ממחקרים שונים שפורסמו במהלך השנים האחרונות, עולה כי רוב המנהלים הבכירים רואים צורך לשנות את תפקוד הביקורת הפנימית. 

אם בעבר הביקורת עסקה בעיקר בקיום הבטחה של ציות לחוק ולנהלים, אזי כיום היא גם  נדרשת לעסוק בייעוץ מערכתי ולספק תרומה לשורה התחתונה ולשיפור הביצועים. ההנהלה מעוניינת בייעוץ בזמן אמת ולא רק ביקורת על אירועים בדיעבד.

במחקר של Protiviti מ-2014(1) נשאל: האם הביקורת הפנימית מספקת ראייה רלוונטית  למועצת המנהלים? האם מועצת המנהלים מצדה מאפשרת קרקע נוחה ותנאים למבקר להיות רלוונטי? המאמר מונה עשרה תנאים שיכולים לחזק את רלוונטיות הביקורת הפנימית, ובהם: חשיבה אסטרטגית ומקיפה במימוש תכניות ביקורת וניתוח סיכונים, הרחבת הפעילות לתחום התפעול בכללותו ולנושאים לא כספיים, וחשדנות  כלפי תופעת מעילות.

במחקר של Ernst & Young מ-2012(2) נמצא כי 80% מהמנהלים הבכירים חושבים שיש מקום לשיפור בפונקציית הביקורת הפנימית בחברתם. מתוכם 70% סבורים כי על השינוי להתבצע בתוך שנה.

כיום קובעי המדיניות מצפים מהמבקר הפנימי, בנוסף על יכולותיו המקצועיות, גם להכיר  ולהתמצא בעשייה הארגונית ולהבחין בסדרי העדיפויות של מנהליה.

בהקשר לכך, בניירAdding value across the board  שהוציא ה-IIA(3) נכתב כי שינויים  מהירים מתרחשים כיום בסביבות העסקיות, כגון חריגות חוק, מעילות, בעיות אתיות,  עבירות מס, נושאי סביבה ואתיקה, בעיות שיוצרות חקיקה רבה ומשתנה, ולאלה מצטרפים נושאי סייבר, עולם גלובלי ומתוקשר, מסחר אלקטרוני, מיזוגים ורכישות ועוד,  מערכת שלמה שרק תהיה יותר כאוטית. לכן, כיום  יותר מתמיד, חשוב שתהיה ביקורת פנימית חזקה עבור ממשל תאגידי טוב וראוי.

Frank Byrt מתמצת זאת במאמר שניתח ממצאים של סקר שערכה הפירמה Grant Thornton   בשנת 2013(4), ולפיו אחד האתגרים הגדולים של מבקר פנים ראשי הוא לאזן ולשלב בין פעילויות ביקורת מסורתיות, לבין הצורך להיות בעל חשיבה אסטרטגית. למבקרים הפנימיים צריכה להיות ראייה טובה והבנה טובה של הארגון שבו הם משרתים, עליהם להיות מעורבים גם ברמת יחידות עסקיות בודדות וגם ברמה האסטרטגית, ורק כך יש להם פוטנציאל להוסיף ערך. כמו כן, יש לקחת בחשבון שהמבקר הפנימי עובד  בסביבה שלעתים נתונה ללחצים, ואף לאיומים.

המאמר מתמקד במבקר הראשי עובד הארגון, ובארגונים בינוניים או גדולים בהיקפי הפעילות  שלהם. עם זאת, גם ספק שירותי ביקורת יכול ליישם רעיונות מן המאמר.

תנאי תשתית הכרחיים

על רקע האתגרים העסקיים שתוארו לעיל, מבקרים פנימיים שואלים את עצמם: מה ההגדרה החדשה של תפקידי בארגון כמבקר? האם אני תורם לחיזוק וקיום הרגולציה הפנים ארגונית? האם אני מביא ערך מוסף? מי באמת הלקוחות שלי? האם אני משרת אותם? והאם אני נוקט תהליכים נכונים כדי להשיג יעדים אלו, כגון התמקצעות התואמת לדרישות הארגון, סקרי סיכונים, משובים, תיאום ציפיות ועוד?

יצירת ערך מוסף באמצעות הביקורת הפנימית אינה מבוצעת באמצעות מתכון מוכן מראש, אלא בתהליך מתמשך עם הדירקטוריון והנהלת הארגון. נוסחה של ביקורת פנימית יוצרת ערך שמתאימה לארגון  אחד, יכולה שתהא בעלת ערך נמוך לאחר. לצורך מענה על שאלות אלה נדרש מבקר הפנים ללמוד את התרבות הארגונית בארגון שבו הוא פועל, להבין את הביזנס ואת החזון של הארגון, וכן את סדרי העדיפויות של המנהלים.

הנה כמה תנאי יסוד, חלקם אף נתמכים בתקנים מקצועיים מקובלים ובחוזרים מקצועיים שונים, כגון נוהל ביקורת פנימית בחברות ממשלתיות(5).

1. קיום תהליך מובנה של תיאום ציפיות עם מבוקרים ועם הנהלת הארגון: מומלץ לגבש אמנה בין ועדת הביקורת והמבקר הפנימי, מאושרת על ידי הוועדה. כתב אמנה יבטא על דעת כל השותפים את הציפיות שיש למערכת הארגונית מהמבקר הפנימי.
2. ניסוח אסטרטגיה של הביקורת הפנימית: במסמך כזה יפרטו כיצד משאבי הביקורת יחולקו ובמה הביקורת תתמקד (לדוגמה, האם על שיפור הציות בארגון או על שיפור התרומה למערכת התפעולית ולשורה התחתונה של הארגון). מסמך זה יגדיר גם את החובה והדרך להכשרה מקצועית מתמדת לצוות הביקורת הפנימית. עוד ממומלץ שמסמך זה יכלול חובה לשלב מנהלים בכירים בארגון, בפרקי זמן קצובים, ביחידת הביקורת הפנימית, וזאת כחלק ממסלול קידומם (כפי שקיים בחברות לא מעטות, כגון General Electric). המסמך יפרט גם את מערכת היחסים שבין המבקר הפנימי לשומרי סף האחרים.
3. תמיכה של הדירקטוריון  וההנהלה  במוסד  הביקורת: כאשר  המבקר הפנימי מקובל ומוערך על ידי מנהלי הארגון, רק אז הביקורת הפנימית יכולה למלא את ייעודה. לכן קיימת חשיבות עליונה לכך שמועצת המנהלים או הגוף המקביל  בארגון יראו חשיבות רבה לכך:

• שהמבקר הפנימי יוזמן לדיוני דירקטוריון והנהלה.
• שהמבקר יקבל בזמן אמת דיווחים על התרחשויות ושינוי עדיפויות בארגון.
• שתהיה למבקר הפנימי במה שבה יביע את דעתו, ולא רק באמצעות דוחות הביקורת.

התכונות ה"רכות" הנדרשות לצורך הוספת ערך (רשימה חלקית)

בשנים האחרונות, יותר מתמיד, המבקר הפנימי נדרש להפגין תכונות אופי, כגון רב משימתי, מתחדש, תגובתי לשינויים, יוצר אמון ובעל נכונות לסייע למבוקרים, גם לא במסגרת מטלת הביקורת.

במאמר בשם (6)How do internal auditors add value כותב James Roth שיצירת ערך שונה בין ארגונים, ולכן יש להפגין ידע רחב אודות הארגון, אומץ ויצירתיות. מקצוענות  ומקצועיות אינן מספקות כיום לכשלעצמן, ועל המבקר להיות גם בעל תכונות אנושיות (תכונות רכות).

באשר לתכונות הרכות, במסמך של ה-IIA בשם 7 attributes oh highly effective internal auditors(7) שנערך על ידי  Robert half, נקבע כי "תכונות רכות כגון יושרה, יכולת שיתוף, יחסי אנוש טובים, תקשורת ותיאום ציפיות, יכולת למידה קבועה ועוד, הן כיום  התכונות הקשות החדשות".

להלן כמה תכונות רכות שחשובות לביקורת הפנימית לדעת מחבר המאמר:

בהיותו רשות מעין שיפוטית:

1. מבקר פנימי הוא מעין רשות שיפוטית. תוצאות דוח ביקורת יכולות להשליך על הערכת תפקודו של מנהל או עובד מן השורה. לכן המבקר שואף להציג את הליקויים  בנושא המטופל בבהירות. מאידך גיסא, חובה עליו לשקלל את תוצאות הביקורת  והשפעתן על המבוקרים בראייה עסקית מאוזנת ונכונה.
2. המבקר הפנימי שואף ליצור תהליך שינוי והטמעה של פעילויות מתקנות שמביאות ערך מוסף. לפיכך, עליו לגרום לכך שהדיון בדוח הביקורת לא יהיה לעומתי (המבקר מול המבוקר). הדבר יסייע לו לשכנע את ההנהלה בצורך ביישום צעדים מתקנים.
3. המבקר אמנם צריך להפגין ריחוק, חוסר מעורבות בניהול ואובייקטיביות, אולם גדולת אישיותו מתבטאת ביכולתו לשלב בין סמכויות וכלים שהקנה לו המחוקק, לבין היכולת האישית ליצור אמון בין המבוקרים, להבחין בין טפל ועיקר ולהבין אילו המלצות ההנהלה תיקח עמה.

יושרה: המבקר הפנימי צריך להפגין יושרה באמצעות אמירות מגובות היטב, בדבקות בעקרונות מקצועיים, באתיקה, ובדוגמה אישית והפגנת צניעות. יושרה היא תכונה חשובה בכל ארגון, אך במיוחד בביקורת הפנימית, ולא בכדי היא חלק מהקוד האתי של ה-IIA.

כדי לנהוג ביושרה צריך אומץ, ביטחון, גמישות ויכולת ליצור אמון, תכונות שיבואו לידי ביטוי במצבים שונים שבהם המבקר הפנימי יעמוד למבחן(7).

האומץ מתבטא גם ביכולת לתת חוות דעת אובייקטיבית, לא לעומתית, מניעה תהליך שינוי, ולא מושפעת "מרוחות צד" ומרצון להיות פופולרי.

אמינות: בניית תהליך בקרת איכות של הביקורת הפנימית, למשל באמצעות קריאה ובחינה על ידי גורם נוסף של הממצאים, לצורך בדיקה מה מידת הגיבוי שלהם והאם אומתו כיאות עם המבוקר, גם על חשבון התארכות זמן הביצוע.

אמינות המבקר הפנימי נסמכת על תשתית דוח הביקורת, ולכן הבעת דעה אחרת על  אירועים שלא על בסיס דוח, צריכה להישקל בזהירות רבה.

מחולל שינוי: באמצעות הפגנת מקצוענות והתכונות המפורטות במאמר זה, המבקר הפנימי יכול לשפר את תהליך ההחלטות של ההנהלה ולגרום לשינויים בתהליכים.

אומץ ומחויבות לארגון: המבקר הפנימי חייב להפגין התנהלות באומץ, מפני שלעתים שהוא מתמודד עם לחצים ואפילו איומים, ובסביבה של תנאי אי ודאות גבוהים.

מערכת הניהול חייבת להבין שמבקר המפגין את התכונות המתוארות במאמר, יהיה מוכן  גם לעמוד על דעתו, כמעט בכל מחיר.

בהיותו אחד משומרי הסף החשובים, אם לא החשוב שבהם, הסביבה הארגונית מצפה ממנו בטווח הארוך (ואולי גם הקצר) שיביא לשולחן גישה לא מוטה וחסרת אינטרסים (כמעט). לצורך כך פועלים בארגון גם פונקציות לניהול סיכונים, הלימות לציות, ובקרה חשבונאית.

מימוש אי-תלות ואובייקטיביות במקצועיות, באומץ, בעקביות ובנחישות, ועיסוק אמיץ בנושא טוהר מידות, מייחדים את המבקר הפנימי משאר שומרי הסף.

שליחות: הביקורת הפנימית אמורה לשמש דוגמה, מעין  מצפן  מוסרי ארגוני. היא צריכה להיות מעורבת בפעילות האתיקה של הארגון, ורואה בתפקיד המבקר הפנימי שליחות. הביקורת הפנימית צריכה להיות פלטפורמה לשיפור איכות ויעילות התפעול בארגונים, טוהר המידות, והגנה על עובדים.       

סוף דבר

שינויים גיאופוליטיים רבים ותכופים, שינויי רגולציה מקומיים ובינלאומיים, התגברות דרישות של קיימות, הפיכת העולם לכפר עסקי גלובלי ומתוקשר, איומי סייבר, אירועים ביטחוניים  ועוד, מעמידים בפני ארגונים עסקיים ואחרים אתגרים ללא תקדים. שינויים אלו מאתגרים גם את שומרי הסף והמבקר הפנימי בראשם, להפגין ערנות, תאימות, עדכניות, יושרה, אמינות ותכונות נוספות שפורטו במאמר, וכך להיות רלוונטי לארגון ככל שניתן, מעבר לסיוע בהלימות לרגולציה

רשימה ביבליוגרפית

1. The future of internal audit is now- Ernst & Young, 2012 https://www.eycom.ch/en/Publications/20120718-The-future-of-internal-audit-is-now/download
2. Board perspectives: risk oversight– protiviti (2014)

https://www.protiviti.com/en-US/Documents/Newsletters/Board-Perspectives/Board-Perspectives-Risk-Oversight-Issue50-5-Risk-Oversight-Questions-Protiviti.pdf

3. Adding value across the board -IIA

https://na.theiia.org/about-ia/PublicDocuments/Internal_Auditing-Adding_Value_Across_the_Board.pdf

4. Frank Byrt (2013) Internal auditors finding new ways to add value in expanded role

https://www.accountingweb.com/practice/practice-excellence/internal-auditors-finding-new-ways-to-add-value-in-expanded-role

נוהל ביקורת פנימית בחברות ממשלתיות ובנות ממשלתיות (1992)5.

hozrim.mof.gov.il/doc/Rashut/RashutHoz.nsf/…/$FILE/9280.DOC

6. How do internal auditors add value? – By James Roth https://www.drlillie.com/a620/Article/How%20Do%20Internal%20Auditors%20Add%20Value.pdf
7. 7 attributes of highly effective internal auditors—-IIA & Robert Half By Richard Chambers and Paul McDonald https://global.theiia.org/news/Documents/7%20Attributes%20of%20Highly%20Effective%20Internal%20Auditors.pdf

The post הביקורת הפנימית – ראייה מאתגרת בעידן אי ודאות appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

ניצה רוגוז'ינסקי (המבקרת הפנימית של חברת החשמל, נכנסה לתפקיד במהלך 2014): הגעתי למקצוע באופן אקראי. בהשכלתי אני רואת חשבון. בשעתו, מקצוע הביקורת הפנימית לא היה חלק מלימודי ראיית חשבון. כשסיימתי את לימודיי,  הגעתי לריאיון עבודה בפירמה פאהן קנה. במהלך הריאיון, רו"ח יוסי גינוסר, שותף ואחראי על תחום הביקורת בפירמה, הלהיב אותי בתיאורו את מקצוע הביקורת הפנימית והפוטנציאל הגלום בו, מקצוע שאכן מאפשר להטביע חותם, להוסיף ערך ולהביא לשינויים משמעותיים חיוביים בארגון.

בהתבוננות לאחור ושחזור הריאיון איני יודעת האם הוקסמתי יותר מהמקצוע או מעצם העבודה עם יוסי. הוא סחף אותי.

לאחר תקופה בתחום הביקורת הפנימית במשרד פאהן קנה, החלטתי שאני חייבת להתנסות גם בביקורת חיצונית. החלטתי לעבור לפירמה דלויט, מכיוון שידעתי שאם אשאר בפאהן קנה, הפיתוי להמשיך בתחום הביקורת הפנימית יהיה גדול מדי.

לא צפיתי שגם בדלויט לא אצליח לעמוד בפיתוי, ואתמגנט חזרה לתחום הביקורת הפנימית, וזאת גם הודות לרו"ח דן הלפרן, שותף מנהל בפירמת דלויט, שניהל את תחום הביקורת הפנימית והניע אותי להשתלב בביקורת הפנימית בדלויט. דן הלפרן לא הרפה, ויש לו חלק מהותי בכך שהיום אני בתחום הזה.

בסופו של דבר, אנשים ואינטראקציה בין-אישית הם חלק משמעותי ממקצוע הביקורת, ולכן מדובר בתחום שמתאים לאנשים שאוהבים אנשים – דבר שאולי נשמע  מפתיע, כי מבקר פנימי עשוי להיתפס אחרת.

איריס תבל (המבקרת הפנימית של מכבי שירותי בריאות, נכנסה לתפקיד במהלך 2015): מגיל צעיר אני מאלה שאינם חוששים לומר את דעתם, גם אם זו דעת מיעוט, זאת בצד היכולת שלי ליצור יחסי אמון והערכה. תחילת הדרך סומנה עוד בתקופת ההתמחות שלי כרואת חשבון. מצאתי עניין רב יותר בניתוח תהליכים ארגוניים, בחקר נתונים, באלמנטים של חקירה וגילוי ובכתיבת דוחות ביקורת, מאשר במסלול של ביקורת על דוחות כספיים.

באופיי אני אדם סקרן מאוד, שיטתי, דעתן, יש לי הסתכלות ניהולית רחבה ויש בי רצון בלתי נדלה לתיקון דברים, להוצאת עיקר מטפל. אני נהנית מעצם המעורבות בכלל התהליכים הארגוניים, בקִרבה למוקד קבלת ההחלטות הארגוני.

במהלך הקריירה שלי עשיתי אתנחתא לטובת תפקידים ניהוליים ביצועיים, כולל תפקידי ניהול כספים בכירים. הניסיון שצברתי חידד את הצורך שלי בהבאת ערך לארגון כמבקרת הפנימית שלו, ותרם לצורת ההסתכלות שלי דרך "משקפי" המבוקרים.

אני מרגישה שבאמצעות הביקורת הפנימית יש לי הזדמנות להשפיע על הארגון לבחור בדרכים היעילות, האתיות והאפקטיביות ביותר להשגת היעדים שלו. בנוסף, אני אוהבת לכתוב, ולכן האפשרות לסכם בדוח כתוב את תהליך הביקורת המורכב, את הממצאים שעלו במהלכה ואת המלצותיה היא אתגר עבורי, ואני רואה בכך סוג של יצירה. היכולת להעביר מסרים בכתב, למצוא את הנוסח הנכון – הבהיר, הפשוט, הממוקד והמשכנע – הוא מבחן תוצאה שאני מאוד מתחברת אליו.

שאול דבי (המבקר הפנימי של התעשייה האווירית, נכנס לתפקיד במהלך 2015): הבחירה הראשונה שלי הייתה במשרד שבו התחלתי לעבוד עוד כסטודנט. משם זה כבר היסטוריה…

ד"ר עקיבא שטרנברג (ראש אגף הביקורת הפנימית, בנק אגוד לישראל, נכנס לתפקיד במהלך 2014): עד למינוי שלי כמבקר הפנימי, שימשתי במשך למעלה משבע שנים כמנהל הסיכונים הראשי של הבנק. במשך תקופה זו פונקציית מנהל הסיכונים הראשי התפתחה בצורה מהותית וקיבלה העצמה פנימית וחיצונית, וכן התפתחו מתודולוגיות ותהליכי עבודה שלא היו קיימים קודם לכן לצורך זיהוי, ניטור והערכת הסיכונים. לעומת זאת, בביקורת הפנימית לא חלה התפתחות מקבילה או מספקת בתחומים אלו. היה ברור שעל הפער הזה יהיה צורך לגשר.  לאור זאת, נראה לי טבעי שלאחר תפקידי הקודם אעבור לביקורת הפנימית.

2. כיצד מתמודדים עם תכנית ביקורת שנתית ורב-שנתית שעליה החליט המבקר הקודם?

שאול: עם כניסתי לתפקיד, ירשתי מטבע הדברים צוות ביקורת, תכניות עבודה שנתית ורב-שנתית ועבודות בתהליך. מובן שלא הכול אידיאלי.

את תכנית הביקורת השוטפת לשנה הנוכחית השארתי כפי שהיא, והתחלתי לעבוד על תכנית עבודה לשנה הבאה, המבוססת על התכנית הרב-שנתית הקיימת, סקר סיכונים שבוצע לאחרונה בחברה, פגישות עם הנהלת החברה, פגישות עם ועדת הביקורת וניסיונם של המבקרים.

עקיבא: עם כניסתי לתפקיד ביצעתי, יחד עם המנהלים והעובדים בביקורת הפנימית, תהליך רחב של בחינה מחודשת של מיפוי תהליכי הביקורת. התהליך התבסס אמנם על תכנית העבודה הרב-שנתית שהייתה קיימת בביקורת הפנימית, אך ביצענו עדכון נרחב מעבר למה שהיה קיים קודם לכן.

בחנו מחדש את המבנה הארגוני של הבנק תוך ירידה לפרטים לגבי תחומי האחריות בכל היחידות, במטה והסניפים, וביצענו הערכה של הסיכונים הגלומים בפעילויות השונות תוך התייחסות למגוון מקורות מידע המצביעים על סיכונים אלו.

התהליך אפשר לנו לבנות "עולם ביקורת" חדש, השם את הדגש על הסיכונים העומדים בפני הארגון, ובכך ממקד את עבודת הביקורת בתחומים החושפים את הבנק לסיכונים המהותיים.

פועל יוצא של התהליך היה עלייה באפקטיביות של עבודת הביקורת הפנימית בכך שהביקורת מפנה את עיקר תשומת הלב לסיכונים העומדים בליבת הפעילות.

ניצה: בעת כניסתי לתפקיד ביקשתי לקבל את תכניות העבודה וכן סטטוס מפורט של יישומן. מידע זה חיוני לצורך הבנת המצב הקיים ומיפויו, ובחינת  הצורך בתעדוף  מחדש של המשאבים והמטלות.

לתפיסתי, בחינת התכנית צריכה להיעשות באופן מתמשך, כחלק ממהלך העבודה השוטף, ושיפור צריך להיות תהליך מתמיד. אני פועלת באותו האופן הן לגבי תכניות שגובשו על ידי קודמיי והן לעניין תכניות שגובשו בתקופתי.

זאת ועוד, דיווח סטטוס תכנית עבודה נערך מול הממונה באופן שוטף, ולא רק אחת לשנה. בארגון גדול כמו הארגון שבו אני פועלת יש הרבה אי ודאות, והסביבה היא דינמית ורוויית שינויים. על כן, צריך לבחון את הצורך בהתאמות ותעדוף בשוטף.

איריס: אני מאלה המאמינים שעבודת מטה כזו היא הזדמנות והזמנה לראייה מחודשת של תהליכים, של תרבות ניהולית ושל ריענון. מאידך, דווקא כאשר מדובר בכניסה לתפקיד המבקר הפנימי של ארגון – אני רואה חשיבות בלימוד קפדני ואחראי של הנכסים שהשאיר אחריו המבקר היוצא ובכלל זה תכנית העבודה שלו.

התפיסה שלי היא שמבקר הנכנס במהלכה של שנת ביקורת יידרש להתאמות מוגבלות בלבד להמשך יישומה. התאמות ושינויים יידרשו כאשר, למשל, ישתנו נסיבות שיביאו לעדכונים בתכולת הסיכונים, בהסתברות למימושם או במידת הנזק שהם עלולים להסב לארגון.

