das neue Positionspapier zum IIA-Modell kommt uns und den KMUs (inkl. Krankenkassen und Versicherungen) sicherlich entgegen. Gleichzeitig machen wir bei der Unabhängigkeit keine Abstriche, denn das Verbot der Selbstprüfung ist uns sehr wichtig und wir halten dieses stets ein.
Qualität verpflichtet
Unser Anspruch gilt dabei nicht nur unseren Kunden, sondern auch unserer eigenen Qualität: Nach den früheren Standards haben wir unsere Tätigkeit regelmässig einem Peer Review im Dreijahresrhythmus unterzogen. Mit den GIAS 2024 wäre eine externe Qualitätsbeurteilung grundsätzlich erst mindestens alle fünf Jahre erforderlich. Wir haben uns dennoch bereits ein Jahr nach Inkrafttreten der neuen Standards freiwillig einem unabhängigen Quality Review durch das "Schweizer Institut für Managementerneuerung GmbH", resp. Dr. Philipp Wilhelm (Akkreditierter Quality Assessor von IIA Switzerland) unterzogen.
Das Ergebnis dieses externen Qualitätsreviews ist sehr gut und hat uns als ausgelagerte Interne Revision auf unserem eingeschlagenen Weg bestärkt. Gleichzeitig haben wir wertvolles Verbesserungspotenzial, im Sinne eines kontinuierlichen Verbesserungsprozesses (KVP), identifiziert und bereits umgesetzt.
Diesen Qualitätsanspruch wollen wir weiterführen: Wir werden uns deshalb auch künftig freiwillig alle zwei bis drei Jahre einem externen Quality Review unterziehen. Damit stellen wir sicher, dass unsere Methodik, Prozesse und die Qualität unserer Leistungen regelmässig unabhängig hinterfragt werden – und wir unseren Kunden nicht nur Unabhängigkeit und Fachkompetenz, sondern auch nachweisbare Qualität bieten können.
Fazit zum neuen Drei-Linien-Modell
Das weiterentwickelte Drei-Linien Modell 2026 stärkt ein modernes Governance-Verständnis: klare Verantwortung, abgestimmte Überwachung und unabhängige Assurance. Als Interne Revision sind wir bestrebt für die Aufsichtsgremien (VR, Audit Committee, Vorstand) als auch für die Management-Funktionen (CEO; CFO) unabhängige Rückmeldungen zu den (IKS)-Kontrollen zu geben. Gleichzeitig helfen wir mit starken Empfehlungen im Sinne einer Beratungsdienstleistung unsere Erfahrung weiterzugeben.
