Three Lines of Defence

• First line: branches and business departments that take risks own and manage them day to day through controls and procedures.
• Second line: risk management, compliance and AML units set policies, monitor limits and challenge the first line independently.
• Third line: internal audit gives independent assurance to the board and audit committee that the first two lines work.

NRB Directive 5 reflects this model: risk management cannot be treated as only the risk department's job; the main business function is the first line of defence, and every staff member must understand their risk responsibility to build a risk culture. Business and risk functions must be separated to avoid conflict of interest, and the Chief Risk Officer leads an independent risk function. Directive 6 places the internal audit head as member-secretary of the board Audit Committee, which supports the third line's independence.

• पहिलो घेरा: जोखिम लिने शाखा र व्यवसायिक विभागले नियन्त्रण र कार्यविधिमार्फत दैनिक जोखिम व्यवस्थापन गर्छन्।
• दोस्रो घेरा: जोखिम व्यवस्थापन, अनुपालन र सम्पत्ति शुद्धीकरण निवारण इकाईले नीति बनाउँछन्, सीमा अनुगमन गर्छन् र पहिलो घेरालाई स्वतन्त्र रूपमा चुनौती दिन्छन्।
• तेस्रो घेरा: आन्तरिक लेखापरीक्षणले पहिलो दुई घेरा काम गरिरहेको स्वतन्त्र आश्वासन सञ्चालक समिति र लेखापरीक्षण समितिलाई दिन्छ।

निर्देशन नं. ५ ले यही मोडेल अपनाएको छ: जोखिम व्यवस्थापन जोखिम विभागको मात्र जिम्मेवारी होइन; मुख्य व्यवसायिक कार्य पहिलो सुरक्षा घेरा हो र हरेक कर्मचारीले आफ्नो जिम्मेवारी बुझ्ने गरी जोखिम संस्कृति विकास गर्नुपर्छ। स्वार्थ नबाझिने गरी व्यवसाय र जोखिम कार्य छुट्याउनुपर्छ र प्रमुख जोखिम अधिकृत ले स्वतन्त्र जोखिम कार्यको नेतृत्व गर्छन्। निर्देशन नं. ६ ले आन्तरिक लेखापरीक्षण प्रमुखलाई लेखापरीक्षण समितिको सदस्य-सचिव बनाएको छ।