כמבקרת הנכנסת לתפקיד עליי ללמוד עוד בטרם אתייחס לתכנית העבודה הקיימת  את מפת הארגון, את היעדים הארגוניים, את התהליכים והפעילויות העיקריים, את סביבת העבודה שבה הוא פועל, את סקר הסיכונים שעליו מבוססת תכנית העבודה הרב-שנתית והשנתית, את הפרוטוקולים של ישיבות הוועדה שליוו את אישורה, ומה בוצע מתוך תכנית העבודה, אילו נושאים נמצאים בתוך מהלך עבודת הביקורת, ולאילו נושאים טרם נכנס המבקר הקודם.

בצד כל אלה, עליי לבחון את האמצעים העומדים לרשותי לביצוע יתרת התכנית.

3. מה התכנית שלך לקידום הרמה המקצועית של העובדים?

שאול: ככלל, ברצוני לגבש צוות ביקורת ותכנית עבודה רב-שנתית שישקפו את צורכי החברה ואת פעילותה.

בעיניי, מחלקת הביקורת הפנימית צריכה להיות תמונת מראה קטנה של החברה, מחוזקת באלמנטים האופייניים לביקורת.

איריס: המושגים "מצוינות", "מקצועיות" ו"מקצוענות" הם מבחינתי תנאי הכרחי למערך ביקורת אפקטיבי בארגון. ידע הוא כוח בכל תחום, ובוודאי בתחום הביקורת הפנימית – בו אנחנו נדרשים לעמוד בקצב השינויים בעולם שבו מתנהל הארגון שעליו אנו מופקדים. לא פחות מזה, אנחנו נדרשים להכיר היטב את הכללים וההנחיות המקצועיות בעולם הביקורת הפנימית ולהישאר מעודכנים כל העת. בעולם הבריאות קיימות גם הנחיות קפדניות הנוגעות לשמירה על מקצועיות המבקרים, לתפקיד הדירקטוריון בכך, בדיקת איכות העבודה וביצוע הדרכות כנדרש.

בהתאם לכך, במהלך התקופה הקרובה לכניסתי אני מתכננת למסד בניית תכנית הכשרה והעשרה לעובדי מערך הביקורת, שתורכב מקורסים מקצועיים רלוונטיים בביקורת פנימית, בדגש על קורסים הניתנים במסגרת הסמכת CIA, כמו גם קורסים במיומנויות החשובות לתפקודם כמבקרים, כגון בנושאי תקשורת בין אישית, כתיבת דוחות, ניהול סיכונים, ניתוח נתונים ועוד. במסגרת ישיבות הצוות של המחלקה אנחנו מקדישים זמן ללמידה משותפת, להפקת לקחים, ולדיווח על תכנים מימי עיון ומכנסים מקצועיים. בנוסף, אני מעודדת הפצת חומר מקצועי ומאמרים מעולם הביקורת הפנימית בין עובדי המחלקה.

ניצה: עובדי יחידת הביקורת בחברת החשמל הם ברמה מקצועית ואישית גבוהה ביותר, ורובם ככולם בעלי תארים מתקדמים. חלקם אף הועסקו קודם לכן ביחידות אחרות של החברה או בחברות ובארגונים חיצוניים.

לשמחתי, חברת החשמל ידועה במיקוד הרב בהון האנושי, ולכן מתקיימות הכשרות, הדרכות, העצמת ידע, הקניית כלים והגברת מיומנויות של עובדים, הן במישור המקצועי והן במישורים נוספים, כגון מיומנות ניהול ועוד. בנוסף על הדרכות אלה, בניתי, בשיתוף צוות מחטיבת משאבי אנוש, תכנית הדרכות המותאמת ספציפית לצורכי עובדי הביקורת. התכנית, המשולבת כחלק מתכנית העבודה של הביקורת, כוללת 12 מפגשים בתחומים שונים (תקנים מקצועיים, ביקורת מערכות מידע, ניהול סיכונים, כתיבת דוחות, תשאול מבוקרים ועוד).

מעבר לכך, קידום הרמה המקצועית נעשה במישורי ההדרכה, כגון ישיבות שוטפות של הנהלת הביקורת עם עובדי היחידה, וישיבות תקופתיות של כל העובדים והנהלת הביקורת. בקרת איכות: הגדרת אבני דרך המחייבות עיון וסקירה של מנהלי הביקורת והמבקרת הפנימית, עיון צולב – במסגרתו דוחות ביקורת מהותיים מועברים לעיון נוסף של עובדי ביקורת שאינם מעורבים במטלה, והפצה שוטפת של דוחות הביקורת והבדיקה הסופיים לכל עובדי היחידה (למעט דוחות בעלי רגישות).

בתום דיוני ועדות הביקורת, בהתאם לצורך, אנו עורכים דיון והפקת לקחים באשר לנושאים שנידונו בוועדה ומהות הדיון שהתקיים לגביהם.

עקיבא: קידום הרמה המקצועית של העובדים בביקורת הפנימית נעשה בכמה דרכים ומישורים: במהלך התקופה האחרונה עסקנו בעדכון המתודולוגיות המשמשות לעבודת הביקורת הפנימית, שהתייחס, בין היתר, ל-COSO 2013, מיכון תהליכי עבודה, שיפור אופן הכנת מפרטי ביקורת, הכנת מיפוי סיכונים ועוד. תהליכים אלו בוצעו בשיתוף צוות המנהלים והעובדים, ובכך הביא להפנמה של תהליכי העבודה החדשים והעלאת הרמה והאפקטיביות של עבודת הביקורת.

בנוסף, יישמנו תהליך של בקרת איכות בתהליכי הביקורת. במסגרת זו, בסוף כל תהליך ביקורת מתבצע תהליך של "הפקת לקחים". מסקנות אלו מוצגות לכלל העובדים ובכך מביאים לשיפור מתמיד באיכות העבודה.

בנוסף, אחת לשנה אנו מבצעים מיפוי של צורכי ההדרכה של העובדים בביקורת הפנימית, המתבסס על תכנית העבודה הרב-שנתית תוך בחינת הכישורים והידע המקצועי הנדרשים מהמבקרים לצורך ביצוע עבודתם. על בסיס מיפוי זה, אנו מכינים ומיישמים תכנית הדרכה רב-שנתית לסגירת פערי ידע של צוות העובדים.

4. איזו פעולה הוכחה כחשובה ביותר בתהליך כניסתך לתפקיד (כגון קריאת דוחות ביקורת, שיחות עם מנהלים ועובדים בארגון, ועוד)?

עקיבא: הקשבה. קיימת חשיבות גבוהה להקשיב למגוון המעגלים הנוגעים לעבודת הביקורת. זה מתחיל מהעובדים בביקורת עצמה. יש להבין מה חשוב להם ואיך ניתן לעזור להם להשיג את היעדים של הביקורת.

מעבר לכך, צריך להקשיב להנהלה הבכירה ולהבין מהן התפוקות העיקריות החשובות להם מעבודת הביקורת.

נדרשת גם הקשבה לגורמים חיצוניים, בין אם מדובר בגורמים מפקחים ובין אם מדובר באנשי מקצוע שיש להם זוויות מבט נוספות על עבודת הביקורת הפנימית. 

ניצה: אין פעולה אחת שניתן להכתיר כחשובה ביותר. חובה לשלב בין כל הפעולות. כל פעולה היא תורמת ובעלת ערך מוסף.

שאול: בעיקר שיחות עם בעלי תפקידים בחברה בכל הרמות, ושיחות עם צוות הביקורת הפנימית.

איריס: זו שאלה מורכבת. הכניסה לתפקיד הצריכה למידה בכמה גזרות בו-בזמן.

בשונה ממבקרים חדשים אחרים, אני מכירה היטב ולאורך שנים את מכבי שירותי בריאות, את עולם הבריאות ואת רוב התהליכים ותחומי התוכן הנלווים להם, והדבר מקל על כניסתי לתפקיד. אני רואה בזה נכס שמקל עליי ומאפשר לי מיקוד אפקטיבי במשימה החשובה והקריטית ביותר, והיא עדכון סקר הסיכונים ובניית תכנית עבודה תלת שנתית. "על הדרך", אני מחדשת היכרות עם כלל מנהלי הארגון, כולל הצגת ה"אני מאמין" שלי כמבקרת, תוך דגש על עשייה משותפת למען אותה מטרה ארגונית. אני לומדת את הצוות שלי ומאפשרת הצגה של מתווה ביקורת חדש ומותאם יותר להשקפותיי בפני ועדת ביקורת ודירקטוריון הארגון. אציין עוד כי גם מפגשים עם עמיתים למקצוע בארגונים אחרים תרמו לי לא מעט בסלילת הדרך עם כניסתי לתפקיד – ואני רואה בהם חשיבות רבה.

5. איך מתמודדים עם פוליטיקה פנימית בארגון?

איריס: אין ארגון שבו אין פוליטיקה ארגונית. לא ניתן ולא נכון להתעלם ממנה, וצריך לבחון את השלכותיה הן על הארגון שבו אני פועלת והן על הפרטים הפועלים בתוכו. כמבקרת פנימית אני רואה בלמידה של טקטיקות ההשפעה, עמדות הכוח, הקואליציות הארגוניות וכן היררכיית העוצמה בארגון – כלי חשוב להערכת הסיכונים הארגוניים ועוצמתם.

מצד אחד המבקר הפנימי חייב לעמוד כל העת על משמר האובייקטיביות שלו – ומתוך כך להישמר שלא "ליפול" במלכודות הפוליטיקה הארגונית. מנגד, היכרות טובה עם הכוחות המניעים את הארגון תסייע לו להבחין מתי היא אינה לגיטימית ועלולה לפגוע בתרבות הארגונית ומתי היא כלי לגיטימי לקידום יעדים ארגוניים מסוימים.

ניצה: עשיית דברים ביושרה, במקצועיות, באובייקטיביות, בשקיפות ובהוגנות, וכמובן בהתאם להוראות הדין וסדרי מינהל תקינים זוהי ה-"פוליטיקה" של המבקר הפנימי, והפוליטיקה שלי.

לתפיסתי, קיומה של פוליטיקה ארגונית בפני עצמה אינה מהווה טעם לפגם והיא כורח המציאות. בכל ארגון יש כוחות שפועלים מעל פני השטח ומתחת לו.

עקיבא: האמת, מתעלמים. עבודה הביקורת הפנימית צריכה להיות חפה מפוליטיקה ארגונית. עם זאת, לא ניתן להתעלם מהמתחים שעלולים להיות בין הביקורת לבין הארגון.

כדי להתמודד עם חיכוך אפשרי זה, הגדרנו סוג של "אמנת שירות" בין הביקורת לבין ההנהלה. באמנה זו הגדרנו את הציפיות ההדדיות בין הביקורת לבין הארגון. חשוב להגדיר לא רק את מה שהביקורת מצפה מההנהלה, אלא גם מה שההנהלה יכולה לצפות מהביקורת. אנו פועלים על פי "אמנת השירות" הזו, ומצאנו כי כתוצאה מכך המתחים פחתו ורמת הקשב לביקורת עלתה, כמו גם האפקטיביות של העבודה שלנו.

6. איך לומדים את הרצונות של בעלי העניין (יו"ר הדירקטוריון, מנכ"ל, חברי ועדת הביקורת וכדומה)?

ניצה: סעיף 150 לחוק החברות מגדיר וקובע: "יו"ר הדירקטוריון ו/או יו"ר ועדת הביקורת רשאים להטיל על המבקר הפנימי לערוך ביקורת פנימית בנוסף על תכנית העבודה בעניינים שמתעורר צורך בבדיקה דחופה".

במהלך שנת העבודה מתקבלות בקשות יזומות לביצוע מטלות ביקורת ובדיקה, לעתים בקדימות למטלות אחרות, מצד יו"ר הדירקטוריון, יו"ר ועדת הביקורת, המנכ"ל, חברי הדירקטוריון והמבקר הפנימי. כל דרישה כאמור מקבלת ביטוי בתכנית העבודה של הביקורת, שמתעדכנת ומובאת לאישור ועדת הביקורת והדירקטוריון.

תכנית העבודה של הביקורת בחח"י כוללת מלכתחילה שעות עבודה שמוקצות לטובת מטלות מסוג זה, מה שמאפשר גמישות ויכולת התאמה.

איריס: אני מאמינה שזהו תהליך למידה, תהליך של ניסוי וטעייה. אתה לומד ויורד לעומקם של דברים בעבודה שיטתית – ביצירת יחסי אמון, במפגשים רשמיים ובשיחות בלתי אמצעיות.

עם כניסתי לתפקיד קיימתי כמה פגישות בארבע עיניים ובהרכבים שונים עם יו"ר הדירקטוריון, עם המנכ"ל ועם יו"ר ועדת ביקורת – פגישות שבהן הושם דגש על תיאום ציפיות, על תפיסתי את התפקיד, ועל יעדים שהצבתי לעצמי כמבקרת. הקשבתי קשב רב לנושאים שהם העלו ולדגשים שלהם, סימנתי לעצמי נקודות שיהיה עליי להתמודד איתן, שיתופי פעולה אפשריים, נושאים שארצה לערוך בהם שינויים, וכן מחלוקות אפשריות לעתיד לבוא.

בנוסף, אני מוזמנת דרך קבע, ברוב המקרים כמשקיפה, לדיוני הנהלה, לישיבות דירקטוריון, לישיבות ועדות דירקטוריון נבחרות  – וגם שם יש לי הזדמנות להקשיב, ללמוד על הלך המחשבה והרוח של בעלי העניין. 

שאול: לומדים אותם מתוך שיחות עמם (לא אחת או שתיים) וגם מתוך ניסוי וטעייה.
עם זאת, מנהל מנוסה, ובוודאי מבקר מנוסה, חייב לדעת "לנהל את מנהליו" ולהביא בפניהם את האלטרנטיבות הנכונות. 

עקיבא: מדו-שיח מתמשך. צריך להעלות את הנושאים על סדר היום ולדבר עליהם.  כאשר אנחנו נתקלים בקושי מסוים בביצוע משימות או בצורך בעדכון תהליכי עבודה או מתודולוגיות, אנחנו מציפים את הנושאים מראש בפני ועדת הביקורת או בפני יו"ר הדירקטוריון. כך מתקיים דיון ענייני שמוביל לפתרונות ולדרכי פעולה מוסכמות.  ככל שמתקיים דיון פתוח יותר, כך ניתן לוודא כי כל בעלי העניין משקפים את דעותיהם ומקבלים מענה לציפיות שלהם.

The post ריאיון מבקרים פנימיים חדשים appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

ברם, המחוקק שלבטח צפה זאת קבע בנושא הגבלה, שלפיה דוחות ביקורת אינם קבילים בהליך משפטי. הגבלה זו נועדה בעיקר כדי לאפשר למבקר הפנים, שממילא אינו מעלה ממצאים על פי דיני ראיות, לזכות בשיתוף פעולה מצד המבוקרים. הרי ברי כי מבוקר שיודע כי דבריו עלולים  לסבכו בהליך משפטי ייטה פחות לשתף פעולה ממבוקר שיודע שדבריו זוכים לחסינות.

אך האם תחום זה, המעוגן כאמור בחוק, קבוע? כפי שנראה ברשימה זו, המצבים שהובאו לפתחו של בית המשפט כרסמו, בדומה למגמה הקיימת בדיני ראיות, בהגבלה הסטטוטוריות של אי-קבילות דוחות ביקורת.

דיני ראיות

למן ראשית ימי המשפט, ואולי אף לפני כן, עלה הצורך בקביעת כללים אחידים וברורים של מה מהווה ראיה במשפט ומה לא. כללים פרוצדורליים אלה המהווים מעין 'שומרי סף', הקובעים מה יהווה חלק מההליך המשפטי ומה לא, פותחו ושוכללו עם השנים בפסיקה. דוגמה בולטת לאי-קבילות ראיות הוא חסיונות, כגון חיסיון בין עורך דין ללקוח וחיסיון של כוהן דת (דברים שנאמרו ומסמכים שהוחלפו במסגרת יחסים אלו פסולים כראיה).

כללים אלו ובהם חזקות (פרזומציות), עדויות (מי שכשיר להעיד), ראיות חפציות וכו' הוסדרו עם השנים גם בחקיקה (בעיקר בפקודת הראיות).

אבן המסד של דיסציפלינה זו הם כללי הקבילות (מה קביל כראיה), שבצדה חזקה (פרזומציה) שלפיה כל אמצעי הוכחה הוא קביל, כל עוד לא נפסלה קבילותו. כלומר, רק ראיה שבית המשפט לא קבע שהיא בלתי קבילה (כלומר פסולה) תהיה כשרה להימנות עם הראיות שבית המשפט מוסמך לראות בהן כראיות במשפט[1].

בעשורים האחרונים קיימת מגמה במשפט של "מעבר מכללי פסלות השוללים קבילות של ראיות, לכללי משקל; מנוקשות ופורמליזם, לגמישות וליתר חופש בהפעלת שיקול הדעת השיפוטי"[2]. מגמה זו התפתחה עקב הרצון לאפשר לבית המשפט להתרשם ממלוא הראיות השייכות לעניין, ולהכריע רק בשאלת משקלן של הראיות שהובאו בפניו. כלומר "לפשט את דרישות הקבילות ולהעביר את הדגש לשלב המשקל ולשיקול דעת בית המשפט בדבר ערכה של האמרה כראיה[3]".

דיני ראיות וביקורת פנימית

באפריל 1992, בערוב ימיה של הכנסת ה-12, כאשר נחקקו חוקים כמו חוק יסוד כבוד האדם וחירותו, נחקק גם חוק הביקורת הפנימית.

בין סעיפיו כלל המחוקק הוראה שלפיה "דוח, חוות דעת או כל מסמך אחר שהוציא או הכין המבקר הפנימי במילוי תפקידו לא ישמשו ראיה בכל הליך משפטי, אך לא יהיו פסולים בשל כך לשמש ראיה בהליך משמעתי"[4].

על פי דברי ההסבר לחוק, סעיף זה הוחל "כפי שהדבר חל [בחוק מבקר המדינה] לגבי דוחות וחוות דעת של מבקר המדינה". הסיבה לכך שהוראה זו נקבעה בחוק מבקר המדינה היא כדי "לאפשר למבקר המדינה לאסוף מידע באופן חופשי ולנותן המידע – למוסרו באופן חופשי וללא חשש שהדבר ישמש ראיה משפטית".

אם כן, המחוקק החליש את כוחם הראייתי של דוחות ביקורת של מבקרי פנים כדי לאפשר לביקורת להיות כלי "חקירה" אפקטיבי. אך האם תמיד נעדיף את אינטרס הביקורת? לשון אחר, האם איזון בין האינטרס של יעילות הביקורת מחד, לאינטרס של אדם המבקש לעשות שימוש בדוח (להביא ראיות להוכחת טענותיו בבית המשפט) מאידך, יביא לכך שכף הראשונה תהא תמיד על העליונה?

 כרסום בחיסיון הביקורת הפנימית

כתחום העוסק באופן טבעי בליבה של העשייה הציבורית, אין להתפלא כי יהיו כאלה שיבקשו לשים ידם על תוצרי עבודתו של מבקר הפנים ולעשות בהם שימוש. ואכן, נקודת החיכוך הראשונה שנסקור היא בקשה לגילוי דוח ביקורת.

• גילוי דוחות ביקורת

שנים לפני חקיקתו של חוק חופש המידע (1998) נידונה השאלה האם הוראת אי-קבילותו של דוח ביקורת פנימי אוסרת על גילויו. במילים אחרות, האם במסגרת הליכי גילוי מסמכים בהליך משפטי ניתן לדרוש מהצד שכנגד לעיין בתוצאות עבודתו של מבקר פנימי, או מכיוון שהללו חסויים הדבר אסור.

נראה כי למן ראשית המחלוקת העדיף בית המשפט את הפרשנות הנוטה לכיוון הזכות למידע. בפס"ד בנק איגוד נ' אזולאי[5] משנת 1995 התגבשה ההלכה, המוכרת במילותיו של נשיא בית המשפט העליון אהרן ברק – "אי-קבילות לחוד וחיסיון לחוד" (הלכת אזולאי).

אי-הקבילות, שנועדה למנוע מבית המשפט לבסס ממצא על אותה ראיה, לא צריכה לדעת בית המשפט למנוע מבעל דין לעיין במסמך. "לעתים יש ערך רב לצד להליך משפטי לעיין במסמך, גם אם אין הוא רשאי להגישו בשל אי-קבילותו. לכן הגישה המקובלת היא כי אי-קבילותו של מסמך אין בה כשלעצמה כדי לחסנו מפני גילוי".

תפיסה זו צומצמה בהלכת חברת החדשות שבה נקבע כי "אין לקבל את הגישה לפיה בכל הנוגע לדוחות של ביקורת פנים, החיסיון הוא הכלל וגילוי המידע הוא, לכל היותר, חריג השמור למקרים יוצאי דופן. אין לקבוע חובת גילוי כללית בלתי מבוקרת, אך גם אין לקבוע, בשום פנים, חיסיון גורף. על המערערת לשקול תמיד גילוי מלא או חלקי של המידע, ועליה הנטל להראות כי מניעת העיון, בכל מקרה ומקרה, מוצדקת היא. ככל שאינטרס הציבור במידע בולט יותר, כך נדרשת המערערת להעמיד נימוק משכנע יותר לחיסויו. מקום בו הדבר אפשרי, על הרשות לסמן ב"עיפרון כחול" את החלקים שלא ניתן לגלותם, ולפרסם את היתר. אמצעים חשובים בהקשר זה, שיש לשקלם, הם פרסום תמצית ממצה והשמטת שמות"[6].

• מניעת גילוי דוח ביקורת

כפי שניתן לראות מהאמור לעיל, חובת הגילוי של דוח ביקורת בהליך משפטי, במסגרת גילוי מסמכים, הנה רחבה. אך בצד זאת ישנו חיסיון המאפשר למנוע גילוי שכזה, ומן הראוי שמבקרי פנים העורכים ביקורת בנושאים הנתונים במחלוקת משפטית ייקחו זאת בחשבון. החיסיון על מסמכים שהוכנו לקראת משפט[7] מונע, במסגרת הליכי גילוי[8] מסמכים, מהצד שכנגד לקבל ואף לעשות שימוש בתוצרי עבודה של מבקר פנימי בהליך המשפטי.

• קבלת ביקורת כראיה בנסיבות מיוחדות

במהלך השנים נידונו בכמה מקרים היבטים שונים של סוגיה זו, ורק במצבים נסיבתיים מיוחדים התיר בית המשפט את קבלת דוחות הביקורת כראיה.

כך לדוגמה, התיר בית המשפט את השימוש בדוח ביקורת כראיה כאשר מי שביקש את קבלת הדוח כראיה היה הגוף הציבורי עצמו[9], כאשר בית המשפט הסתמך בתרשומת שרשם מבקר פנימי לצורך הרשעה[10], ובמקרה שבו דוח ביקורת הוגש כראיה לפני כניסת חוק הביקורת הפנימית לתוקף[11].

בכל המקרים הסוגיות שנידונו היו נסיבתיות ולא חרגו מעבר לגבולות הדיון. אבל לאחרונה התקבלו שתי החלטות המותחות את היריעה אל מעבר לקו הגבול.

