الخط الأول: التشغيلFirst line: operations

من ينفّذ العمل يملك المخاطرة ويطبّق الضوابط. عندما يُقال «هذه مسؤولية إدارة المخاطر»، يفقد الخط الأول مسؤوليته فعلياً.Whoever performs the work owns the risk and applies the controls. When it is said that "risk management is responsible", the first line effectively loses ownership.

الخط الثاني: الإطار والمراقبةSecond line: framework and oversight

يضع السياسات ويجمع المخاطر ويراقب الالتزام. لا ينفّذ العمليات ولا يدققها — وإلا صار يقيس عمله.Sets policy, aggregates risk and monitors compliance. It neither performs nor audits the operations — otherwise it measures its own work.

الخط الثالث: التدقيق الداخليThird line: internal audit

تقييم مستقل للفعالية، بتقرير إلى أعلى سلطة حوكمة. لا يصمّم الضوابط ولا ينفّذها، وإلا فقد استقلاله وأصبح يقيس تصميمه.Independent assessment of effectiveness, reporting to the highest governance body. It neither designs nor operates controls, otherwise it loses independence and measures its own design.

أخطاء التصميمDesign errors

أن يكون مسؤول المخاطر هو نفسه مسؤول التشغيل، أو أن يراجع التدقيق ضوابط صمّمها بنفسه، أو أن يُطلب من التدقيق «تنفيذ» تحسينات. الثلاثة تُلغي قيمة النموذج.The risk officer also being the operations officer, audit reviewing controls it designed, or asking audit to implement improvements. All three void the model.

التنسيق بلا خلطCoordinate without blending

التنسيق مطلوب: تبادل المعلومات، تجنّب التكرار، والبناء على نتائج الآخرين. لكن التنسيق لا يعني نقل المسؤولية.Coordination is required: information sharing, avoiding duplication and building on others' results. But coordination is not transferring responsibility.

في المنشآت الصغيرةIn smaller entities

قد يجمع الشخص أكثر من دور بحكم الحجم. الحل ليس تجاهل الفصل، بل توثيق التعارض وإدارة استقلال التقييم بطريقة بديلة وواضحة.A person may hold more than one role given the size. The answer is not to ignore separation but to document the conflict and manage assessment independence in a clear alternative way.