עם זאת, חשוב לציין כי למעט האמור, בית המשפט עומד כחומה בצורה ולא מאפשר שימוש בדוחות ביקורת בהליך משפטי[12], אלא כאשר עסקינן בהליך משמעתי[13].

• קבילות דוחות ביקורת בתביעות נזיקיות

ב-25.2.2015 נידונה בבית המשפט המחוזי בחיפה תובענה נזיקית נגד המדינה מצד כמה בעלי עסקים שנפגעו בשריפה בכרמל וחברות ביטוח שפיצו את מבוטחיהם בגין הנזקים שנגרמו עקב השריפה[14].

התובעים, שרצו להוכיח כי רשויות המדינה ושירותי הכבאות כשלו, ביקשו להגיש כראיה דוחות ביקורת שערך ופרסם  מבקר המדינה, המצביעים על כך שרשויות המדינה לא תיקנו את הליקויים שעליהם הצביע המבקר בשעתו. המדינה התנגדה לכך בטענה כי לאור הוראת סעיף 30 לחוק מבקר המדינה[15] הדוחות הללו אינם קבילים כראיה משפטית ולכן לא ניתן להגישם כראיה.

בית המשפט דחה את עמדת המדינה, וקבע כי להוראת האי-קבילות של דוחות ביקורת יש חריגים. דוגמה לכך היא שימוש בדוחות ביקורת שהוגשו כראיה במסגרת עתירות לבג"צ[16] בנוגע ליישום המלצות המבקר. ניתן כמובן לטעון כי בעתירה לבג"צ לא נשמעות ראיות ושצירוף חוות דעת של המבקר לכתבי טענות אינו בבחינת הגשת ראיה, אולם די בכך שהמדינה מסכימה כי בג"צ יבחן את דוחות המבקר לגופם, במסגרת ביקורת שיפוטית על יישום ההמלצות, כדי ללמד שהוראת אי-הקבילות עשויה לסגת מפני אינטרסים נוספים.

יותר מזה, מכיוון שלא ניתן להפריד בין ההמלצות לדוח (ביקורת), ניתן להציג דוחות ביקורת, הרי אחרת לא ניתן יהיה לקיים ביקורת שיפוטית על ההמלצות.

את החריג הזה, לכלל אי-קבילות דוח ביקורת כראיה, קבע בית המשפט שיש להחיל "גם בביקורת שיפוטית במסגרת תביעת נזיקין על מחדל ביישום המלצות המבקר". והרי "לא ניתן לדון בטענות בלא הגשת הדוחות או לכל הפחות הגשת אותו חלק מהדוחות הכולל את ההמלצות שהמחדל ביישומן מהווה את עילת התביעה".

ביסוס נוסף לכך הוא קביעה של בית המשפט כי בהליך הנדון הוראת חוק זו לא נפגעת, והרי "תכלית הוראת אי-הקבילות הינה לאפשר ביקורת חופשית ויעילה תוך עידוד המבוקרים למסור מידע ולפעול בחופשיות ללא חשש מהליך משפטי. הכרה בסייג להוראת אי-הקבילות במסגרת ביקורת שיפוטית על מחדלים ביישום המלצות דוח המבקר אינה פוגעת בתכלית זו. הוראת אי-הקבילות לא נועדה להגן על עובד שלא פעל, כנדרש על פי ההלכה ועל פי החוק, ליישום המלצות המבקר. הגשת המלצות המבקר כראיה בהליך משפטי בעקבות מחדל ביישומן של ההמלצות, לא תשפיע ולא תרתיע גורמים מבוקרים ממסירת מידע למבקר, שהרי מסירת המידע עניינה בפעולות הגוף המבוקר בביצוע תפקידיו ולא בפעולות שביצע ליישום דוחות קודמים (אמנם ייתכנו מצבים שהמבקר יתייחס בדו"ח שהגיש ליישום המלצות קודמות, אולם זהו מקרה מיוחד שבו המבקר מפעיל ביקורת על יישום ההמלצות)".

יתרה מזאת, "משנקבעה בהלכה הפסוקה ובהוראה חקוקה חובה לנקוט בפעולות ליישום המלצות המבקר, אין כל אינטרס למנוע את הגשת ההמלצות בהליך שעניינו מחדל ביישום".

אך לא רק דוח ביקורת מעקב הוא חריג לכלל האמור (שדוח ביקורת אינו מהווה ראיה בהליך משפטי), אלא גם דוחות ביקורת המוגשים במסגרת תובענות נזיקיות. וכך קבע בעניין זה בית המשפט: "הואיל ואין חולק כי קיימים סייגים להוראת אי-הקבילות וכי סייגים אלו הכרחיים לצורך קיום ביקורת שיפוטית יעילה על יישום המלצות המבקר, דומני כי סייגים אלו יחולו בכל הליך של ביקורת שיפוטית על יישום ההמלצות, לרבות בביקורת שיפוטית במסגרת תביעת נזיקין הנסמכת על מחדל ביישום ההמלצות". הרי "קבלת עמדת המדינה ולפיה אין לחרוג מעיקרון אי-הקבילות במסגרת תביעת נזיקין בגין מחדל ביישום המלצות של מבקר המדינה בדו"חות קודמים, משמעה חסימת כל אפשרות להגשת תביעה בנזיקין בשל מחדלים שכאלו. לכך תהא השפעה על אפקטיביות הביקורת ועל "ארגז הכלים" העומד לרשות הציבור להבטיח כי רשויות הציבור ימלאו את חובתן לפעול בסבירות ליישום ההמלצות".

לכן נפסק כי יש "לקבוע כי הוראת אי-הקבילות שבסעיף 30 לחוק מבקר המדינה אינה חלה בהליכים שעניינם ביקורת על יישום המלצות המבקר, לרבות במסגרת תביעה לפיצוי בגין התרשלות הגורמים המבוקרים ביישום ההמלצות או בגין הפרת חובות חקוקות על ידם".

• דינם של "מסמכים נלווים" לדוחות ביקורת

כאמור החוק שולל את כוחם הראייתי של דוחות ביקורת בהליך משפטי, אך מה דינם של המסמכים הנלווים (נספחים) לדוחות? סוגיה זו נידונה בפס"ד רשות השידור[17].

במסגרת ההליך ביקש הנתבע כי ימחקו מכתב התביעה ומהתצהירים סעיפים ונספחים הנוגעים לדוחות ביקורת של מבקר הפנים ומבקר המדינה, וכן את המסמכים הנלווים להם ובהם פרוטוקולי ועדת ביקורת ותגובות של מבוקרים לדוח ביקורת.

בהחלטה קבע בית המשפט כי "לא ניתן להרחיב את תחולתו של סעיף 10(א) על מסמכים שלא הוכנו או הוצאו על ידי מבקר הפנים כמסמך אחר שהוציא או הכין מבקר הפנים במסגרת תפקידו". נוכחות מבקר פנים בישיבות כגון ועדת הביקורת או ועדת הכספים, שנתקיימו לאחר הוצאתו של דוח הביקורת, אינה הופכת את המסמכים הנלווים ל"מסמך אחר" כאמור בסעיף 10(א) לחוק הביקורת הפנימית, שאין להציגו כראיה בבית משפט.

אך מה עם מסמכים הנמסרים למבקר במהלך הביקורת? הרי סעיף 10(ב) לחוק הביקורת הפנימית מבטל גם את כוחם הראייתי של אלה. וכבר נפסק בפס"ד רשות העתיקות[18] כי מסמכים בעלי זיקה ישירה וממשית לחקירה, בהיותם "הודעה שנתקבלה אגב מילוי תפקידיו של הנציב", לא ישמשו ראיה ואסורים כראיה. עוד נקבע כי מסמכים "מקוריים" שאינם במהותם בגדר "הודעה שנמסרה" לא ייפסלו מלשמש ראיה במשפט. כלומר – מסמכים שהיו קיימים ב"זמן אמת" ללא קשר (ישיר או עקיף) לחקירת הנציב, ושהעתק מהם נמסר לנציב במהלך חקירה ולצורכי חקירה".

על בסיס הלכה זו קבע כאן בית המשפט כי גם תגובות של מבוקרים לדוח ביקורת לא ניתן להציג כראיה, מפני שלא מדובר במסמכים ש"נוצרו ללא קשר ישיר או עקיף לחקירת המבקר", וכן אין מדובר במסמכים שהיו קיימים ב"זמן אמת" במועד החקירה, מפני שהם נוצרו אחריה ובעקבותיה. אם כן, מדובר במסמכים שנוצרו ביוזמת המבוקרים וגופי הטמעת הביקורת, ומטרתם ביצוע מעקב והטמעה של ההמלצות והמסקנות שניתנו. לכן קבע בית המשפט כי מסמכים המצויים בידי המבקר הם "הודעה" כמשמעה בסעיף 10(ב) לחוק הביקורת הפנימית[19]  ולא ניתן להציגם כראיה. אם ננהג ההיפך "עלול הדבר לגרום בעתיד ל'אפקט מצנן' ולהרתיע גורמים מבוקרים למסור מידע והתייחסות מלאה לאמור בביקורת, ומכאן לפגוע במוסד הביקורת"[20].

סיכום

מזה שנים הולכת ומתרחבת המגמה הכללית בדיני ראיות של מעבר מכללים של קבילות לכללים של משקל[21], מגמה המציבה את ההוראה השוללת את הכוח הראייתי של תוצרי מבקרים, ואף משנה גבולות ותפיסות יסוד.

עם השנים, בצד האיסור הסטטוטורי, הכיר בית המשפט בכך שלצד האינטרס המוגן של יעילות הביקורת יש גם אינטרסים אחרים. גם בהחלטות שנסקרו במאמר זה הולך בית המשפט באותה שיטה של פרשנות תכליתית של הוראות החוק. לדוגמה, הוא קבע כי דוחות ביקורת מעקב יוכלו להיות מוגשים כראיה בין היתר בתביעות נזיקיות, אך לא ניתן להגיש כראיה תגובות של מבוקרים לדוח ביקורת.

בצד הגילוי יש לזכור כי ההלכה שקבעה כי אין משמעה של אי-קבילות דוחות ביקורת בהליך משפטי כדי למנוע גילוין על פי חוק חופש המידע (הלכת אזולאי), מציבה בפני מבקרי הפנים אחריות להכיר את פרק החסיונות בדיני ראיות, ובמקרים שבהם צפויה מחלוקת משפטית לדעת כי הדוחות עשויים להתגלות וכיצד ניתן למנוע זאת.

ללא ספק, ככל שהביקורת הפנימית הופכת לכלי ניהולי אפקטיבי המיושם ביותר גופי ציבור, כך עולה הרלוונטיות של השאלה באשר לכוחם הראייתי של תוצרי עבודת המבקר. המצב שבו בתי המשפט נוגסים בהגבלה האמורה, מוביל את מבקרי הפנים למציאות לא פשוטה שבה תוצרי עבודתם שנועדו לשרת את הארגון עלולים להפוך באבחה אחת לכלי שרת בידי אלה המבקשים לתבוע את הארגון.

יש לזכור שהמציאות המשפטית דינמית, ולכן נקודת המוצא וחובת הזהירות שבה צריך לנקוט מבקר פנימי, בייחוד במגזר הציבורי-ממשלתי, היא שיש סבירות גוברת שהדוחות על מסמכיהם ייחשפו, ובמגזרים האלה ההשלכות הללו קריטיות לעולם הביקורת הפנימית.

ביבליוגרפיה

אלון קוחלני, אין בכוחה של אי-קבילות לאסור על עדות", News1 (1.4.2014)

אלון קוחלני, "הביקורת כראיה", News1 (10.6.2015).

יניר הראל, מבחן הקבילות – תנאי לקבלת ראיה בהליך, Articles, (18.4.2010).

חוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]

תא (ת"א) 1943/09 רשות השידור נ' חברת שידורי פרסומות מאוחדים מדיה (2003) בע"מ

רעא 6546/94 בנק איגוד לישראל בע"מ נ' הנרי אזולאי, פ"ד מט(4) 054, 54

תפ (ת"א) 40431/99 מדינת ישראל נ' עודד בן דוד גולד

עפ (ת"א) 4261/98 רפי פרידן נ' מדינת ישראל

תא (ת"א) 2289/90 י.מ.ש. – השקעות בע"מ נ' כלל אינווסטמנט האוס בע"מ, פ"מ תשסג(1) 385, 385

תא(חי') 52925-02-12 קונדיטוריה שפיק בע"מ ואח' נ' מדינת ישראל

ע"ע (ארצי) 283/07 משה נ' רשות העתיקות- מוזיאון רוקפלר

ע"א 2515/94 לוי נ' עיריית חיפה

בג"צ 6836/95 חכמי נ. שופטת בימ"ש השלום בת"א-יפו פ"ד נא (3) 750, 760

ד"נ 23/85 מ.י נ. טובול, פ"ד מב (4) 309, 352

עב (י-ם) 1514/07 ‏‏יעקב חי נ' חברת החשמל לישראל בע"מ

סע (חי') 10885-09-09‏‏ ארגון עובדי חברת החשמל – מרחב הצפון נ' חברת החשמל לישראל בע"מ

עע (ארצי) 191/08 רפאל יהושע נ' רשות השידור

תא (מרכז) 17240-90-07 אקווה מערכות בקרה בתשתיות זורמות בע"מ נ' המועצה המקומית תל-מונד

תא (ת"א) קאר שירותי רפואה בע"מ נ' משרד הבריאות

עעמ 6013/04 מדינת ישראל – משרד התחבורה נ' חברת החדשות הישראלית בע"מ

בג"צ 9223/10 התנועה למען איכות השלטון בישראל נ' ראש הממשלה

בג"צ 2126/99 דה הס נ' עיריית תל-אביב-יפו, פ"ד נד(1) 468

בג"צ 4870/10 בלום-דוד נ' מבקר המדינה

[1]. יניר הראל, מבחן הקבילות – תנאי לקבלת ראיה בהליך, Articles, (18.4.2010)

[2]. בג"צ 6836/95 חכמי נ. שופטת בימ"ש השלום בת"א – יפו פ"ד נא (3) 750, 760

[3]. ד"נ 23/85 מ.י נ. טובול פ"ד מב (4) 309, 352

[4]. סעיף 10(א) לחוק הביקורת הפנימית, התשנ"ב-1992

6. 6. רעא 6546/94 בנק איגוד לישראל בע"מ נ' הנרי אזולאי, פ"ד מט(4) 054, 54

[6]. עעמ 6013/04 מדינת ישראל – משרד התחבורה נ' חברת החדשות הישראלית בע"מ

[7]. תא (מרכז) 17240-90-07 אקווה מערכות בקרה בתשתיות זורמות בע"מ נ' המועצה המקומית תל-מונד;                תא (ת"א) קאר שירותי רפואה בע"מ נ' משרד הבריאות

[8]. אשר על כן, מכיוון שהתנגדות לגילוי כרוכה בדיון, מומלץ לציין בדוח הביקורת את הרקע לעריכתו

[9]. תפ (ת"א) 40431/99 מדינת ישראל נ' עודד בן דוד גולד

[10]. עפ (ת"א) 4261/98 רפי פרידן נ' מדינת ישראל

[11]. תא (ת"א) 2289/90 י.מ.ש. – השקעות בע"מ נ' כלל אינווסטמנט האוס בע"מ, פ"מ תשסג(1) 385, 385

[12]. עע (ארצי) 191/08 רפאל יהושע נ' רשות השידור;  עב (י-ם) 1514/07 ‏יעקב חי נ' חברת החשמל לישראל בע"מ

[13]. סע (חי') 10885-09-09‏ ‏ ארגון עובדי חברת החשמל -מרחב הצפון נ' חברת החשמל לישראל בע"מ

15. 15. תא(חי') 52925-02-12 קונדיטוריה שפיק בע"מ ואח' נ' מדינת ישראל)
16. 16. חוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]

[16]. ראה בג"צ 9223/10, בג"צ 2126/99 ובג"צ 4870/10

[17]. תא (ת"א) 1943/09 רשות השידור נ' חברת שידורי פרסומות מאוחדים מדיה (2003) בע"מ

19. ע"ע (ארצי) 283/07 משה נ' רשות העתיקות- מוזיאון רוקפלר

[19]. "הודעה שנתקבלה אגב מילוי תפקידיו של המבקר הפנימי לא תשמש ראיה בהליך משפטי, אך תהא כשרה לשמש ראיה בהליך משמעתי" (סעיף 10(ב) לחוק הביקורת הפנימית

[20]. שם (פס"ד רשות השידור) פסקה 24

22. ע"א 2515/94 לוי נ' עיריית חיפה

The post קבילותם של דוחות ביקורת, אימתי? appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

מאז שנות השמונים של המאה העשרים, הפכו מחשבים מאמצעי טכנולוגי חדשני לאחד מגורמי הייצור ואמצעי התקשורת החשובים והנפוצים ביותר בכלכלה של ימינו. אם בעבר בוצעו רוב האינטראקציות העסקיות בין בני האדם בטלפון, בדואר או שיחה, כיום המגמה השתנתה לחלוטין. רוב התקשורת והאינטראקציה בין בני אדם מבוצעות באמצעות מחשבים ורשתות מחשב. יותר מזה, חלק ניכר מהכלכלה, תשתיות המדינה ואפילו תשתיות הביטחון מושתות כיום על מחשבים.

עם הרחבת השימוש באינטרנט, החלו להתרבות ולהשתכלל מעשי החדירה למחשבים ואבטחת המידע באינטרנט הפכה מאמצעי טקטי לקונספט אסטרטגי.

ככל שהתרחבו והתפתחו המחשבים, החומרות, התוכנות, היישומים (האפליקציות), הרשתות, התקשוב, הציוד הפריפריאלי, הטלפונים החכמים, הטאבלטים וכל עולם הסייבר (האקדמיה ללשון העברית חידשה מונח זה בעברית ל-סב"ר = סביבת רשת), כך גם התרחבה הסכנה של זליגת ודֶלֶף מידע, והאמצעים הישנים ששימשו נגדה חייבים היו להשתכלל. השכלולים מתבטאים בתוכנות חדשות להגנת מידע, לחסימת דואר זבל, להגנה מפני וירוסים, בשכלולים פיזיים ולוגיים, וכן באמצעי הגנה חדשים לאבטחת מידע.

כיום, חברות הכבלים והלוויין משנות לנו את השעון במֵמִיר בעת החלפת שעון חורף לשעון קיץ ובחזרה. גישה דומה יש גם לחברות המעניקות לנו שירותי אינטרנט. בעת הזזת השעון, המחשב שלנו מתעדכן אוטומטית על ידי נותני השירות. במילים אחרות, גופים זרים נמצאים במחשבים שלנו.

למעשה, כל ארגון/מפעל/עסק חשוף לחדירה למחשביו. הבעיה היא שהחדירה למחשבים שלנו מתגלית רק לאחר שהנזק כבר נגרם. אנחנו צריכים למנוע מראש את הנזקים ואת החדירה למחשבינו.

יש מנהלי ארגונים החוששים להוציא סכומי כסף נאותים לאבטחת מידע, או שאינם מוּדעים לחשיבות הנושא. החיסכון הכספי שהם חוסכים עלול לגרום לארגון נזק שאין לתארו. אובדן נתונים, שיבושם, פגיעה בתפעול, חוסר אפשרות גבייה בשל חוסר ידע ממי וכמה לגבות, פורמולות ייצור שאבדו, כמויות מלאי קיים או חוסר, גילוי סודות מקצועיים למתחרים.

כשאנו מדברים על טכנולוגיות המידע, אנו מתייחסים לחומרה, לתוכנה, למערכת ההפעלה, לתקשורת, לרשתות, לנתונים ולאחסונם, לעיבודם, לתפעולם, להעברתם ולפלטי נתונים.

נתונים סטטיסטיים לפתיח

לפי דיווחי האינטרפול, מדינת ישראל נתונה ל-10,000 מתקפות בדקה. לפי סקר של סימנטק (24 מדינות, 20 אלף משתמשי רשת): 14 איש בעולם חווים מתקפת סייבר מדי שנייה, יותר ממיליון מדי יום. הסיכוי לגולש לחוות מתקפה מקוונת עומד על 1 ל- 2.27 (להבדיל, הסיכוי לתאונת מטוס 1 ל-10.7 מיליון, מוות בתאונת דרכים 1 ל-6,279). עלות פשעי הסייבר היא 388 מיליארד דולר (בשנת 2011). פרק הזמן למותקף לטפל בבעיית אבטחת מידע הוא 10 ימים בממוצע. 54% ניזוקו ממתקפות משולבות, נוזקות או וירוסים. 10% חוו מתקפות בטלפונים החכמים, כולל Smishing (כלומר  Phishingבאמצעות SMS – מסרונים).

מרחב הסייבר הולך וצובר תאוצה

תחום הסייבר הולך וצובר תאוצה בזירה הממוחשבת. יותר ויותר ארגונים נוכחים לדעת כי יש צורך בכלים ובנהלים כדי להתמודד עם אירועי אבטחת מידע, העלולים להגיע ולשתק את הארגון וסביבתו הקרובה. היכולת להגיב בזמן אמת למתקפות סייבר היא קריטית להתנהלותו העסקית של הארגון.

כחלק ממלחמה בהרחבת מעשי הפריצוֹת, גופים גדולים או עסקים עם סניפים רבים, מקימים מרכז להפעלת אבטחת מידע שמטרתו להוות מרכז לניהול ותגובה לאירועי אבטחת מידע המתבסס על נתונים מדויקים ומהימנים. בעסקים שהמידע בהם קריטי, קיימים כבר בארץ ארגונים שבהם המרכז הזה עובד 24 שעות ביממה, 7 ימים בשבוע. לעומתם, ישנם ארגונים המפעילים את המרכז רק בשעות העבודה.

מרחב הסייבר, גאדג'טים רבים שנוספו, הרחבת האינטרנט, הפייסבוק, הטוויטר, הווטסאפ וכדומה, מעלים לאוויר נתונים רבים. מכאן שיש להרחיב ולהגביר את אבטחת המידע להגנה על הארגון מבחוץ ומבפנים.

השפעת סיכוני התשתיות הלאומיות על סיכוני סייבר

רובנו מודעים כיום לסיכוני הסייבר, מי יותר ומי פחות. אבל האם אנו מודעים באותה מידה להשפעת סיכוני התשתיות הלאומיות על סיכוני הסייבר?

המשל – אפרט באמצעות כמה דוגמאות:

1. ארה"ב נ' ברה"מ: צינור הגז הטרנס סיבירי (אפריל 1982): במסגרת המלחמה הקרה ברה"מ-ארה"ב, סוכן כפול של ה-CIA שתל תוכנה עם וירוס, וגרם לפיצוץ הכי גדול מבין הלא-גרעיניים שנראה מהחלל. הפסד ישיר של מיליארדים לברה"מ, וברה"מ גם הפסידה את השוק האירופאי שרכש ממנה גז.[1]
2. רוסיה נ' אסטוניה: אינטרנט (2007): ברה"מ שחררה את אסטוניה מהנאצים במלחמת העולם השנייה. לאחר המלחמה נשארו מאות אלפי רוסים באסטוניה, והם התיישבו שם. ב-1991 הייתה אסטוניה הראשונה שהתנתקה עקב נפילת ברה"מ. עם השנים הפכה אסטוניה למדינה המתקדמת ביותר מבין מדינות סקנדינביה והמדינות הבלטיות בנושא אינטרנט, והפכה למעשה למדינת אוטומציה: רישות של מעל 95%, כל פעילות הבנקים באינטרנט וכדומה. ב-2007 הסירה אסטוניה את פסל החייל הרוסי ממרכז העיר טאלין, והעבירה אותו לבית הקברות. מיד החלה מתקפה על אתרי האינטרנט של אסטוניה. כל הפעילות שותקה על ידי Bot-Net (רובוטים נשלטים – שקיבלו פקודה "להפציץ בדוא"ל" וכדומה), שגרמו ל-DOS (Denial of Service).[2]
3. ארה"ב וישראל (?) נ' אירן: כור גרעיני – פרשת Stuxnet (יוני 2010): חברה אלמונית מבלארוס דיווחה על וירוס סוס טרויאני או תולעת שמצאה אצל לקוח שלה באירן, שככל הנראה הוחדר לתחנת כוח מקומית באמצעות הֶתְקֵן USB נייד, תָקַף מערכות שליטה ובקרה של מערכות חשמל והכור הגרעיני (לרבות מערכות ההפעלה של הצנטריפוגות בכורים האטומיים באירן). קוד הנוזקה בגודל 0.5MB. מקורות זרים (מומחה גרמני והניו-יורק טיימס) טענו שהעקבות מובילים לארה"ב וישראל (יחידה 8200) ששיתפו ביניהן פעולה. ארה"ב וישראל הכחישו קשר לכך. נפגע מפעל העשרת דלק בעיר נתאנז (אירן), וכתוצאה מכך עוכבה התפתחות הגרעין באירן.[3]
4. (?) נ' ישראל: מנהרות הכרמל (ספטמבר 2013): סוס טרויאני חדר למערך ה-IT או למערכת המצלמות. מתקפת סייבר זו גרמה לשיתוק מנהרות הכרמל לשעות רבות במשך יומיים.[4]
5. סין נ' ארה"ב: חשיפת זהות עובדים בשירות הממשל (מאי 2015): הסינים פרצו למאגר עובדים בשירות הממשל האמריקני, וחשפו את זהותם של 4 מיליון עובדים בשירות הממשל. חוקרים סבורים כי סין אוספת מידע כדי לגייס מרגלים.[5]
6. רוסיה (?) נ' ארה"ב: מתקפת סייבר רחבת היקף על הפנטגון (יולי 2015): המתקפה הגדולה בהיסטוריה נגד הפנטגון. חדירה לרשת הדוא"לים (מיילים) הלא מסווגת של הכוחות המשולבים. הרשת הושבתה והורדה מהאוויר לשבועיים. פריצת הסייבר המתוחכמת השפיעה על 4,000 חיילים ואזרחים שעובדים במטות המשולבים. כפי הנראה בוצעה המתקפה באמצעות מערכת אוטומטית כלשהי, שמשיגה נתונים עצומים תוך זמן קצר, ושבתוך דקה בלבד מעבירה את כל המידע לאלפי חשבונות באינטרנט.[6]

הנמשל:

פירטתי כמה דוגמאות לגבי תשתיות לאומיות. השאלה היא – מה הקשר אלינו? מה הקשר לארגון שבו אנו עובדים ו/או נותנים לו שירותים? התשובה ברורה, אם תשובשנה תשתיות לאומיות (כגון חשמל, תקשורת וכדומה), לא נוכל לתפקד.

ואז נשאלת השאלה – מה אנו יכולים לעשות בנושא זה, הרי הטיפול בנושא אמור לכאורה להיות ברמת מדינה, ולא ברמת הארגון הבודד? התשובה היא שאנו חייבים להיערך: גיבויים, אתר חלופי, אל-פסק ועוד. הדירקטוריון יקבע מדיניות בנושא (לרבות תיאבון הסיכון), ההנהלה תיישם את המדיניות הלכה למעשה, מנהל הסיכונים ייקח בחשבון נושא זה כחלק מניהול הסיכונים הכולל של הארגון, והמבקר הפנימי ישלב את הנושא בתכנית העבודה שלו.

לדוגמה, הנושא העכשווי שמטריד את תושבי תל-אביב בפרט וגוש דן בכלל הוא עבודות החפירה של הרכבת הקלה. חלק מהסיכונים האפשריים הם סיכונים תפעוליים כלליים ולאו דווקא בתחום הסייבר, כגון תנועה ותחבורה (פקקים, חוסר אפשרות להגיע ממקום למקום וכדומה), מפגעים סביבתיים (אבק, רעש, חולדות, ואולי הצפות – "תעלת בלואמילך") ועוד. אבל קיימים גם סיכונים שקשורים לתחום הסייבר ואבטחת המידע, כגון עבודות חפירה שעלולות לפגוע בקווי תקשורת וטלפוניה. לכך אנו חייבים להיערך (אין הכוונה כמובן שנחזור בזמן ונתקין שובך יונים בכל ארגון/בית ונשתמש בתקשורת באמצעות יוני דואר, או שנשתמש בקופסאות גבינה מחוברות בחוטים…). לשם כך ראוי שמבקרים פנימיים ירכשו ידע מתאים בנושא זה, ובמידת הצורך יתייעצו עם מומחי ביקורת ואבטחת טכנולוגיות מידע. אין ספק כי נושא הסייבר תופס ויתפוס חלק מהותי יותר ויותר בתכנית העבודה של הארגונים השונים, ומכאן גם של הביקורת הפנימית באותם ארגונים. ההשפעה על הביקורת הפנימית היא גם לגבי עיתוי הביקורת; מעבר מביקורת בדיעבד לביקורת תוך כדי תהליך, ביקורת בזמן אמת, ביקורת מתמשכת וכדומה.

סיכום

מילת המפתח היא מוּדעות. ככל שארגונים יהיו יותר מודעים, כך הם יוכלו לנהל את הסיכונים השונים באופן מושכל יותר. אין ספק שאנו והארגונים שלנו מודעים כיום לסיכוני הסייבר, וחשוב שכולנו נהיה מודעים באותה מידה גם להשפעת סיכוני התשתיות הלאומיות על סיכוני הסייבר. וחשוב מכול – שנדע להיערך לכך בהתאם, תוך התחשבות בתיאבון הסיכון (טווח הסיכון הקביל) של הארגון.[7]

 [1] https://en.wikipedia.org/wiki/At_the_Abyss

"CIA plot led to huge blast in Siberian gas pipeline", Alec Russell, The Telegraph UK, 28.2.2004

https://www.telegraph.co.uk/news/worldnews/northamerica/usa/1455559/CIA-plot-led-to-huge-blast-in-Siberian-gas-pipeline.html

[2]

https://he.wikipedia.org/wiki/%D7%97%D7%99%D7%99%D7%9C_%D7%94%D7%91%D7%A8%D7%95%D7%A0%D7%96%D7%94_%D7%A9%D7%9C_%D7%98%D7%90%D7%9C%D7%99%D7%9F

"חשד: רוסיה תוקפת וירטואלית את אסטוניה", הארץ, 17.5.2007 (https://news.walla.co.il/item/1108477)

"Russia accused of unleashing cyberwar to disable Estonia", Ian Traynor, the Guardian, 17.5.2007

[3] מאמר  Stuxnet" – העתיד כבר כאן", בועז ארד, News1 מחלקה ראשונה, 8.10.2010

[4]  "האם האקרים התקיפו את מצלמות האבטחה במנהרות הכרמל?", עומר כביר, כלכליסט, 27.10.2013

"דיווח: מנהרות הכרמל נסגרו בחודש שעבר בעקבות מתקפת סייבר", nana10, 27.10.2013

[5] "פריצת ענק למחשבי הממשל האמריקאי: נחשפו פרטי מיליוני עובדים", הארץ (אי-פי, ניו יורק טיימס), 5.6.2015 ו- 13.6.2015

 [6]"מתקפת סייבר עצומה: רוסיה פרצה לפנטגון", ynet, 7.8.2015

[7]  תקן מקצועי 2600

The post סיכוני סייבר – והפעם זרקור על תשתיות לאומיות האם נערכת לחפירות הרכבת הקלה בתל-אביב? appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

1. חוק סרביינס אוקסלי בארה"ב יצר מצב שבו במקביל לעבודת המבקר הפנימי נבדק מערך הבקרה של חלק מהותי מפעילות הארגון באופן שנתי. לצורך יישום חוק זה, החברות נדרשו לאמץ מתודולוגיית בקרה, כאשר רובן המוחלט בחרו במודל COSO. בחיבור מסמך COSO השתתף גם ה-IIA שמאוחר יותר גם אימץ את המודל.
2. התגברות הרגולציה גרמה למבקר להפנות משאבי ביקורת ניכרים לבדיקת ציות הארגון לחוקים ותקנות.
3. המבקר, שהיה בעבר הגורם הפנימי היחיד כמעט שבדק את מערך הבקרה בארגון, משתף עתה אחריות זו עם נושאי משרה נוספים, כגון מנהל הסיכונים הראשי, האחראי על האכיפה והאחראי על ה-SOX. תכנית עבודת המבקר הפנימי מושפעת מתכנית עבודתם של נושאי משרה אלו ותוצאות בדיקותיהם.
4. מערכות המידע תופסות משקל רב יותר ויותר בפעילותם של ארגונים. כתוצאה מכך עולה משקלם של סיכונים טכנולוגיים כגון סייבר, אבטחת מידע במכשירים סלולריים, פרטיות המידע ועוד. המבקרים נדרשו כתוצאה מכך לשנות את הרכב צוות הביקורת לטובת מבקרי מערכות מידע, ולהקצות משאבים לבדיקת הסיכונים שמשקלם עלה.
5. כתוצאה מתביעות משפטיות נגד דירקטורים, גברה המודעות לחשיבות ניהול הסיכונים בארגון, אפקטיביות מערכות בקרה, והתובנה כי המבקר הפנימי הוא כלי חשוב בידי הדירקטוריון. שינוי חיובי זה העצים את המבקר הפנימי ואת מקומו בארגון. עם זאת, הוא גם העמיד מבקרים פנימיים תחת זכוכית מגדלת של הנהלות ודירקטוריונים.

כתוצאה משינויים אלו ואחרים, מקצוע הביקורת הפנימית השתנה משמעותית בעשור האחרון. לכן מעניין לבדוק לאן פניו מועדות. לצורך כך, נעזרנו בכמה סקרים רחבי היקף שנערכו בשנתיים האחרונות, ובהם נשאלו מבקרים פנימיים ראשיים מגוון שאלות הנוגעות למגמות במקצוע.

במאמר זה נעשה שימוש בכמה סקרים בינלאומיים ובסקר ישראלי, כמפורט בפרק המקורות בסוף הדוח.

1. סיכונים שבהם תתמקד תכנית עבודת הביקורת

בסקר שבוצע על ידי ה- ,‎ (1)IIAנשאלו מבקרי הפנים באילו נושאים הם עתידים לשים דגש בשנים הקרובות. התשובות התחלקו כדלקמן:

• תפעוליים – 28%
• פיננסיים – 21%
• ציות – 14%
• SOX – 12%
• מערכות מידע – 9%
• ניהול סיכונים – 7%
• הונאות ומעילות – 5%
• אסטרטגיה – 5%
• אחר – 11%

מהרשימה לעיל עולה המשקל המשמעותי שנותנים מבקרים לתחומי פעילות שהושפעו מהרגולציה בנושא ממשל תאגידי: SOX, ציות, ואולי גם פיננסי.

בסקר דומה שבוצע על ידי הרשת הבינלאומית Grant Thornton (2), נשאלו מבקרי פנים מהם "תחומי הסיכון" בארגונך שעלולים לפגוע בצמיחתו. להלן טבלה המציגה את תוצאות הסקר:

מהאמור לעיל עולה כי נושאי מחשוב הם מקור לדאגה ל-CAE (מבקרים פנימיים ראשיים) ומהווים גורמי סיכון מרכזיים. פרטיות מידע ואבטחת מידע הוגדרו כגורם סיכון מס' 1 לצמיחת הארגון, ובסך הכול 5 מתוך 11 הסיכונים שהועלו הם סיכוני IT.

כמו כן נשאלה השאלה, אילו תחומי סיכון כלולים בתכנית הביקורת הפנימית שלך? להלן תשובות מבקרי הפנים כפי שפורסמו בסקר:

סיכוני IT בולטים ברשימת הסיכונים שבהם מתמקדים המבקרים. נושא מחשוב ענן, גיבויים ושחזורים, מדיה חברתית ואבטחת המידע, עתידים לתפוס נפח משמעותי מהביקורות בשנים הקרובות. הדבר מראה על מיקוד הביקורות בסיכונים טכנולוגיים שמטרידים את ההנהלה.

עם זאת, הנושאים ה"חמים" ביותר הם עדיין רגולציה ומניעת מעילות (שני נושאים אלו קשורים זה בזה, מכיוון שהרגולציה של SOX ומודל COSO 2013 דורשים מנגנון אפקטיבי למניעת מעילות בחברות). נושאים "חמים" נוספים הם ביקורת צד ג' (ראה דיון מורחב בהמשך) ואבטחה ופרטיות מידע.

2. אילו כישורים יידרשו ממבקרי המחר?

כדי לממש את מיקודי הביקורת העתידיים, יש לבצע גם שינוי בכישורי צוותי מבקרי הפנים. האם ההשכלה והניסיון הנדרשים כיום ממבקרי הפנים לא יהיו רלוונטיים בעוד שנים ספורות? שני סקרים, אחד של ה-IIA (1) והשני של המבקר הפנימי של אל-על (3), מנסים לענות על שאלה זאת.

בסקר ה-IIA דירגו מבקרי הפנים את הכישורים הנדרשים על פי סדר חשיבות. להלן תוצאות הסקר, המוצגות לפי בסיס של 100%:

בסקר המבקר הפנימי של אל-על (3), נמצא כי כישורי ומיומנות צוות הביקורת הנדרשת היא כדלקמן:

• רואי חשבון, עורכי דין ובעלי תואר במנהל עסקים ממשיכים להוות את הבסיס ליחידות הביקורת. עם זאת, ניכר כי השכלות ומקצועות נוספים מתווספים ליחידות הביקורת.
• בכ-60% מצוותי הביקורת קיים מבקר מערכות מידע שהוא חלק מהצוות.
• 80% מצוותי הביקורת נעזרים בכלי ביקורת ממוחשבים. שלושת הכלים השכיחים ביותר הם – ACL, IDEA ו-BO.

מהאמור לעיל עולה כי קבוצת הכישורים שהיו חיוניים תמיד למבקרים פנימיים, כגון כושר ניתוח, תקשורת בינאישית, הבנה עסקית והבנת הענף, ממשיכים להוות את הכישורים המרכזיים הנדרשים ממבקרי העתיד. עם זאת, כיום נדרשים המבקרים גם לכישורים חדשים ופחות מוכרים: כריית מידע (שחשובה לצורך שימוש בכלי ביקורת ממוחשבים עבור שליפת מידע החשוב לביקורת ממערכות מידע מרובות נתונים) ידע חשבונאי (שחשיבותו עלתה כתוצאה מהצורך לסייע בבדיקת ה-SOX), וביקורת חקירתית (שכאמור נדרשת הן כתוצאה מה-SOX והן מכיוון שהנהלות כיום מעוניינות למנוע מעילות, ומשקיעות משאבים בתחום חדש זה).

3. המבקר הפנימי וניהול סיכונים כולל

3.1 בשלות ניהול הסיכונים בארגון

בסקר 2015 של ה-IIA (4), נבדקה מערכת היחסים בין המבקר הפנימי לבין מערך ניהול הסיכונים הכולל בארגון. כאשר נדרשו מבקרי הפנים לתאר את "בגרות" תהליך ניהול הסיכונים של הארגונים שבהם הם עובדים, ענו 37% מהם כי ניהול הסיכונים בארגונם אינו רשמי, או לחילופין, מתפתח. 29% ענו כי הארגון מחזיק בתהליך ניהול סיכונים "פורמלי" ובנהלים רלוונטיים, ואילו 24% ענו כי ארגונם מחזיק במערך ניהול סיכונים מקיף הכולל מנהל סיכונים ייעודי. 10% הנותרים הצהירו כי ארגונם אינו מחזיק בתהליך פורמלי או לא פורמלי של ניהול סיכונים.

בהכללה ניתן לומר כי למחצית מהחברות אין תכנית ניהול סיכונים או שהתכנית אינה פורמלית, ולמחצית החברות קיימת תכנית פורמלית.

כאשר נבקש לבחון את ציפיות הדירקטוריון וההנהלה ביחס למבקר הפנים בהקשר של הבאת ערך מוסף, התחום המוביל הוא תחזוקת הסיכונים של הארגון. כך נקבע בסקר שנערך על ידיGrant Thornton (2). נושאים נוספים שעלו בסקר הם: זיהוי של הזדמנויות לשיפור תהליכים, חיזוק של הממשל התאגידי, הגברת היעילות של הארגון ועוד.

מבקרי הפנים נשאלו באיזה נושא הדירקטוריון וההנהלה מבקשים מהם לספק ערך מוסף, התשובה הברורה הייתה "הפחתת סיכונים". להלן הרשימה המלאה של התחומים הנפוצים ביותר שבהם  מתבקש מבקר הפנים על ידי הדירקטוריון וההנהלה לספק ערך מוסף, על פי סדר חשיבותם:

3.2 חוות דעת על סיכונים

47% ממבקרי הפנים והמנהלים שענו על הסקר מספקים חוות דעת על סיכונים ספציפיים, 46% מספקים חוות דעת על תהליך ניהול סיכונים בכללו, ו-56% מהם מספקים ייעוץ בנושאים הרלוונטיים לניהול סיכונים.

3.3 ביקורת פנימית וניהול סיכונים כולל (ERM)

המשיבים על הסקר דיווחו גם על קשר בין הביקורת פנימית ותהליך ניהול הסיכונים בארגונם. 12% ממבקרי הפנים דיווחו כי ביקורת פנימית ותהליך ניהול הסיכונים בארגונם הם פונקציות נפרדות ללא כל אינטראקציה. 66% נוספים דיווחו כי למרות היותם פונקציות נפרדות, הביקורת הפנימית ותהליך ניהול הסיכונים הם בעלי מכנה משותף ונעזרים זה בזה בהקשר של תיאום ושיתוף ידע. 15% ממבקרי הפנים ציינו כי המבקר הפנימי אחראי גם על ניהול הסיכונים בארגון, ו-7% אמרו כי המבקר הפנימי אחראי גם על ניהול הסיכונים, אך קיימת כוונה להעביר את האחריות על ניהול הסיכונים לגורם אחר.

עצמאות ואובייקטיביות של אותם 22% מהמבקרים שדיווחו כי הם כיום אחראים על ניהול הסיכונים בארגונם, ימנעו מהם לבצע ביקורת בנושא, שכן ביקורת פנימית לא יכולה לבקר תהליכים שעליהם היא אחראית.

מהאמור לעיל עולה כי למבקר הפנימי רמת מעורבות גבוהה בתחום ניהול הסיכונים בחברות, תחום שמתפתח ומתעצב כל העת. כמחצית מהמבקרים בודקים את ניהול הסיכונים בארגון, וכמחצית גם מייעצים להנהלה בתחום זה. רק במקרים מעטים מחלקת הביקורת הפנימית ומחלקת ניהול הסיכונים אינן מְתקשרות ביניהן. ברוב המקרים האינטראקציה רבה, עד כדי מצב לא רצוי שבו המבקר הפנימי עצמו הוא מנהל הסיכונים הראשי. עם זאת, נראה כי זהו מצב ביניים, וככל שתחום ניהול הסיכונים מקבל הכרה בארגונים, כך גם האחריות עליו עוברת מהמבקר הפנימי לגורם ייעודי. נראה כי בשנים הבאות נראה יותר ויותר יחסי גומלין מורכבים בין שתי מחלקות חזקות ועצמאיות: ביקורת פנימית וניהול סיכונים. שתי המחלקות מטפלות בסיכונים, משתמשות בבסיס נתונים משותף, מחליפות ידע ביניהן, מתאמות תכניות עבודה ומחליפות תוצרים.

4. עדכניות תכניות העבודה וסקרי סיכונים

בסקר שערך ה-IIA (4) נבדקה עדכניות כלי העבודה שבהם מסתייע המבקר הפנימי, ולהלן התוצאות:

• בהקשר של עדכון סקר הסיכונים בצורה שוטפת, כלומר סקר סיכונים מתמשך, רק 23% ממבקרי הפנים ענו כי הם מיישמים שיטה זו של סקר סיכונים. 36% נוספים מסרו כי נערך סקר סיכונים שנתי עם עדכונים תקופתיים. 32% מסרו כי נערך סקר סיכונים שנתי ללא עדכונים פורמליים. 9% מסרו כי סקר הסיכונים אינו מתעדכן.
• בנוגע לתכנית הביקורת של המבקר הפנימי, המצב טוב יותר. הרוב המוחלט של מבקרי הפנים ענו כי תכנית הביקורת מתעדכנת לפחות פעם או פעמיים בשנה. כלומר, תכניות הביקורת גמישות ומתאימות את עצמן לשינויים. למרות האמור לעיל, רק 16% ממבקרי הפנים הצהירו כי יש להם את היכולת להגיב, בתכנית הביקורת, לסיכונים המתגלים "מעכשיו לעכשיו".

אם בעבר סקר הסיכונים היה מתעדכן אחת למספר שנים, ותכנית העבודה הייתה נקבעת אחת לשנה ולעתים רחוקות מתעדכנת במהלכה, מהסקר עולה כי קצב השינויים כיום דורש עדכון מהיר יותר וגמישות רבה בתקציבים ובתכניות העבודה.

5. דיווחים והעברת מידע לאורגנים בחברה

בסקר שערך ה-IIA (4) נבדקה מעורבות המבקר הפנימי במתודולוגיות דיווח חדשניות.

5.1Combined Assurance

גורמים שונים בארגון מספקים חוות דעת להנהלה. אמנם חוות הדעת שמספק המבקר הפנימי היא מהיותר אובייקטיביות שבהן, אולם חוות הדעת שמספקים גורמים אחרים כגון רואה החשבון המבקר, בקרי איכות, מנהל הסיכונים, יועצים סביבתיים, בקרי בטיחות, ממונה האכיפה הפנימית, מבקר המדינה וגורמי ביקורת ממשלתיים אחרים, אינן פחות חשובות להנהלה.

נוצר מצב שבו ההנהלה מקבלת דוחות חוות דעת מגורמים שונים שיש ביניהם חפיפה, ולעתים הם אף סותרים אחד את השני. מתודולוגיית King III פותחה כדי לתת מענה לבעיה זו.

להלן תרשים המתאר את המתודולוגיה:

מבקרי פנים ומנהלים נשאלו האם בארגוניהם מיושם מודל רשמי של Combined Assurance. 49% דיווחו כי המודל יושם או מתוכנן להיות מיושם בעתיד. 26% דיווחו כי הם לא מתכננים לאמץ מודל זה, ו-25% הנותרים ציינו כי הם כלל לא מכירים את המודל.

ראוי לציין כי 57% ממבקרי הפנים ומהמנהלים דיווחו גם כי אחד מתפקידי הביקורת הפנימית הוא לפרסם חוות דעת משולבת מסוג זה.

למרות האמור לעיל, כאשר משלבים חוות דעת של גורמים שונים, יש לזכור שחוות דעת שניתנה על ידי ההנהלה של הארגון אינה דומה לחוות דעת שניתנה על ידי גורם מבקר אחר, פנימי או חיצוני, אשר להם דרגת עצמאות ואובייקטיביות שונה.

5.2 דיווח משולב (integrated reporting)

כאמור, מגמות הניהול העכשוויות נוטות להיעזר בדיווח המשלב תוצאות מכמה דוחות כדי לשקף את ערך הארגון בצורה הטובה ביותר. שיטה נוספת הנותנת מענה לצורך זה נקראת "דיווח משולב". מדובר במסמך תמציתי המתאר כיצד ארגון מתכנן ליצור ערך בטווח הבינוני, בטווח הקצר ובטווח הארוך.

פעמים רבות מתבקשים המבקרים הפנימיים לסייע בהכנת הדיווח המשולב. להלן תרשים המתאר את יחסי הגומלין בין סוגי הדיווחים במסגרת דיווח משולב:

מסקר ה-IIA (4) עולה כי 30% ממבקרי הפנים והמנהלים הצהירו כי חברתם מתכננת לפרסם דוח משולב עוד השנה או בעתיד הקרוב. הגשת דוח זה עומדת להיות מטלה נוספת שבטיפול המבקר הפנימי.

5.3 דוח קיימות  ((sustainability report

דוח קיימות כולל מידע על ההשפעות הכלכליות, הסביבתיות והחברתיות שנגרמו על ידי פעילותו היומיומית של הארגון. בנוסף, דוח קיימות מציג את מודל הערכים והממשל של הארגון, ומראה את הקשר בין האסטרטגיה ובין מחויבות הארגון לכלכלה עולמית בת-קיימא.

בסקר שערך ה-IIA בקרב מבקרי פנים ראשיים (4), כמעט מחציתם מסרו כי ארגונם עתיד לפרסם דוח קיימות השנה או בזמן הקרוב.

לסיכום, ניתן לומר כי עם עצמאות ארגונית מתאימה ועם הבנה עמוקה של הארגון שבה הוא פועל, המבקר הפנימי יכול להגדיל את אמינותו של הדיווח המשולב. הדבר נכון באותה מידה גם לגבי דוחות קיימות.

6. בדיקה אחת למספר מטרות (One-to-many approach)

הרעיון ב- One-to-many approach  הוא שניתן להשתמש בטסטים שעורך המ"פ לצורך מטרות נוספות  מלבד ביקורת פנימית. מדובר בבדיקות שאינן מפרות את אי-תלות המבקר ותפקידן לחוות דעה, כגון ביצוע בדיקת אפקטיביות הבקרות במסגרת פרויקט ה- SOX,  בדיקות ציות לחוקים במסגרת עמידה בתכנית אכיפה וכו'. מדובר במשימות שמבקרים פנימיים לוקחים על עצמם, מעבר לתוכנית עבודתם בחברות רבות ברחבי העולם. בחברות בהן המבקר הפנימי אינו מבצע פעולות אלו, וברצונו להגדיל את הערך שהוא מביא להנהלת החברה, ביכולתו להציע שאותן בדיקות ירוכזו בידיו, תוך כדי חיסכון במשאבים.

בסקר הנ"ל (2) 92% ,מהמשיבים מאמינים כי הם יכולים ליישם את עקרון One-to-many לעד כ- 50% מבדיקות שנמצאות בשליטתם.

7. שימוש בכלי Data analytics כדי לחסוך במשאבים ולבצע ביקורת יעילה יותר

Data analytics הוא שם כולל לניתוח והסקת מסקנות מנתוני בסיסי מידע גדולים. ככל שגדלים בסיסי המידע בחברות, נדרשים כלים חזקים יותר כדי לשלוף את המידע, לנתח אותו ולהסיק מסקנות שבהן ניתן להשתמש בעבודת הביקורת.

בסקר הנ"ל (2) דיווחו 60% ממבקרי הפנים כי הם נעזרים בכלים ממוחשבים לצורך ניתוח נתונים, וכפועל יוצא מכך לשיפור תפוקות הביקורת.

לשאלה: האם אתה נעזר בכלים ממוחשבים לניתוח נתונים לצרכים נוספים? ענו מבקרי הפנים כדלקמן:

מתשובות CAE לסקר, עולה כי הערכת ביצועי יחידות ארגוניות וביקורת חקירתית הן שני היישומים המובילים, מלבד ביקורת פנימית, ביישומי דטה אנליטיקס.

לשאלה, מהן שלוש התועלות המשמעותיות ביותר בשימוש בכלים ממוחשבים לניתוח נתונים? ענו מבקרי הפנים כדלקמן:

• ביקורת פנים יעילה יותר.
• זיהוי מהיר של דפוסים, מגמות ויחסים.
• כיסוי גדול יותר של הארגון על ידי הביקורת הפנימית.

מבקר הפנים של אל על ערך סקר (3) שבדק שימוש בכלי ביקורת ממוחשבים לצורך שליפת נתונים. נמצא כי כ-80% מצוותי הביקורת נעזרים בכלים כאלו בביצוע הביקורת.

ככל שיגדלו בסיסי הנתונים בחברות, לא יוכלו המבקרים להסתמך על ביצוע מדגמים ידניים. גם שימוש בכלי תוכנה הפופולריים כיום בקרב מבקרים, כגון IDEA ו-ACL, עלולים להתגלות כלא חזקים מספיק. כלי data analytics מצויים כיום בשימוש מחלקות אחרות בארגונים רבים (כגון תוכנת ClickView), ועל המבקר ללמוד להסתייע בהם, הן כדי לבצע ביקורת מתמשכת  (continuous auditing) והן כדי לבצע ביקורות סטנדרטיות.

8. ביקורת צד ג' ((Third-party testing

המדובר בסיכונים הנובעים מנותני שירותים לארגון, בעיקר בנושאי אבטחת מידע, כתוצאה מהתחברות גורמים אלו למערכות המידע של הפירמה, לצורך מתן השירותים. לדוגמה, ארגון המשתמש בחברה חיצונית למיקור חוץ, שירותי help desk או שירות לקוחות, נחשף לסיכונים שבגישה מרחוק של מערכות הספק למערכות הארגון.

כשנשאלו מבקרי הפנים האם יש לצדדים שלישיים את הפוטנציאל להשפיע על הצמיחה של הארגון שלהם, 22% מהנשאלים בסקר אמרו שצדדים שלישיים הם הסיכון הגדול ביותר לארגון שבו הם עובדים, עלייה גדולה מ-14% שהשיבו כך בשנה שעברה.

כאשר נשאלו מה הארגון עושה כדי לצמצם סיכונים אלה, ענו 70% ממשתתפי הסקר כי נעשית בדיקת נאותות לפני כניסה למערכת יחסים עסקיות עם צד שלישי. 64% מסרו כי הארגון מבקש בדיקת נאותות של צד ג' על מערך הבקרה של הספק (כגון SOC 1). 63% מסרו כי הארגון עומד על הכללת סעיף בהסכם המאפשר לו ביצוע ביקורת בעתיד במערכות הספק. 55% מסרו כי הם מבצעים ביקורת בו מושווים הביצועים בפועל מול התחייבויות הספק בהסכם.

תחום מיקור החוץ מתגבר והולך, כתוצאה ממגמה של חברות להתמקד בפעילויות הליבה שלהן (כגון שיווק וקשרי לקוחות), ולהעביר למיקור חוץ תהליכים שאין לחברה יתרון יחסי בהם (כגון שירות לקוחות, מחלקת מסים, הנהלת חשבונות, מחלקת IT ועוד). המבקר הפנימי אמור לבדוק סיכונים מסחריים בפעילותם של נותני שירותים אלו לארגון (למשל: האם השירותים שניתנו הם בהתאם להסכם שנחתם עמם?) סיכונים תפעוליים (האם לספק יש את הבקרות הנאותות כדי למנוע טעויות ומעילות?) וסיכונים למערכות הארגון כתוצאה מההתקשרות עם הספק (לדוגמה: האם יש בקרות למניעת חדירת האקרים למערכות המידע של הארגון דרך חיבורי הגישה מרחוק של מערכות הספק?). נראה כי על מבקרים פנימיים יהיה לפתח מיומנות בתחום ביקורת זה, ככל ששיעור מיקור החוץ יגדל.

סיכום

מטרת הביקורת הפנימית היא לבדוק התממשותם של סיכונים המסכנים את השגת מטרות הארגון. כתוצאה משינויים תכופים בסביבה העסקית, משתנה מערך הסיכונים של החברות באופן תדיר. בנסיבות כאלו, אין המבקר יכול עוד להסתמך על סקר סיכונים שנערך לפני כמה שנים וטרם עודכן מאז ועל תכנית עבודה קשיחה. עליו להתאים את עצמו לסביבה העסקית המשתנה ולחזק את כישוריו בתחומים כגון data analytics, ביקורות צד ג' , ציות, חשבונאות וניהול סיכונים כולל. המבקר הסטנדרטי רגיל היה להיות אחד מגורמי הביקורת היחידים בארגון. לא עוד, המבקר נדרש לתאם ולתזמן את עבודתו עם גורמי בקרה וביקורת שונים בארגון, כגון רואה החשבון החיצוני האחראי על האכיפה הפנימית, מנהל הסיכונים הראשי האחראי על ה-SOX ועוד. יותר מזה, עליו לתת מענה לדרישות גוברות והולכות מצד ההנהלה לקבלת דוח ביקורת אחד המתואם בין גורמי הביקורת והבקרה השונים, באמצעות מתודולוגיות דווח חדשניות, כגון integrated auditing  ו- combined assurance.

אולי קצת אירוני שהמבקר הפנימי שהוא המטיף הראשי לשינוי בארגונים, הוא זה שנדרש עתה לבצע שינויים בהיערכותו, במהירות שלא תפחת ממהירות השינויים העוברים על מבוקריו. זהו מבחן מעניין שתוצאותיו ייתנו מענה לשאלה האם המבקר יישאר כלי ניהולי מוביל ועוצמתי עבור ההנהלה או לא.

מקורות

1. "The Pulse of the Profession, a look ahead at 2013 " by The IIA’s Audit Executive Center, (2013)
2. "Adding internal audit value: Strategically leveraging compliance activities", Grant Thornton (2014)
3. "הביקורת הפנימית בארגונים גדולים בישראל" אוקטובר 13, באדיבות יח' הביקורת של אל על נתיבי אוויר לישראל.
4. PULSE OF INTERNAL AUDIT", IIA (2015)"
5. The Grant Thornton Corporate General Counsel Survey is available at www.grantthornton.com/CGCSurvey.

The post מגמות עתידיות בביקורת הפנימית – בדגש לביקורת ממוקדת סיכונים appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

במאה ה-21 העולם העסקי והציבורי, ובכלל זה העולם הטכנולוגי, הכלכלי והחברתי, משתנים במהירות. השינויים מחייבים את הביקורת הציבורית והפנימית להסתגל, להפנים ולתפעל מגוון תפיסות והדגשים עדכניים, תוך הטמעתן של מתודולוגיות בדיקה חדשניות.

בהתאם, במאמר זה אתמקד בערך המבטא במידה רבה את הצורך בהסתגלות לשינויים ובהטמעת שינויים: בערך החדשנות (INNOVATION), משמעותו  ותרומתו לעולם העסקי והציבורי; והצורך, כולל הדרכים להפנמתו ויישומו, בעולם הביקורת הציבורית והפנימית.

חדשנות(INNOVATION)  מהי?

• חדשנות [1]היא רעיון טכנולוגי, מדעי, ניהולי או חברתי, החורג ממהלך החשיבה, ההתנהלות והמנגנון המקובל והשגרתי; כאשר פיתוחו ויישומו של הרעיון מביא עמו צמיחה-התפתחות-שינוי, והגדלת הרווחה והעושר של הארגון ושל המשק בכללותו.
• חדשנות אינה רק בתחומי המדע והטכנולוגיה ואינה רק פרי של מחקר ופיתוח; קיימת גם חדשנות ניהולית.
• הגדרה אחרת: חדשנות היא יצירת ערך מוסף באמצעות פתרונות חדשים לצרכים קיימים או באמצעות יצירת פתרונות לצרכים חדשים.
• פתרונות אלה מושגים על ידי פיתוח או שימוש במוצרים, בתהליכים, בשירותים או בטכנולוגיות יעילים יותר מבעבר, או על ידי רעיונות בשלים שמתאימים למדינות, לחברות או לשווקים שמוכנים ומעוניינים לקלוט אותם.
• חדשנות שונה מהמצאה בכך שחדשנות מתייחסת לשימוש בשיטה או ברעיון טובים יותר, בעוד שהמצאה מתייחסת לתהליך ולאופן היצירה של השיטה או הרעיון.
• חדשנות שונה גם משיפור, בכך שהיא עוסקת במשהו שנעשה מהותית באופן שונה ולא בעשיית אותם הדברים בצורה טובה יותר.
• כיום נהוג להבחין בין חדשנות תוספתית (אינקרמנטלית) לבין חדשנות פורצת דרך. בעוד שהראשונה מתייחסת לייעול וליצירת מענים חדשים מתוך הידע הקיים, האחרונה מייצרת קטגוריות חדשות המשנות את הסביבה העסקית בכללותה, ומייצרת לפיכך צרכים חדשים ודרכי פעולה חדשות להתמודדות עמם.

חדשנות במגזר העסקי

במאי 2013 פרסם משרד רואי החשבון העולמי PWC –^[2] סקר שנערך בקרב 246 מנהלים כלליים של חברות עסקיות מכל העולם. ממצאי הסקר הושוו לממצאים של סקר קודם משנת 2009. הסקר העלה כי חלו שינויים מהותיים בנוגע לחדשנות בטווח חמש השנים שחלפו. החדשנות, שבעבר הייתה  טכנולוגית, ונחלתה  הכמעט בלעדית של מחלקת המחקר והפיתוח של התאגידים, היא כיום סוגיה כלל ארגונית וכלי ניהולי הנמצא באחריותם הישירה של המנהלים הבכירים ביותר. כלומר, באחריות המנכ"לים להוליך לחדשנות ארגונית דרך הנהגת שינוי תרבותי-ניהולי בארגון, הטמעתו והנחלתו.

תובנות בנוגע לחדשנות במגזר העסקי

הסקר, וכן מקורות אחרים, מצביעים על הנקודות הבאות:

• חדשנות היא כלי להישרדותו של הארגון. העדר חדשנות מהווה סיכון אסטרטגי קיומי על הארגון.^[3]
• הצורך בחדשנות נכון ותקף לתחומי תעשייה מתקדמת רבים, ובהם תעשיית הפרמצבטיקה; המחשבים והציוד הנלווה להם; תעשיות כימיה; ביטחון; חקלאות ועוד. הדבר נכון גם לתחומים עסקיים מעוטי טכנולוגיה (LOW- TECH) כי בהעדר חדשנות סופם להיכחד.
• אחד הכלים המשמעותיים בעידוד חדשנות הוא יצירת שיתופי פעולה^[4] לא רק בתאגיד – בין יחידותיו ויחידיו, אלא גם עם קבוצות בעלות עניין ((STAKEHOLDERS, חלקן מחוץ לארגון, ובהן גופי מחקר, רשתות חברתיות וארגוני החברה האזרחית, וכן ישירות עם לקוחות וספקים.
• הדגש הוא לא רק על קשר לינארי-היררכי-של העברת מידע לפי מבנה, ארגון וסמכות בתוך הארגון (קשר המבטא  את המבנה הארגוני הבירוקרטי הישן)[5], אלא דווקא על קשרים לא פורמליים בתוך הארגון ומחוצה לו. כאמור, קשרים אלה באים לידי ביטוי בין היתר גם ברשתות חברתיות פונקציונליות – קבוצות עבודה המאגדות בעלי עניין בתחומים שונים, ובהם תחומים טכנולוגיים וניהוליים.
• תנאים חשובים לחדשנות: חזון ומנהיגות בעלת רצון ויכולת לערוך שינוי של התרבות הארגונית במטרה לעודד את כלל הארגון לתמיכה בחדשנות. בין השאר, לקלוט רעיונות לחדשנות מקרב חברי הארגון; לעודד שיתופי פעולה בתוך הארגון ומחוצה לו, לרבות עם לקוחות, ספקים וגורמים אחרים.

חדשנות במגזר הממשלתי-ציבורי

• הממשלה, על משרדיה, היא הרגולטור העליון. היא לא רק קובעת את ההסדרים הרגולטוריים אלא היא גם גורם היוצר תשתית פיזית, טכנולוגית, השכלתית, מחקרית כלכלית וחברתית להתפתחות המשק ולצמיחה, ולכן היא יכולה לעודד ולתמוך בחדשנות, או להקפיאה.
• תפקיד הממשלה ומשרדיה הוא לעודד תרבות ארגונית פנים ממשלתית של פתיחות לחדשנות מדעית-טכנולוגית כמענה לצרכים של כלל המגזר העסקי-חברתי. המענה למגזר העסקי עשוי להיות, בין היתר, על ידי יצירת תנאים רגולטוריים מתאימים, על ידי טיפוח ועידוד יזמות והסרת חסמים.
• חדשנות במגזר הממשלתי-ציבורי אינה רק ביצירת התנאים החיצוניים לצורכי המשק והחברה, אלא גם יצירת חדשנות במבט פנים ממשלתי: ייעול פני הממשל והמינהל הציבורי בכל המישורים, כולל סדרי מתן השירותים לאזרחי המדינה ותושביה. חדשנות ממשלתית פירושה הפנמה של הממשלה על משרדיה בצורך בשינוי תרבותי-ארגוני פנים ממשלתי במטרה להגדיל את המועילות והיעילות של הארגון הממשלתי, וזאת באמצעות בחינה ושיפור  פעילותו וקשריו עם העולם החוץ ממשלתי.
• החדשנות הממשלתית כוללת תחומים נרחבים ובין היתר:
• CUTTING RED TAPE: פעולות יזומות להקטנת ההליכים הבירוקרטיים, תוך שאיפה לפישוט ולהקטנת עלויות ללקוחות ולמשק.
• GOVERNMENT E–שקיפות ו"ממשל זמין" – הגברת נגישות הציבור למידע פנים ממשלתי.
• CONSULTATION– עיצוב ויישום מדיניות של התייעצות בלתי אמצעית עם הציבור[6].
• מציאת פתרונות טכנולוגיים וניהוליים לייעול נקודות המגע של האזרח עם הממשל.
• שינוי התרבות הארגונית הממשלתית[7].

דוגמאות לחדשנות במגזר הציבורי

החדשנות במגזר העסקי ברורה יחסית ומיושמת במידה רבה. לכן אציג כיווני פעולה לחדשנות ניהולית וטכנולוגית שכבר מיושמים או שעדיין רעיוניים אך עשויים לפרוץ דרך במגזר הציבורי:

• חדשנות טכנולוגית ורעיונית – רשות מקומית דיגיטלית – זרועת חיישנים

הרעיון נמצא בהליכי מימוש בעולם ובישראל[8]: הפיכת המרחב העירוני למרחב דיגיטלי שבו יש WI-FI עירוני חופשי ללא תשלום, והמרחב גם זרוע נקודות טעינה. ההליך יוצר  מרחב עירוני זרוע חיישנים שונים[9] המייעל את יכולותיו של התושב  וגם את הקשר בין הרשות המקומית לתושב. התושב יוכל לטעון את הטלפון הסלולרי ולעמוד בקשרים אישיים ועסקיים בכל רחבי הרשות המקומית, ובכלל זה לקבל מידע על הפעילות האורבנית, כולל פעילות תרבותית-חינוכית-אומנותית במרחב העירוני; לקבל מידע בזמן אמת על מקומות חניה ועל קשיי תחבורה, ולקבל התראה מתי מגיע האוטובוס הסמוך. חשוב לא פחות, החדשנות  הטכנולוגית – "רשות מקומית מרובת חיישנים" מאפשרת  לרשויות המקומיות פעולה יעילה יותר: מצלמות להגברת הסדר והביטחון האישי; בקרת תנועה דינמית ובזמן אמת; שיפור פינוי האשפה – פחי האשפה נושאים שבב המשדר שהם מלאים; תאורה המופעלת בחיישנים החוסכת אנרגיה; וקשר בלתי אמצעי עם התושבים, כולל משאלי דעת קהל דיגיטליים.

המידע הדיגיטלי על כלל השוהים ברחבי הרשות המקומית, היכן הם שוהים, באילו שעות, כולל פילוחים נוספים כמו גיל ומגדר, הוא פוטנציאל עצום בחשיבותו שיאפשר לרשות המקומית מידע וכלי תכנון דינמי על הנעשה בה בכל שעות היום. ניתוח אותו מידע עצום[10] תוך הצלבתו בהתאמה למאגרי מידע אחרים נקרא -DATA ANALYTICS [11].

חדשנות ניהולית-טכנולוגית באשר לסדרי המגע של המינהל עם מקבל השירות

• חדשנות ניהולית היא, בין היתר, סקירת מכלול המגעים בין התושב-מקבל השירות לבין המינהל הציבורי-ממשלתי. השאיפה היא לייעל ולהקטין את חובת התייצבות של התושב עם נותן השירות במתקני השירות, והרבה פעמים הפתרון הוא טכנולוגי.

ארגונים רבים כבר פעלו ופועלים בנדון, אבל הפוטנציאל טרם מוצה כפי שאפשר לראות בדוגמאות הבאות:

• ביקור של בני משפחה אצל אסיר הוא הליך מורכב ומסורבל, מחייב נסיעה ארוכה לפעמים, המתנה ובדיקות ביטחון מעיקות. לעתים קרוב המשפחה מוגבל בניידותו, ולעתים הוא שוהה בחו"ל ואינו יכול להגיע. בארה"ב כבר ישנם בתי סוהר המאפשרים ביקור דיגיטלי – ביקור ושיחה באמצעות תוכנה (סקייפ ואחרות), אך בישראל הרעיון טרם מיושם.
• כמה פעמים רוצה האזרח להגיש תלונה למשטרה ונמנע עקב הטרחה הכרוכה בכך? משטרת ישראל בוחנת כעת אפשרות של הגשת תלונה דיגיטלית (גם היא באמצעות תוכנה – סקייפ ואחרות).
• על רקע המקרים הללו ניתן לומר שלחדשנות ניהולית-טכנולוגית יש כמה מטרות:
• חיסכון בזמן והגברת שביעות הרצון של מקבל השירות, וכן הפחתת התלונות.
• חיסכון בזמן לנותן השירות, הקטנת החיכוך עם מבקש השירות, ייעול והגברת המועילות של אותן מערכות מינהליות.
• מהיבט של סיכונים – הארגון אינו יכול שלא לצעוד בשביל החדשנות, מפני שמתחריו כבר מיישמים זאת או עתידים ליישם זאת.
• בשורה התחתונה: חדשנות במאה ה-21, אצל ארגונים תחרותיים ובעולם טכנולוגי-תזזיתי, היא הכרח הן כדי לשרוד וכדי להקדים את המתחרים, הן כדי להגביר שיווק, והן כדי להקטין סיכוני חשיפה תקשורתית שלילית.
• וכמו עליסה בארץ הפלאות – יש לרוץ מהר ולחדש כדי להישאר באותו מקום – לא לפגר.

חדשנות ניהולית – יישום והטמעה של ערך וכלי ניהול חדשני

• חדשנות היא לעתים עצם הקביעה וההטמעה בארגון של ערך ניהולי חדש[12]: לשם הדגמה אתייחס לערך היענות-שירותיות (:(RESPONSIVENESS המינהל הציבורי הוא משרת הציבור, ולכן ערך ההיענות אומר שחובת המינהל הציבורי היא לא רק להמתין ללקוח עד שיגיש בקשה ויפעל למצות את זכויותיו, אלא להוכיח שנעשה מאמץ סביר להגיע ללקוח שאינו ער לזכויותיו ואינו מממשן –[13]REACHING OUT .
• פעולה זאת יש לעשותה תוך הפגנה של מאמץ סביר[14] באמצעות מגוון כלים[15] ובהם: ניתוח מאגרי מידע, יצירת קשר עם מעצבי דעה באוכלוסיות אלה ואחרות, ופרסום בקרב אוכלוסיות יעד.
• מטרת העל: לאפשר ללקוח-האזרח למצות את זכויותיו, משום שאי נקיטת פעולות אקטיביות כאלה פוגעת בשוויון, בצדק החלוקתי ובמיצוי מטרות חברתיות-כלכליות שהמחוקק והממשלה הציבו לעצמם.
• דוגמה לפעולה אקטיבית : עם הנהגת  מס הכנסה שלילי, כאשר רבים מקרב משלמי המסים בעלי שכר נמוך אינם תובעים את זכויותיהם, הרי שחובת רשות המסים היא לפעול בכלים מגוונים כדי להגיע לזכאים ולאפשר להם למצות את זכויותיהם.
• עוד דוגמה: פעולות מניעתיות של משרד הבריאות וקופות החולים לאתר חולים המוגדרים כקבוצות סיכון ולהקדים ולטפל בהם מבעוד מועד, גם אם אלה עדיין לא התייצבו במרפאות. פעולות אלו של הקופות הן נכונות מבחינה בריאותית, ואפשר שגם מבחינה כלכלית, מפני שאיתור ומניעה מוקדמים  עשויים לחסוך משאבים; וחשוב לא פחות – הדבר נחוץ גם מבחינה תקשורתית, כי אחרת הקופה ש"תגרור רגליים" תשלם מחיר ציבורי וכלכלי.

מדידת החדשנות הארגונית וחשיבות המדידה לביקורת הציבורית והפנימית

• חברות עתירות ידע, חברות פיננסיות, חברות שירותים, וגופים שלטוניים כגון משרדי ממשלה, תאגידים סטטוטוריים ורשויות מקומיות, נמצאים ברמה שונה של הטמעת חדשנות.
• את הסקלה ניתן לתאר באמצעות שני מצבי קיצון:
• בקצה העליון של ההטמעה נמצאים ארגונים שבהם כבר נעשה שימוש ניכר בכלי חדשנות: יש לארגון מדיניות ואסטרטגיה, נקבעו נהלים והליכים, החדשנות הוטמעה בארגון והיא חלק מתרבותו הארגונית – החל מדרג מועצת המנהלים וההנהלה הבכירה וכלה בדרגי הניהול והביצוע ברמת השטח. יש בארגון כזה הליכים של התייעצות ושיתופי ידע, יש סדרה של רעיונות ופרויקטים בדבר חידושים טכנולוגיים וניהוליים שהארגון שוקל (במסגרת מגבלת משאבים וסדרי עדיפות) אלו מהם לקדם וכיצד לפקח על הפיתוח והיישום.
• בקצה התחתון של הסקאלה נמצאים ארגונים שבהם החדשנות היא מונח עמום: יתכן שישנם "איים" של חדשנות ויש "משוגעים" בארגון לחדשנות, אך הארגון ככלל אינו ער למונח, הוא טרם החל בדיונים ובעיצוב אסטרטגיה וכמובן שלא בהליכים ובנהלים חדשניים.
• המדידה והאפיון חשובים לביקורת הציבורית והפנימית. על יסוד אותה מדידה והערכה, על המבקר הציבורי והפנימי למקד הדגשים וכיוונים שונים בבואו לבחון את החדשנות הארגונית.

חדשנות והביקורת הציבורית – תפקיד מבקר המדינה[16]

החדשנות במגזר הממשלתי[17] נמצאת עוד בשלביה הראשוניים. לכן, ובהרחבה לאמור לעיל, למשרד מבקר המדינה יש תפקיד חשוב בנוגע לעידוד הליכי חדשנות במגזר זה:

עליו ליזום בדיקות שייתנו מענה לכנסת, לממשלה ולציבור בנוגע לשאלות הבאות:

• האם הממשלה על משרדיה ערה לערך החדשנות[18]? היכן אותן פונקציות שלטוניות חשובות שטרם החלו בהליכי חדשנות וכיצד יש לעודדן לעשות זאת?
• בכלל זה, האם המגזר הממשלתי קבע מדיניות ברורה באשר לצורך לאמץ את תפיסת ערך החדשנות?
• האם המגזר הממשלתי פועל, תוך הליכים של התייעצות (CONSULTATION), עם בעלי העניין כדי ללמוד על קשיים ובעיות של העסקים באשר להעדר חדשנות ממשלתית בתחומים אלה ואחרים?
• האם המגזר הממשלתי אכן יצר כלים ופועל לעודד את המגזר העסקי-כלכלי להגברת החדשנות?
• האם המגזר הממשלתי פועל גם להקל על צרכני השירותים האזרחים בקבלת מלוא השירותים והמידע?
• האם הממשלה על משרדיה, במבט פנים ממשלתי, פועלת לחדש ולייעל את המגזר הציבורי-ממשלתי?
• ובמבט כולל: האם אכן הממשלה, על משרדיה, צועדת בבטחה, ביעילות, בפתיחות ובמהירות במסלול שיאפשר יתר חדשנות – למשק, לחברה וכן למינהל הציבורי בכלל?
• המתודולוגיות והסרגלים העיקריים שעל פיהם סביר שמשרד מבקר המדינה יפעל בתחום החדשנות הם:
  • מחקרים משווים בין ממשלות ומדינות;
  • ספרות מקצועית, מדריכים-GUIDANCE, וניירות עמדה שפרסמו המדינות המפותחות;
  • התייעצות עם מומחים -בעלי ידע ו"בעלי עניין"- בתחומים אלה ^[19];
  • ניתוח של תלונות מהציבור- בהקשר לסדרי קבלת שירותים ומוצרים ובדבר –"פקקים" ועיכובים בתהליכים מנהליים
  • העברת שאלונים בקרב גורמי שלטון וניתוח התשובות;
  • מעקב אחר  החלטות ממשלה ויישומן
  • לימוד מתוך דיוני הכנסת על וועדותיה ועוד.
• לא פחות חשוב, על משרד מבקר המדינה לבחון את עצמו – האם משרד מבקר המדינה הפנים מפנים ומיישם, בתוך ביתו שלו, תהליכים של חדשנות?

תפקיד הביקורת הפנימית במגזר העסקי-כלכלי

ככלל, המגזר העסקי נמצא בשלבים מתקדמים יותר של הכרת ערך החדשנות ואף עוסק בהטמעתה בארגון. לכן המבקר הפנימי במגזר העסקי, כהרחבה לאמור לעיל, צריך לבחון ברמה האסטרטגית והתפעולית, לרבות ברמה של יחידות ופרויקטים,  את סוגיית האיכות ורמת החדשנות הארגונית.

בכלל זה על המבקר הפנימי לבדוק ולדווח:

• האם לתאגיד יש חזון ומדיניות לחדשנות?
• כיצד התאגיד העסקי נערך להבנה, אימוץ, הפנמה והטמעה של חדשנות כחלק מהתרבות הפנים ארגונית?
• האם הארגון, על יחידותיו ועובדיו, כמו גם בעלי העניין ובהם ספקים, לקוחות גורמים אחרים, משתתפים במשימה בגישה של התייעצות?
• האם לארגון יש משאבי אנוש מתאימים?
• האם וכיצד הארגון מתמודד עם הסיכונים שבחדשנות?
• הנה כי כן, על המבקר הפנימי להביא לוועדת הביקורת, לדירקטוריון ולהנהלה של הארגון תשובות לשאלות הבאות: האם הארגון פוסע בדרך ברורה וסדורה  להגברת החדשנות? האם הארגון מתקדם ופורץ דרך או משתרך אחרי מתחריו? מה עליו לשפר בהליכי הניהול והבקרה כדי להגביר ולהטמיע את ההכרה בחשיבות החדשנות בארגון? והאם הארגון ער לסיכונים שבחדשנות ופועל להתמודד עמם?

סוף דבר – ביקורת על חדשנות: המטרה והתועלת, תחומים לבדיקה, כלים\מתודולוגיות, סיכונים ומסר מסכם

• חדשנות, גם בארגונים הנמצאים בשלבי בשלות והטמעה גבוהים, היא עדיין תחום חדש יחסית; וישנם ארגונים לא מעטים שבהם החדשנות היא בגדר TERRA INCOGNITA ׁ – ארץ לא נודעת – תעלומה.
• הגדרת הביקורת הפנימית של ה-IIA מעלה שעל הביקורת להביא ערך. לכן כניסת הביקורת לתחומי חדשנות ארגונית עונה להגדרה ועשויה להביא תרומה מהותית לארגון.
• על רקע האמור לעיל, ניתן להגדיר את מטרת ביקורת החדשנות כדלקמן:
• בארגון הנמצא בשלב הטרומי: להניע את הנהלת הארגון לבחון את סוגיית החדשנות. בכלל זה על הביקורת לתת תמונת מצב משווה – לסייע לארגון להבין את חשיבות החדשנות, להצביע בפני הארגון על הפיגור היחסי בחדשנות, ואת הסיכון שבאי כניסה לעולם החדשנות מול הסיכון שבחדשנות.
• בארגון הנמצא בשלב חדשנות מתקדם יותר: לסייע לארגון  להבין ולהפנים   טוב יותר את המונח חדשנות, להבין ולראות את מצבו היחסי של הארגון על רקע פעולת המתחרים, על רקע עמדות הלקוחות, על רקע תרומת החדשנות לשיווק, ועל רקע הסיכון בחשיפה תקשורתית נוכח העדר חדשנות מול עלויות וסיכוני החדשנות.
• וחשוב לא פחות – לסייע לארגון להכיל את החדשנות ולייצר כלי מדיניות ובקרה: לסייע לארגון למצות טוב יותר את סדרי ניהול החדשנות, את ההשקעה בחדשנות, לסייע בהתמודדות עם הסיכונים, צווארי בקבוק וחסמים, לסייע בשיפור תהליכים ושיפור סדרי ניצול המשאבים.
• הביקורת על חדשנות עשויה להתמקד בתחומי המשנה הבאים:
• קיום האסטרטגיה ומידת הטמעתה בארגון.
• מבנים ארגונים, סדרי תהליכים ונהלים לקידום החדשנות ולניהול הידע, תוך איתור צווארי בקבוק וחסמים.
• משאבי אנוש – מיצוי פוטנציאל כוח האדם, סדרי גיוס כוח אדם והדרכתו כמענה לצורכי הארגון באשר לחדשנות.
• סדרי הקצאה ובקרה של כל המשאבים והפרויקטים, הליכי איתור סיכונים ותהליכי ניהול תוך קביעה ושיפור של מדדים וכלי החלטה.
• מחזור חיים של חדשנות: בחלוף זמן – בחינה מחודשת של אסטרטגיה, נהלים, תהליכים, תרומת החדשנות וכדומה.
• סיכונים ומתודולוגיות עיקריות לביקורת בתחומי חדשנות:
• פעמים רבות חדשנות כרוכה ביישומן של טכנולוגיות מִחשוביות. לכן על הביקורת לחזק את כוחותיה בתחומים אלה.
• הטמעת טכנולוגיות מחשוביות כרוכה ומגבירה סיכונים למערכות מידע: סיכוני סייבר, שיבושי מערכות מידע, זליגת מידע, קריסת מערכות וכדומה. לכן תחום מערכות מידע על סיכוניהן, ובכלל זה תחום החדשנות, מחייב מתן מענה גובר לנושאים אלה בתכנית הביקורת השנתית והרב שנתית.
• המענה הוא גם בהשבחת משאבי אנוש של יחידת הביקורת: רכש כוח אדם מיומן, הדרכה ורכש שירותי יועצים.
• בנוסף, על יחידת הביקורת במסגרת תכניותיה וסדרי עבודתה, להפנים וליישם היבטים נוספים הנוגעים לשיטת ביקורת החדשנות ובהם:
• לימוד עצמי, ספרות מקצועית, השתלמויות, כנסים, ימי עיון.
  • שימוש במתודולוגיות של מחקר משווה – השוואה תוך וחוץ ארגונית (BENCHMARKING).
  • שימוש בשאלונים וראיונות שיופצו בכל הדרגים.
  • ניתוחי אירועים ופרויקטים במטרה להסיק מסקנות מערכתיות.

החדשנות כמשל:

• כאמור, עולם החדשנות הוא "תזזיתי" – משתנה במהירות רבה ועמו משתנים בקצב מהיר תהליכים ונהלים. החדשנות היא משל לכל עולם העסקים והמינהל הציבורי הנמצאים בהליכים של שינויים מהירים כתוצאה מאפקט "הכפר הגלובלי", ובשל השינויים הטכנולוגיים, הכלכליים והחברתיים, ובשל הליכי רגולציה מהירים.
• הנמשל הוא שגם עולם הביקורת חייב לבחון את עצמו ולהחיל שינויים מהותיים, אחרת הוא לא יהיה רלוונטי ולא יוסיף ערך לארגון.
• אחד הלקחים לביקורת הפנימית הוא שדבקות יתרה וללא שיקול דעת בנהלים – בביקורת ציות[20](COMPLIANCE) אינה בהכרח הכלי הנכון לביקורת: "דבקות ובדיקה לפי נוהל של אתמול אינה נכונה למציאות של מחר", והחשוב הוא לא מה היה ומי חרג, אלא מה מתהווה, מה יהיה מחר וכיצד להיערך אליו.
• במילים אחרות – דבקות יתר של הביקורת בשמירה על נהלים ובביקורת ציות מעלה טענות שלפיהן הביקורת "עוצרת" את הארגון, היא שמרנית, אינה מבינה את התמורות, אינה "רצה" מהר עם השינויים, היא פורמליסטית, אינה מבינה את האילוצים ולכן לא רלוונטית.
• הנה כי כן, המתבקש – בחינה ושינוי מהותי בתפיסת הביקורת וסדרי עבודתה: כיום ביקורת ציות מהווה מתודולוגיה בעלת משקל רב ואולי היא אף העיקרית. היתרון במתודולוגיה הזו שהיא ברורה ופשוטה ליישום, משום שהיא נותנת יציבות וסרגלים ברורים. אך עתה בעולם ה"תזזיתי" הביקורת נמצאת בהתלבטות, מפני שסרגל הציות אינו בהכרח הסרגל האולטימטיבי, ובמקרים לא מועטים על הביקורת ליישם סרגלים אחרים – מורכבים יותר.
• ההתמודדות עם השינוי היא מורכבת[21], וכוללת בראש ובראשונה שינויים תפיסתיים-קונספטואליים אצל הנהלת יחידת הביקורת ועובדיה, הגברת הפתיחות ליישום מתודולוגיות וכלי ביקורת חדשניים שמעבר לביקורת הציות, פתיחות רבה יותר להבנת הענף – אפיוני התעשייה שבה נמצא הארגון, להכרת המתחרים ופעולתם, להבנת העולם המשתנה במהירות, יצירת פתיחות והבנה גבוהים יותר לאילוצים, לצורכי ההנהלה ולשינויים הנדרשים, והכרה והפנמה שמטרת הביקורת היא להביא ערך ולהימנע ככל האפשר מלייצר מעצורים וחסמים.
• והמסר לביקורת: בעולם "תזזיתי", חדשני ומשתנה במהירות – יחידת הביקורת עצמה חייבת לעבור תהליך מורכב של פתיחות, חדשנות והשתנות. זהו נתיב חיוני אם הביקורת שואפת להיות רלוונטית, להשתלב ולהביא ערך.

[1] מתוך הגדרה של מכון מחקר קנדי – THE CONFERENCE BOARD OF CANADA

[2] PricewaterhouseCoopers

[3] דוגמה בולטת להעדר חדשנות ולקריסה של תאגיד היא המקרה של קודאק שלא התחדשה טכנולוגית ולא עברה במועד לממד הצילום הדיגיטלי.

[4] תחום זה קשור גם לתפיסות-הדגשים של התייעצות וניהול ידע שיש להרחיב עליהם בבוא העת.

[5] המודל הבירוקרטי, הפורמלי-היררכי, שאותו חקר-לימד מקס ובר.

[6]  הליכים המקובלים בקרב מדינות ה-OECD; דוגמה מוליכה היא בריטניה

[7] מכלול של פעולות ובהן הכנסת אמנות שירות; "שולחנות עגולים";ONE STOP SHOP; הגברת  הפתיחות  של השירות הציבורי-ממשלתי לגישות ניהול וטכנולוגיות חדשות ;הטמעת נהלים עדכניים ועוד

[8] הרעיון גם מכונה מקצועית   –   IoT – Internet of Things-שילוב של חיישנים רבים יחד עם מאגרי מידע אשר ניתוחם המשולב מוליך לתובנות ותועלות חדשות

[9] מצלמות, נקודות טעינה סולריות, מגברי WI-FI, ובעתיד כל פנס עירוני יכלול גם מצלמה, מיקרופון, חיישן זיהום אוויר ועוד.

[10] כמובן תוך הקפדה על שמירת צנעת הפרט.

[11] כלים אלה כבר נמצאים בשימוש בגופי ביקורת פנימית בעולם המערבי, ובישראל הם רק בתחילת יישומם.

[12]  ערכים נוספים להמחשה: אמנת שירות; "שולחן עגול "; ONE STOP SHOP; התייעצות-שיתוף הציבור בתהליכי קבלת החלטות או קבלת מידע בלתי אמצעי מהציבור\הלקוחות-CONSULTATION, ועוד.

[13] המונח לקוח מתחום העבודה הסוציאלית, והאתגר הוא להטמיעו במגוון מערכות שלטוניות האמונות על מגע עם הציבור.

[14] כאמור, המדובר במאמץ ראוי שביכולתו לשפר את התוצאות, תוך התחשבות בעלויות.

[15] הכלים הם ניתוחי מידע ממוחשב, וכן באמצעות הפעלת "סוכנים" כגון רבנים, קאדים, קייסים, עמותות חברתיות המתמחות בתחום, פנייה למחלקות חינוך ורווחה בשלטון המקומי שיש להן מידע על התושבים ועוד.

[16] אותן משימות שחלות על משרד מבקר המדינה, חלות בהתאמה, במיקרוקוסמוס של המבקר הפנימי במשרד הממשלתי.

[17]  מבוסס על הערכה ויש לסייגה – קיימים  "איים" של חדשנות כגון בצה"ל, בשב"כ, במוסד לתפקידים מיוחדים, גורמי מחקר ופיתוח, נותני שירותים כמו מערכת הבריאות ואחרים; אולם רוב המשרדים ונותני השירותים עדיין נמצאים בשלב הטרומי בנדון.

[18]  זאת תמונת מצב מורכבת כי המגזר הממשלתי הוא עצום בגודלו ויש בו "איים" של חדשנות וריבוי של משרדים ויחידות שאינם  ערים לחדשנות. הנה כי כן זאת משימה רב שנתית של משרד מבקר המדינה.

[19] הליך של CONSULTATION הכולל גם התייעצות עם נציגי המגזר היצרני-עסקי-שיווקי-ניהולי.

[20]  לביקורת ציות יש חשיבות לא מעטה אבל יש לה מגבלות וחסרונות לא פחותים; יש להפעיל שיקול דעת מרובה ומערכת שיקולים מורכבת – האם ומתי להפעיל ביקורת ציות. אלה הם נושאים למאמר ולסדנה לימודית בפני עצמם.

[21] תהליכים, הדגשים ושיטות עבודה אלה נלמדים ומתורגלים במסגרת לימודי הביקורת הפנימית והציבורית במוסדות להשכלה גבוהה, בלימודי חוץ אוניברסיטאיים, וכן במסגרת סדנאות מיוחדות ליחידות ביקורת – כשכותב המאמר עורך אותם.

The post ערך החדשנות ויישומו בעולם הביקורת הציבורית והפנימית appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

 תמצית מנהלים

לשכת המבקרים הפנימיים העולמית (IIA) מינתה בשנת 2013 צוות משימה לצורך בחינה מחדש של מסגרת הכללים המקצועיים הבינלאומיים. בחינה זו הושלמה בחודש נובמבר 2014 וכללה את הערכת התוכן והמבנה של הכללים המקצועיים. הצוות הונחה לקבוע האם נדרשות התאמות במבנה מסגרת הכללים המקצועיים, לתועלת חברי ה-IIA ומקצוע הביקורת הפנימית בכללותו, לצורך הגברת הרלוונטיות של המסגרת.

בשעה שהמסגרת הקודמת שירתה את המקצוע נכון לזמנה, בשנים האחרונות המקצוע שינה את פניו והתפתח. גורמים גלובליים הכוללים חוקים ורגולציות, וכן דרישות השוק לפיקוח משופר, ניהול סיכונים ובקרה פנימית, הגבירו את הציפיות והדרישות מהעוסקים בביקורת פנימית. באזורים מסוימים ובתעשיות מסוימות פורסמו רשמית דרישות ביקורת פנימית נוספות, דרישות שהושפעו מרגולציה. בכמה מהמקרים השפעה זו הייתה ניסיון למלא חללים מסוימים בתוכן מסגרת הכללים המקצועיים. בנוסף, מבקרים פנימיים ראשיים והעוסקים במקצוע המשיכו לדרוש איכות גבוהה של הנחיות מקצועיות עם נקודת מבט צופה קדימה.

בסקר שנערך לקראת פרסום העדכון לתקנים, כ-85% מהחברים הנשאלים תמכו בשינויים המוצעים.

ביולי 2015 פרסמה לשכת המבקרים הפנימיים העולמית את המסגרת החדשה של הכללים המקצועיים הבינלאומיים.

במסגרת המודל החדש יש הנחיות חובה (Mandatory Guidance) והנחיות מומלצות (Recommended Guidance). אימוץ הנחיות החובה הוא נדרש ונחוץ לצורך יישום מקצועי של ביקורת פנימית.

הנחיות החובה במסגרת המודל החדש כוללות את האלמנטים הבאים:

• עקרונות ליבה של הביקורת הפנימית.
• התקנים המקצועיים הבינלאומיים.
• הקוד האתי.
• הגדרת הביקורת הפנימית.

ההנחיות המומלצות במסגרת המודל החדש כוללות הנחיות יישום (Implementation Guidance) והנחיות משלימות (Supplemental Guidance).

השיפורים שבוצעו בתוכן ובמבנה מסגרת הכללים הם:

• הצגת משימת הביקורת הפנימית המהווה בסיס למסגרת ותומכת בה, כדי לתאר באופן ברור ותמציתי את מטרת העל של הביקורת הפנימית בארגונים שבהם היא פועלת.
• הצגת עקרונות ליבה של הביקורת הפנימית, כדי לבטא את האלמנטים העיקריים המתארים את אפקטיביות הביקורת הפנימית.
• שינוי מינוח ההנחיות "הנחיות לפרקטיקה" (Practice Guide) ו"נוהלי ייעוץ" (Practice Advisory) ל"הנחיות יישום" (Implementation Guidance) ו"הנחיות משלימות" (Supplemental Guidance) בהתאמה, כדי לבטא מה כל שכבה כזו אמורה להשיג – סיוע ביישום של התקנים או השלמת המסגרת בדוגמאות ספציפיות.
• הוצאת ניירות העמדה ממסגרת הכללים – בראש ובראשונה ניירות עמדה אלו כללו מידע בדבר תפקיד הביקורת הפנימית בארגון. למרות חשיבותם, אין הם צריכים להיות חלק מהמסגרת המוכוונת להנחות את העוסקים במקצוע בהוצאה לפועל של האחריות שלהם.

להלן תיאור גרפי של המסגרת החדשה של הכללים המקצועיים הבינלאומיים:

משימת הביקורת הפנימית (Mission of Internal Audit)

משימת הביקורת הפנימית נועדה לתמוך במקצוע הביקורת הפנימית. היא נועדה לבטא את מה שהביקורת הפנימית שואפת להשיג בארגון.

מיקומה של הצהרת המשימה ב-IPPF נועד להבהיר כיצד ראוי שהעוסקים בביקורת פנימית ימנפו את המסגרת בכללותה כדי לסייע ליכולת שלהם בהשגת המשימה.

משימת הביקורת הפנימית הוגדרה כדלהלן:

לחזק ולהגן על ערך הארגון על ידי מתן הבטחה (Assurance), עצה (Advice) ותובנה (Insight) אובייקטיביות ומבוססות  סיכון.

השגת המשימה נתמכת באמצעות המסגרת הכוללת – עקרונות הליבה של הביקורת הפנימית, הגדרת הביקורת הפנימית, הקוד האתי, התקנים המקצועיים, וההנחיות המקצועיות.

הנחיות חובה (Mandatory Guidance)

עקרונות ליבה של הביקורת הפנימית (Core Principles)

עקרונות הליבה, בכללותם, מבטאים את מועילות (אפקטיביות) הביקורת הפנימית. כדי שפונקציית הביקורת הפנימית תיחשב אפקטיבית, ראוי שכל העקרונות יתקיימו ויפעלו ביעילות. יישום עקרונות הליבה על ידי מבקר פנימי או יחידת ביקורת פנימית יכול להיות שונה מארגון לארגון, אך מכֶּשֶל ביישום עיקרון כלשהו עלול להשתמע כי פעילות הביקורת הפנימית אינה אפקטיבית כפי שיכלה להיות בהשגת משימת הביקורת הפנימית.

להלן עקרונות הליבה של הביקורת הפנימית:

1. מפגינה יושרה.
2. מפגינה כשירות וזהירות מקצועית ראויה.
3. אובייקטיבית ומשוחררת מהשפעה בלתי הולמת (בלתי תלויה).
4. תואמת את האסטרטגיות, היעדים והסיכונים של הארגון.
5. ממוקמת באופן הולם בארגון ובעלת משאבים מספקים.
6. מפגינה איכות ושיפור מתמשך.
7. מתקשרת באופן אפקטיבי.
8. מספקת הבטחה מבוססת סיכונים.
9. בעלת תובנה, פרואקטיבית (נוקטת יוזמה) וממוקדת בעתיד.
10. מקדמת שיפור ארגוני.

הצגת עקרונות אלו תקל על העוסקים במקצוע להתמקד בנושאים החשובים. העקרונות אמורים גם לייעל את התקשורת עם בעלי עניין, כולל רגולטורים, באשר לעדיפויות המגדירות ביקורת פנימית אפקטיבית.

כדי לספק פילוח הגיוני, העקרונות אינם מסודרים לפי סדר חשיבותם אלא בקבוצות:

• עקרונות 1 – 3: מתייחסים למבקר הפנימי כפרט ולפעילות הביקורת הפנימית בכלל (Input).
• עקרונות 4 – 7: מתייחסים לפעילות הביקורת הפנימית ותהליכיה (Process).
• עקרונות 8 – 10: מתייחסים לתוצרים של פעילות הביקורת הפנימית (Output).

התקנים המקצועיים (Standards)

התקנים מבוססי עקרונות ומספקים מסגרת לביצוע ולקידום ביקורת פנימית. קיימים כיום 51 תקנים המציגים דרישות מחייבות, ובהן:

• הוראות בנוגע לדרישות בסיסיות לצורך הפרקטיקה המקצועית של ביקורת פנימית ולצורך הערכת יעילות פעילותה. הדרישות הן בינלאומיות וחלות על ארגונים ויחידים.
• ביאורים המבהירים את המושגים והתפיסות המופיעים בהוראות.
• מילון מונחים.

כדי להבין נכון את התקנים חשוב להתייחס הן לתקנים והן לביאורים. בתקנים אומצו מושגים שקיבלו פרשנות מסוימת, כפי שמפורט במילון המונחים (שהוא חלק מהתקנים).

נציין כי תקנים  מעודכנים פורסמו בינואר 2013. התקנים המקצועיים נחלקים לתקני תכונות (Attribute Standards) ולתקני ביצוע (Performance Standards). תקני התכונות עוסקים בתכונות הנדרשות מיחידים ומארגונים המבצעים ביקורת פנימית (כגון אי תלות ואובייקטיביות, כפיפות ארגונית המאפשרת לביקורת הפנימית לבצע את תפקידה, גישה ישירה לדירקטוריון, וכו'). תקני הביצוע מתארים את אופי פעילות הביקורת הפנימית ומספקים אמות מידה לצורך הערכת איכות השירותים המסופקים (כגון תכנון עבודת הביקורת הפנימית תוך התבססות על הערכת סיכונים, דיווח להנהלה הבכירה ולדירקטוריון, וכו').

 הקוד האתי (Code of Ethics)

הקוד האתי קובע את העקרונות ואת כללי ההתנהגות המצופים מיחידים ומארגונים בניהול ובביצוע הביקורת הפנימית. הקוד מפרט את דרישות המינימום לכללי התנהגות נאותה (יושרה, אובייקטיביות, סודיות וכשירות), ומטרתו לקדם תרבות אתית בקרב העוסקים בביקורת הפנימית.

הגדרת מקצוע הביקורת הפנימית (Definition of Internal Audit)

הגדרת הביקורת הפנימית מבטאת את המטרה, האופי והמרחב (Scope) של הביקורת הפנימית:

ביקורת פנימית הינה פעילות בלתי תלויה ואובייקטיבית של הבטחה וייעוץ, המיועדת להוסיף ערך ולשפר את פעולות הארגון. היא מסייעת לארגון להשיג את מטרותיו בהבאת גישה שיטתית וממוסדת לשם הערכה ושיפור האפקטיביות של תהליכי ניהול סיכונים, בקרה, פיקוח וממשל תאגידי.

הנחיות מומלצות (Recommended Guidance)

הנחיות יישום (Implementation Guidance) והנחיות משלימות (Supplemental Guidance)

הנחיות יישום (Implementation Guidance) נועדו לסייע למשתמשים ביישום התקנים. הנחיות יישום יספקו גישות פוטנציאליות או גישות מקובלות להשגת התאמה לתקנים.

הנחיות יישום לא יפרטו תהליכים ונהלים כגון תכניות עבודה או מודלים, מפני שאלה יטופלו כחלק מההנחיות המשלימות. הנחיות יישום נועדו להיות מקיפות יותר מאשר נוהלי ייעוץ (Practice Advisories), והציפייה היא שכל אחד מהתקנים ייתמך על ידי הנחיית יישום. במהלך החודשים העוקבים לפרסום מסגרת הכללים החדשה (18-12 חודשים) יפותחו הנחיות יישום שיחליפו את נוהלי הייעוץ הקיימים.

הנחיות משלימות (Supplemental Guidance) הן הנחיות נוספות לניהול פעולות של ביקורת פנימית. ההנחיות המשלימות מיועדות לטפל בנושאים נקודתיים וכאלה השייכים לסקטורים מסוימים (כגון מגזר הפיננסים, תחום טכנולוגיות המידע, מעילות והונאות, ניהול סיכונים, וכו'). ההנחיות המשלימות יכללו גם תהליכים ונהלים מפורטים כגון טכניקות וכלים, תכניות וגישות, לרבות דוגמאות של תוצרים.

עם פרסום המסגרת החדשה (החל מיולי 2015), כל ההנחיות לפרקטיקה (Practice Guides), הנחיות ביקורת טכנולוגיה (Global Technology Audit Guides – GTAGs) וההנחיות להערכת סיכוני טכנולוגיות מידע (Guides to the Assessment of IT Risks – GAIT) הופכות לחלק מההנחיות המומלצות המשלימות.

ניירות עמדה (Position Papers)

ניירות העמדה מסייעים לקשת רחבה של אנשים, כולל כאלה שאינם עוסקים בביקורת פנימית, בהבנת סוגיות משמעותיות בממשל תאגידי, סיכונים ובקרות, ומתארים את תפקיד הביקורת הפנימית.

ניירות העמדה אינם חלק מהמסגרת החדשה, אך הם עדיין רלוונטיים ובני תוקף.

סיכום השינויים במסגרת הכללים

כפי שנדון בהרחבה לעיל, התרשים הבא מתאר את השינויים בין מסגרת הכללים החדשה וקודמתה.

תחילה

פרסום מסגרת הכללים החדשה נכנסת לתוקף עם פרסומה (יולי 2015). בהמשך ייכתבו הנחיות היישום וההנחיות המשלימות (החל משנת 2016).

ביבליוגרפיה

• Proposed Enhancements to The Institute of Internal Auditors International Professional Practices Framework (IPPF). August 4, 2014. The Institute of Internal Auditors (IIA).
• The IIA website – The Framework for Internal Audit Effectiveness: The New IPPF.
• A New Framework for a New age by Jane Seago – Internal Auditor Magazine August 2015

The post International Professional Practices Framework (IPPF) – The IIA (The Institute of Internal Auditors) appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

מאמר זה הוא מאמר שני בסדרה (המאמר הראשון פורסם בגיליון הראשון ועסק בפיתוח מדעי של כלים להערכה ומדידה של אפקטיביות הביקורת הפנימית), ובוחן באמצעות מחקר אמפירי את גורמי אפקטיביות הביקורת הפנימית ברשויות המקומיות בישראל.

שאלת המחקר המרכזית שעליה מנסה מאמר זה להשיב, עניינה בבחינת  הקשרים בין המאפיינים של הביקורת הפנימית לבין האפקטיביות שלה.

בין הגורמים שאני מציע בהקשר זה, יש לציין את מאפייניה של הביקורת הפנימית ומידת השפעתם על האפקטיביות של פונקציה זו. למודל המחקר יש שני חלקים מרכזיים: 1) החלק הראשון בוחן את תשומת המשתנים המאפיינים את הביקורת הפנימית ואת השפעתם על האפקטיביות שלה. מאפיינים אלה מתחלקים לשתי קבוצות: קבוצה הקשורה ישירות לביקורת הפנימית עצמה (Internal audit Dep.Related characteristics) – מיומנות מקצועית ועבודת הביקורת; קבוצה שנייה מתארת את הזיקה של הביקורת הפנימית לארגון (Internal Audit Dep. Related Organizational Characteristics) – אי-תלות, מסלול קידום, והתמיכה של צמרת הארגון ("הטון בצמרת"). החלק השני בוחן את מערכת הקריטריונים שפותחה לצורכי הערכה ומדידה של אפקטיביות הביקורת הפנימית ברשויות המקומיות (מערכת קריטריונים זו הוצגה במאמר הראשון ושימשה לגיבוש השאלון שבאמצעותו נמדדה האפקטיביות)

המאמר הזה מתמקד בזיהוי ובניתוח של גורמי אפקטיביות הביקורת הפנימית ברשויות המקומיות. תהליך המחקר כלל איסוף נתונים בעזרת שאלונים (שאלון אחד המיועד למבקר הפנימי ושאלון אחר המיועד לראש הרשות/מנכ"ל הרשות) שהועברו ל-110 רשויות מקומיות, והשלמת נתונים נוספים ממאגרי מידע ממוחשבים.47  רשויות מקומיות (27 עיריות ו-20 מועצות מקומיות ואזוריות) הסכימו להשיב על שני השאלונים, ולכן בסך הכול עמד אחוז ההחזר הכללי בתום איסוף הנתונים על 42.7%. מאפייני אוכלוסיית המדגם תואמים במידה רבה את מאפייני אוכלוסיית המחקר הרחבה ולכן מצביעים על מידה גבוהה למדי של ייצוגיות.

ממצאי המחקר העיקריים מראים כי: (1) מדדי האפקטיביות של הביקורת הפנימית השונים שפותחו, וגם יתר משתני המחקר, עמדו בקריטריונים סבירים של תוקף ומהימנות. (2) עבודת הביקורת המתבצעת בהתאם לסטנדרטים לעיסוק במקצוע הביקורת הפנימית – תקני IIA משפיעה במידה מסוימת על האפקטיביות של הביקורת הפנימית ברשות. (3) אי-תלות הביקורת קשורה רק באופן מתון לאפקטיביות של הביקורת הפנימית. (4) הממצא הבולט שהמחקר העלה  הוא שתמיכת ההנהלה היא גורם חשוב מאוד להגברת האפקטיביות של ביקורת פנימית ברשות המקומית. הביקורת הפנימית אפקטיבית יותר ברשויות שבהן היא זוכה לתמיכה חזקה מצד צמרת הרשות. כלומר, הטון בצמרת (Tone at the top) ממלא תפקיד שעשוי להיות קריטי לקיומה של ביקורת פנימית אפקטיבית. (5) רמת האפקטיביות של הביקורת הפנימית ברשויות המקומיות היא בינונית.

לסיכום, זהו מחקר אמפירי מקיף בנושא אפקטיביות של הביקורת הפנימית וגורמיה, ולכן צפויה ממנו תרומה חיובית לבחינת מהותה של אפקטיביות הביקורת הפנימית, לקידום תורת הביקורת, להכרה גוברת בפונקציה זו מטעם הדרג הניהולי ברשות המקומית, ולשיפור דרכי פעולתם ותרומתם של המבקרים הפנימיים ברשויות המקומיות.

ב. אפקטיביות הביקורת הפנימית (Internal Audit effectiveness)

במחקר זה אותרו, זוהו ונבחרו 24 קריטריונים ששימשו אותנו כבסיס למדידת ממדיה השונים של אפקטיביות הביקורת הפנימית: ממד סביבת הביקורת (Audit Environment), ממד תשומת הביקורת (Audit Input), ממד תהליך הביקורת (Audit Process), וממד תפוקת הביקורת (Audit Output). ניתוחים מפורטים של ארבעת ממדים אלה של אפקטיביות הביקורת הפנימית הוצגו במאמר הראשון. ההגדרה הנומינלית של אפקטיביות הביקורת הפנימית מיוצגת באמצעות הערכה על ידי ההנהלה/הצרכן של שירותי הביקורת הפנימית. ההגדרה האופרטיבית המלאה של ממדי האפקטיביות ופרטיהם מתבססת על הקריטריונים שפותחו.

ג. מערכת המשתנים הבלתי-תלויים: גורמים המשפיעים על אפקטיביות הביקורת הפנימית

1. 1. אי-תלות (Independence)

אי-תלות בהקשר של ביקורת פנימית היא במהותה מושג ארגוני. לאי-תלות הביקורת הפנימית יש שני היבטים: הפרדה ארגונית מהפעילות המבוקרת, וסטטוס הולם בתוך הרשות המקומית. אי-תלות היא גורם חיוני לקיומה של פונקציית הביקורת הפנימית (1983, Brown). המטרה של הסטטוס הארגוני היא להעניק מספיק "כוח" ויכולת למבקר הפנימי כדי לאפשר לו לבצע עבודה אפקטיבית. התנאים החיוניים לעבודת ביקורת מוצלחת ואפקטיבית לפי Courtemanche (1986) הם: נגישות (Access) למתקנים, מידע ואנשים; אובייקטיביות (Objectivity); עצמאות (Freedom) – יכולת המבקר הפנימי לדווח על ממצאיו, מסקנותיו והמלצותיו ללא חשש; היענות (Responsiveness) – תגובה של המבוקר לממצאי הביקורת הפנימית ונקיטת פעולה מתקנת מצדו כשזה נדרש. תנאים אלה קשורים לאי-תלות הביקורת הפנימית. הסטטוס הארגוני מאפשר למבקר הפנימי נגישות למתקנים, למידע ולאנשים, וכן לדרוש מהמבוקר התייחסות ותגובה לממצאי הביקורת. במחקר על אי-תלות הביקורת שנעשה על ידי Rittenberg (1977), נמצא שהגורמים החשובים ביותר המשפיעים על אי-תלות הביקורת הפנימית הם הגורמים הארגוניים: מעמד ארגוני – הפרדה ארגונית וסטטוס ארגוני (הרמה הארגונית שלה מדווח המבקר הפנימי).Mautz & Sharaf  (1967) הצביעו על החשיבות והחיוניות של איֿ-תלות בעיסוק אפקטיבי בביקורת, והבחינו בין שלושה ממדים של אי-תלות: ממד התכנון, ממד הביצוע וממד הדיווח. אי-תלות בדיווח (הממד השלישי) נמצאה בעבודתו של Montondon (1985) כקריטית בעבודתם של המבקרים הפנימיים ברשויות המקומיות בארה"ב. Clark, Gibbs & Shroeder (1981) מצאו שאי-תלות מחלקת הביקורת הפנימית והרמה הארגונית שאליה מדווח המבקר הפנימי, מהווה את הקריטריונים החשובים והמשפיעים ביותר על האובייקטיביות בעבודת הביקורת.

המסקנה המתבקשת היא שאי-תלות הביקורת היא תנאי הכרחי כדי להבטיח את האובייקטיביות והאפקטיביות של עבודת הביקורת. יש לציין שלא ניתן למתוח קו ישר בין אי-תלות הביקורת הפנימית והאפקטיביות שלה. אי-תלות הביקורת הפנימית נחוצה ברשות המקומית כדי לבצע עבודת ביקורת אפקטיבית.

2. 2. מיומנות מקצועית (Professional proficiency)

מיומנות מקצועית היא מאפיין חשוב של מחלקת הביקורת הפנימית והיא נתונה לאחריות המחלקה והמבקר הפנימי. "חיוני ביותר כדי שהביקורת הפנימית תהיה אפקטיבית שלצוות הביקורת המופקד על בדיקת נושא נתון יהיו הכישורים והניסיון לביצוע הבדיקה" (276 p. ,1986, Dunn).

Albrecht et al (1988) הצביעו במחקרם על המיומנות המקצועית של עובדי הביקורת הפנימית כאחד מהמאפיינים החשובים של מחלקות ביקורת אפקטיביות ומצליחות. Ratliff et al (1996) ומסה (1982) מייחסים משקל רב למשתנה המיומנות המקצועית כדי לקבוע את מידת האפקטיביות של הביקורת הפנימית. איוש מחלקת הביקורת על ידי עובדים מקצועיים וניהולם חשובים מאוד לפעילות אפקטיבית של הביקורת הפנימית. השכלתם, הכשרתם, ניסיונם והמיומנות המקצועית של עובדי הביקורת משפיעים על אפקטיביות עבודתה של הביקורת הפנימית (2003, AL-Twaijry, Brierley, & Gwilliam). Nanni (1984) מצא שלניסיון בעבודת ביקורת יש השפעה חיובית על הערכתה של הבקרה הפנימית הפיננסית.

לכן, אנו טוענים שיש קשר חיובי בין האפקטיביות של הביקורת הפנימית לדרגת המיומנות המקצועית של עובדי הביקורת.

3. 3. עבודת הביקורת (Audit work)

מאפיין זה בוחן את הפעילות של מחלקת הביקורת הפנימית וסוג העבודה שהיא מבצעת, תוך דגש על תהליך הטיפול במשימות הביקורת. המאפיין הזה בא לידי ביטוי בצורה מפורטת בסטנדרטים לעיסוק מקצועי בביקורת פנימית. ביקורת פנימית הפועלת לפי הסטנדרטים לעיסוק במקצוע הביקורת הפנימית עשויה להבטיח לעצמה יתרון חשוב בדרך לביצוע מטלות ביקורת מוצלחות ולהיות אפקטיבית יותר. יישום עבודת הביקורת בהתאם לסטנדרטים תורם להצלחתה של הביקורת הפנימית ולמידת האפקטיביות שלה (1980, Glazer & Jeanike) וגורם לשיפור ניכר בעבודתה ובתרומתה של הביקורת הפנימית (1988, Sawyer). כדי שפעילות הביקורת הפנימית תהיה בעלת ערך מוסף לארגון, חשוב מאוד שהמבקרים הפנימיים יבצעו את עבודתם בהתאם לסטנדרטים בעיסוק במקצוע הביקורת הפנימית (AL Twaijry,
Brierley & Gwilliam ,2003).  Ridley & D`Silva (1997) מצאו באנגליה שהתרומה החשובה ביותר לערך המוסף של הביקורת הפנימית נובעת מעבודת ביקורת המתבצעת בהתאם לסטנדרטים. כלומר, עבודת ביקורת פנימית המתנהלת על פי הסטנדרטים משפיעה על אפקטיביות עבודתה.

4. 4. מסלול קידום (Career and Advancement)

שאלה מעניינת בהקשר של אפקטיביות הביקורת הפנימית היא עד כמה עבודה בביקורת פנימית היא מסלול הכשרה וקידום לעובדי הביקורת בתוך הארגון. הביקורת הפנימית עשויה להיות מקום לפיתוח קריירה בעתיד בארגון (בתפקידי ביקורת או בתפקידים אחרים), ולחלופין היא יכולה להיות מקום שממנו קשה להתקדם. במקרה הקיצוני, מחלקת הביקורת הפנימית עשויה להפוך למאגר הקולט עובדים ש"נפלטו" ממחלקות אחרות בארגון. קיומו של מסלול קידום ופיתוח קריירה עוזר לעובדים לצפות במהלך חייהם בארגון לתגמולים פנימיים וחיצוניים, כולל מעמד כלכלי וחברתי (Adamson,1997; Callanan, 2003). כתוצאה מכך, יש השפעה חיובית על שביעות רצון בעבודה ועל הביצוע של העובד. Ross (1994) מצביע על חשיבותו של מסלול קידום המלווה בתגמולים. הוא מצביע גם על השפעתו ביחס למחויבות של המבקר הפנימי לארגון ושביעות הרצון מעבודתו. באמצעות שני גורמים אלה ניתן ליצור השפעה חיובית על תפקודה של הביקורת הפנימית. Clive & Philomena, Barry (1996) ערכו מחקר השוואתי על הביקורת הפנימית בשלוש מדינות: אוסטרליה, מלזיה והונג-ֿקונג. ממצאיהם מראים שברוב הארגונים הפרטיים והציבוריים שנבדקו, עבודה בביקורת פנימית היא שלב בהכשרה ומספקת הזדמנויות לקידום לתפקידים בדרג הניהולי. Albrecht et al (1988) מציינים שעבודה בביקורת פנימית היא חלק ממסלול הכשרה וניהול, ולפעמים גם מובילה לפיתוח קריירה בביקורת פנימית בארגונים שבהם מחלקות הביקורת הפנימית נחשבות מוצלחות ואפקטיביות. קיומו של מסלול קידום בעבודה בביקורת פנימית הוא סיבה רבת עוצמה עבור עובדי הביקורת להשקיע ולהצטיין בעבודתם, המשפיעה על מידת האפקטיביות של הביקורת הפנימית.

5. 5. תמיכת צמרת הארגון (Top management support)

מכל ההיבטים של הביקורת הפנימית, תמיכת צמרת הארגון היא אחד החשובים ביותר לתפקודה התקין והיעיל של הביקורת הפנימית בארגון (1973, Sawyer). תמיכה זו משפיעה על האפקטיביות של הביקורת הפנימית ומקבלת ביטוי בכמות המשאבים – תקציב וכוחֿ אדם – העומדים לרשות הביקורת הפנימית (Albrecht et 1988al, ), וביצירת "אקלים" נוח לעבודת ביקורת יעילה. יחסי הגומלין בין הביקורת הפנימית לבין ההנהלה מהווים גורם חשוב בקביעת האובייקטיביות הנדרשת מעבודת הביקורת הפנימית (2003, AL-Twaijry, Brierley, & Gwilliam). עבודות רבות הוכיחו שתמיכת ההנהלה בביקורת הפנימית היא גורם חשוב באפקטיביות שלה (2005,Kline & Dunfee,Schwartz; 1998,Jill). ניתן להמחיש  תמיכה זו בתקציב המוענק למחלקת הביקורת הפנימית,  למימון משימותיה . במחקרו של פניני (2005) על איכות הביקורת החיצונית ברשויות מקומיות נמצא שארגון שמעודד תמיכה בביקורת, יגרום לכך שאיכות הביקורת תהיה גבוהה יותר. Dessaleng & Aderajew (2007) מצביעים על תמיכת ההנהלה כגורם המשפיע נמרצות על אפקטיביות הביקורת הפנימית בסקטור הציבורי של המוסדות להשכלה גבוהה.

ד. קשרים כלליים בין האפקטיביות של הביקורת הפנימית לשאר משתני המחקר, ומשתנים המשפיעים על האפקטיביות של הביקורת הפנימית

כדי לבחון באופן ראשוני את המידה שבה האפקטיביות של הביקורת הפנימית באה לידי ביטוי בחתכים שונים של אוכלוסיית המדגם, חושבו בשלב ראשון מתאמי הקשר Pearson’s r בין כל משתני המחקר והם מוסברים להלן.

1. 1. איֿ-תלות הביקורת (IND) קשורה באופן חיובי ובינוני לכל הממדים של אפקטיביות הביקורת הפנימית. ממצא זה מראה כי אי-תלות הביקורת משפיעה על המידה שבה הביקורת הפנימית יכולה להיות אפקטיבית.
2. 2. אין קשר בין המשתנה מיומנות מקצועית (PROF) של הביקורת לבין הממדים השונים של אפקטיביות הביקורת הפנימית.
3. קיים קשר חלש בין המשתנים המאפיינים את עבודת הביקורת (מעורבות הביקורת, ביצוע מעקב אחרי ממצאי הביקורת) ואת הפעילות של מחלקת הביקורת, לבין מדדי האפקטיביות של הביקורת הפנימית. מקדמי r נמוכים מאוד אינם תומכים בטענה המקובלת הגורסת שעבודת הביקורת המתבצעת בהתאם לסטנדרטים לעיסוק מקצועי במקצוע הביקורת הפנימית משפיעה על אפקטיביות עבודתה. לעומת זאת, נמצא קשר חיובי ובינוני בין המשתנה עצמאות הביקורת AWINDEP לבין רוב ממדי האפקטיביות.
4. לא נמצא קשר בין המשתנה מסלול קידום (CAREER) במקצוע הביקורת הפנימית לבין הממדים השונים של אפקטיביות הביקורת הפנימית.
5. תמיכת ההנהלה (SUPPORT) קשורה באופן חיובי וחזק לכל הממדים של אפקטיביות הביקורת הפנימית. ממצא זה תומך במידה רבה מאוד בטענה שהביקורת הפנימית אפקטיבית יותר ברשויות המקומיות שבהן היא זוכה לתמיכה חזקה מצד צמרת הארגון. זאת בהשוואה לרשויות המקומיות שבהן תמיכה זו חלשה או נעדרת כלל.

 ה. משתנים המאפיינים את הביקורת הפנימית

מובן כי מתאמים אלה מסוגלים להצביע על כיווני קשר כלליים בלבד, מפני שהם אינם נותנים משקל לשונוּת משותפת הקיימת בין משתנים נוספים אחרים. כדי לבדוק את המשתנים המשפיעים על אפקטיביות הביקורת הפנימית ברמה רבֿ משתנית יש צורך לערוך מבחנים סטטיסטיים נוספים. מבחנים אלה התבססו על רגרסיות מרובות והיררכיות מסוג Enter.

לוח מס' 7 מציג את ממצאי הרגרסיות היררכיות מרובות משתנים (ערכים מתוקננים) שהופעלו במטרה לבדוק את הקשרים בין המשתנים הבלתי תלויים למשתנים התלויים. הלוח בוחן את השפעתם של המשתנים הבלתי תלויים שמקורם במאפייני הביקורת הפנימית ושל אלה בעלי זיקה לארגון על כל אחד ממרכיבי האפקטיביות של הביקורת הפנימית.

להלן המסקנות העיקריות מניתוח הרגרסיות מרובות משתנים:

1. אי-תלות הביקורת קשורה באופן חלש וחיובי אבל לא באופן מובהק.
2. בניגוד לטענה שקיים קשר חיובי בין המיומנות המקצועית של המבקרים הפנימיים (Professional Proficiency) לבין אפקטיביות הביקורת הפנימית נמצא שאין כלל קשר. זאת לגבי כל אחד מהמרכיבים של אפקטיביות הביקורת הפנימית.
3. נמצא קשר חיובי וחלש, אבל לא מובהק, בין המשתנה עצמאות הביקורת (Audit work autonomy) לבין שלושה מתוך ארבעת הממדים של אפקטיביות הביקורת: סביבת הביקורת AE, תשומת הביקורת AI ותפוקת הביקורת AO. משתנה זה תומך חלקית מאוד בטענה שהביקורת הפנימית אפקטיבית יותר ככל שהמותאמות לסטנדרטים של עבודת הביקורת גבוהה יותר. שני המשתנים האחרים (מעורבות הביקורת ומעקב אחרי ממצאי הביקורת), שבאמצעותם נמדדו היבטים נוספים של מידת ביצוע עבודת הביקורת בהתאם לסטנדרטים של עבודת הביקורת, אינם קשורים לאפקטיביות הביקורת הפנימית.
4. אין קשר בין מסלול קידום (Career and Advancement) לבין הממדים השונים של אפקטיביות הביקורת הפנימית. ממצא זה אינו תומך בטענה שהביקורת הפנימית אפקטיבית יותר בארגונים שבהם עבודת הביקורת הפנימית מהווה מסלול קידום לעובדי הביקורת ולפיתוח קריירה.
5. נמצאה תמיכה רבה בטענה שהביקורת הפנימית אפקטיבית יותר ברשויות מקומיות שבהן היא זוכה לתמיכה חזקה מצד צמרת הרשות. זאת בהשוואה לרשויות אחרות שבהן תמיכה זו היא חלשה או נעדרת. ממצא זה בא לידי ביטוי באמצעות הקשר החזק והמובהק (p <.001) בין המשתנה של תמיכת הדרג הניהולי הבכיר לה זוכה הביקורת (Top management support) לבין אפקטיביות הביקורת הפנימית. זאת לגבי כל אחד מממדי אפקטיביות הביקורת הפנימית.

מידת השונות המוסברת על ידי כלל המשתנים הבלתי תלויים הייתה 38.2% ביחס לסביבת הביקורת, 19.4% לגבי תשומת הביקורת, 22.1% ביחס לתהליך הביקורת, ומקרה של ממד תפוקת הביקורת השיעור הגיע ל-35.3%.

המשוואה כולה הייתה מובהקת לגבי כל אחד ממְמדי אפקטיביות הביקורת הפנימית.

ו. סיכום ומסקנות

התנאים והגורמים לקיומה של פונקציית הביקורת הפנימית ואפקטיביות פעולותיה הם נושאים חשובים.

ביקורת פנימית אפקטיבית תורמת בנפרד לאפקטיביות עבודתו של המבוקר, ובאופן כללי לאפקטיביות ארגונית (2001, Dittenhofer). רוזביץ (1999, 101) טען כי "אחת הסוגיות המורכבות בביקורת המקצועית היא שאלת האפקטיביות של הביקורת. לאמור, האם הביקורת – חיצונית או פנימית – היא אפקטיבית?". המסקנה המתבקשת היא שאפקטיביות הביקורת הפנימית מהווה את הליבה בכל דיון על הביקורת הפנימית (1995, Sawyer).

מה מבטאת אפקטיביות הביקורת הפנימית, מהם רבדיה, ומה רמת הניתוח הנדרשת להבנתה? האם ניתן לפתח כלי מדידה תקף ומהימן כדי למדוד את ממדיה השונים של האפקטיביות? האם ניתן להצביע על גורמים מרכזיים המשפיעים על קיומה של ביקורת פנימית אפקטיבית? האם ניתן להצביע על קשרים בין מאפייני הביקורת הפנימית ומידת האפקטיביות שלה? עבודה זו ניסתה לספק תשובות ראשוניות לשאלות אלו, בהציעה מודל לבחינת התופעה של אפקטיביות הביקורת הפנימית. המודל התבסס על תפיסה תיאורטית היונקת מתורת הביקורת, מתורת הניהול והמינהל הציבורי. המודל מנותח אמפירית על בסיס נתונים מקוריים שנאספו ב-47 רשויות מקומיות בישראל.

1. תורת הביקורת הפנימית מדגישה את הקשר בין המיומנות המקצועית של המבקרים הפנימיים לבין מחלקות ביקורת פנימית מצליחות ואפקטיביות. אולם, במחקר זה לא נמצא קשר בין מיומנות מקצועית של עובדי הביקורת הפנימית לבין האפקטיביות של הביקורת הפנימית. הנתונים שנאספו במדגם על ההשכלה וההכשרה של המבקרים הפנימיים אמנם מעידים על רמה גבוהה יחסית של מיומנות מקצועית. עם זאת, נראה שמיומנות מקצועית של עובדי ביקורת אינה תנאי מספיק לעבודת ביקורת שתהיה אפקטיבית.
2. המשתנה עבודת הביקורת הוא אחד ממאפייני הביקורת הפנימית שמוצא את ביטויו בסטנדרטים לעיסוק במקצוע הביקורת הפנימית. Glazer & Jaenike (1980) סבורים שעבודת הביקורת המיושמת בהתאם לסטנדרט תורמת הרבה להצלחתה של הביקורת הפנימית ולמידת האפקטיביות שלה. אולם, מחקר זה מצא רק קשר חיובי חלש בין המשתנה עבודת הביקורת, המאופיין על ידי עצמאות הביקורת (Audit work autonomy), לבין רוב ממדי האפקטיביות הפנימית שפותחו. הוא תומך חלקית בחשיבותה של עריכת ביקורת פנימית המותאמת לסטנדרטים לעיסוק במקצוע הביקורת הפנימית כדי שעבודת הביקורת תהיה אפקטיבית.
3. אי-תלות נדרשת כדי ליצור אווירה שבה הביקורת הפנימית יכולה להתקיים, לפעול ולתפקד כהלכה" (750 .p ,1988, Sawyer). מחקר זה מעיד על קשר מתון וחיובי הקיים בין משתנה אי-תלות הביקורת לבין אפקטיביות הביקורת. ניתן אפוא להסיק שלא קיים קשר ישיר בין מידת האי-תלות של הביקורת הפנימית לבין האפקטיביות שלה. ייתכן שנכון יותר להתייחס לאי-תלות הביקורת הפנימית כתנאי הכרחי אבל לא מספיק כדי שהיא תהיה אפקטיבית.
4. מחקר זה בחן את המידה שבה עבודה בביקורת פנימית מהווה מסלול הכשרה וקידום לעובדי ביקורת ולפיתוח קריירה בעתיד בתוך הרשות המקומית, והשפעתה על מידת האפקטיביות של הביקורת הפנימית. תימוכין לקשר זה נמצאים במחקריהם של Ross (1994), Albrecht.et.al (1988), Adamson (1997) וֿCallanan (2003). אולם ממצאי המחקר מעידים שאין קשר בין המשתנה מסלול קידום (Career and Advancement) לבין הממדים השונים של אפקטיביות הביקורת הפנימית. כמעט כל המבקרים הפנימיים ברשויות המקומיות במדגם אינם רואים בתפקיד המבקר הפנימי שלב בפיתוח קריירה ברשות המקומית ותחנת מעבר לתפקידים בכירים אחרים ברשות. להפך, תפקיד המבקר הפנימי נתפס כתפקיד של סוף קריירה (הגיל הממוצע של המבקרים הפנימיים בארגונים שנבדקו הוא 50.7 שנים).
5. אחת המסקנות של Albrecht.et.al (1988) בעבודתם על זיהוי הקריטריונים להערכה ומדידה של אפקטיביות הביקורת הפנימית בארגונים היא: תמיכה מסיבית מצד הדרג הניהולי הבכיר בביקורת הפנימית המועברת ומחלחלת לכל רמות הארגון היא צורך חיוני כדי להשיג עבודה אפקטיבית של הביקורת הפנימית. כלומר, "הטון בצמרת" ("Tone at the Top") ממלא תפקיד מרכזי בהבטחת ביקורת פנימית אפקטיבית. מחקרים רבים (2007, Dessaleng & Aderajew; 2005, Kline &, Dunfee, Schwartz; 1998 Jill,) הדגישו את חשיבותה של התנהגות ההנהלה בארגון, ואת חשיבות הטון בצמרת בעידוד והשגת יעדים רצויים.

ואכן, מחקר זה תומך בתיאוריית "הטון בצמרת", וממצאיו מעידים על קשר מובהק, חיובי וחזק בין מידת התמיכה בביקורת הפנימית מצד הדרג הניהולי ברשות המקומית לבין מידת האפקטיביות שלה. ממצא זה מאשש נמרצות את הטענה שהביקורת הפנימית אפקטיבית יותר בארגונים שבהם היא זוכה לתמיכה חזקה מצד צמרת הארגון (Top management support).

המחקר מבליט את מקומה של תיאוריית "הטון בצמרת" (Tone at the top) ואת הקשר החזק והמובהק הקיים בין תמיכת ההנהלה לבין אפקטיביות הביקורת הפנימית. כלומר, התמיכה בביקורת מצד ההנהלה מחוללת תהליכים ארגוניים הגורמים לשיפור בעבודתה ובתרומתה של הביקורת הפנימית לארגון

המחקר הנוכחי מביא טביעת עין חדשה על הקשרים בין אפקטיביות הביקורת הפנימית וגורמיה. כמו כן, ממצא אמפירי עיקרי של מחקר זה הוא שהשגת אפקטיביות גבוהה של הביקורת הפנימית אינה אפשרית ללא קיומה של תמיכה חזקה מצד הדרג הניהולי הבכיר ברשות המקומית. במילים אחרות, כדי להבטיח עבודה אפקטיבית של הביקורת הפנימית יש צורך באותה תמיכה. ברשות מקומית שבה קיימת תמיכה חזקה מצד ההנהלה, הדבר מחלחל לכל הרמות והפונקציות השונות ברשות המקומית – דרג ניהולי בינוני, דרג ניהולי זוטר ודרג תפעולי. בתנאים אלה הביקורת זוכה מצד המבוקר לשיתוף פעולה, לגישה חופשית למידע וליצירת אווירה ארגונית המאפשרת לביקורת הפנימית לפעול ולעבוד באפקטיביות גבוהה. השלכה מעשית של המחקר בתחום זה היא להמחיש למבקרים הפנימיים ברשויות המקומיות את החשיבות הרבה בפיתוח יחסי גומלין עם ראש הרשות וההנהלה הבכירה ברשות, ובנקיטת אמצעים כשרים אחרים כדי להשיג את תמיכתו של הדרג הניהולי הבכיר בביקורת הפנימית.

ממצאי המחקר דורשים מתן תשומת לב נוספת למשמעות הקשר בין אי-תלות הביקורת לבין אפקטיביות הביקורת הפנימית. ברמה המעשית יש להבטיח את אי-תלות הביקורת תחילה כדי שהביקורת הפנימית תהיה אפקטיבית. כלומר אין קשר ישיר בין אי-תלות הביקורת לבין האפקטיביות. יש להבין שברמה האופרטיבית אי-תלות הביקורת היא תנאי הכרחי, אך לא מספיק, לקיומה של ביקורת פנימית אפקטיבית.

השלכה מעשית נוספת של מחקר זה מתייחסת לאופן ביצוע עבודת הביקורת. ממצאי המחקר מצביעים על הקשר הקיים (על אף שהוא חלש) בין עבודת ביקורת המיושמת בהתאם לסטנדרטים לעיסוק במקצוע הביקורת הפנימית לבין אפקטיביות הביקורת. כלומר, טוב יעשו המבקרים הפנימיים ברשויות המקומיות אם עבודתם תתבצע בתאימות עם הדרישות בסטנדרטים.

המבקר הפנימי ברשות המקומית מתייחס לתפקידו כאל תפקיד של סוף קריירה ולא כתפקיד שממנו ניתן לעבור ולהתקדם לתפקידים בכירים אחרים. מצב זה עשוי להסביר, בין היתר, למה הביקורת הפנימית בארגון נתון אינה אפקטיבית ועשויה להפוך ל"קישוט ארגוני" (פרידברג, 1980). רשות מקומית המעוניינת בביקורת פנימית מתקדמת ואפקטיבית צריכה לדעת להתייחס לפונקציית הביקורת הפנימית כמקום שבו ניתן להתקדם בארגון ולפתח קריירה (1988, Albrecht et al.).

ראוי להדגיש כי שאלות מסוימות ביחס לגורמי האפקטיביות נותרות ללא תשובה ממשית גם בסיומו, ופירוט שלהן יובא בעת ההתייחסות למחקרים עתידיים. מגבלה אחרונה של המחקר היא העובדה כי חלק מההיקשים שניתן לבצע בעקבותיו הם היקשים קורלטיביים בלבד. מבחינה תיאורטית הציב מודל המחקר קושי נוסף והוא העומס הרב יחסית של משתנים ואורכם של השאלונים. לכן לא נכללו במודל גורמים בעלי פוטנציאל ניבוי נוסף על מידת האפקטיביות של הביקורת הפנימית בארגון, אף שהספרות מציעה לבחון גורמים אחרים בטיפול באפקטיביות הביקורת הפנימית, כגון תכונות של המבקר הפנימי – מנהיגות, אישיות ויכולת ניהול (1988, Albrecht et al.), יחסי הגומלין של הביקורת עם הסביבה החיצונית, ומאפיינים ארגוניים נוספים כמו תרבות ארגונית. יריעת מחקר זה קצרה מלהכיל את כל הגורמים. ייתכן שאי הכללתם של גורמים אלה במודל המחקר פוגעת במידה מסוימת בכושר ההכללה מאוכלוסיית המחקר הנוכחית לאוכלוסיות מחקר אחרות. למרות זאת, נראה כי פגיעה שכזו, אם קיימת, איננה קשה, והמחקר עומד בקריטריונים טובים למדי של ייצוגיות, תקפות, ומהימנות כפי שפורטו בפרקים הקודמים.

הביקורת היא נושא מרתק. אם מבינים את ייעודה ואת מטרתה קשה למצוא תחום רבגוני כל כך, המתמחה בדיסציפלינות כה רבות שהוא מרתק כל כך. המחקר הנוכחי התמקד בבחינת השפעת מאפייני הביקורת הפנימית על מידת האפקטיביות שלה ברשויות המקומיות. חשיבותה של הביקורת הפנימית ברשות המקומית נעוצה ביכולתה לגרום לשיפור במינהל הרשות, ולתת ערך מוסף על ידי בחינת הפעילויות ברשות לפי תקני ביקורת של סדירות, יעילות ואפקטיביות.

רשימת מקורות

Adamson, S. (1997). Career as a vehicle for the realization of self. Career Development International, 2(5), 245-253.

Albrecht, W.S., Howe, K.R., Schueler, D.R., & Stocks, K.D. (1988). Evaluating the effectiveness of Internal Audit Departments. Altamonte Springs, Florida: IIA Research Foundation.

Anderson, U. (1982). Quality Assurance and Review Alternatives. Internal Auditor, 39(1), 20-25

Anderson, U. (1983). Quality Assurance for Internal Auditing. Altamonte Springs, Florida: The Institute of Internal Auditors.

Bryman, A., & Cramer, D. (1994). Quantitative Data Analysis for Social Scientists. London: Routledge

Courtemanche, G. (1986). The New Internal Auditing. New York: J. Wiley.

Dessaleng, G.M., & Aderajew. W.Y. (2007).Internal audit effectiveness: an Ethiopian public sector case study. Managerial Auditing Journal, 22(5), 470-484.

Dittenhoffer, M. (2001). Internal auditing effectiveness: an expansion of present methods.

Managerial Auditing Journal, 16(8), 443-450.

Glazer, A.S., & Jaenike, H.R. (1980). A Framework for Evaluating an Internal Audit Function.

Altamonte Springs, Florida: Foundation for Auditability Research and Education.

Nagy, AL & Cenker, W.J. (2007). Internal Audit Professionalism. International Journal of Auditing,11(1) 41-49.

Rittenberg, L. E. (1977). Audit Independence and System Design. Florida: IA, Inc.

Sawyer, L.B. (1973). The practice of modern internal auditing. Altamonte Springs, Florida: The Institute of Internal Auditors.

Sawyer, L.B. Sawyer’s Internal Auditing. (1988). Chapter 20, Quality Assurance, 909-935.

Altamonte Springs, Florida: The Institute of Internal Auditors.

Schwartz, M.S., Dunfee, T.W., & Kline, M.J. (2005). Tone at the top: An ethic code for directors? Journal of Business Ethics, 58(1-3), 79-100.

The Institute of Internal Auditors. (1990). Quality Assurance Review Manual for Internal Auditing. Altamonte Springs, Florida: Author. 2e Edition.

The Institute of Internal Auditors.(2007). The Professional Practice Framework. Altamonte Springs, Florida: I.I.A Research Foundation.

Traver, R.O. (1991) A comparison of perceived importance of factors that have an impact on audit effectiveness in higher education institutions. Unpublished doctoral dissertation. University of Illinois, Illinois.

White, A.W. (1976). The Essentials of an Effective Internal Audit Department. Internal Auditor, 33(2), 30-33.

Ziegenfuss, D.E. (2000). Measuring Performance. Internal Auditor, 57(1), 38-44.

בר ניר, ע. (1992). הביקורת הפנימית: תפישה נורמטיבית, דפוסי עבודה וגורמים הקשורים עימם. עבודת גמר לקבלת תואר מוסמך, הפקולטה למדעי החברה, תל אביב, אוניברסיטת תל אביב.

מזרחי, נ. (2000). תורת הביקורת הפנימית. תלֿאביב: המכללה למינהל.

מסה, מ. (1992). הכישורים וההכשרה המקצועית הנדרשים מהמבקר הפנימי. המבקר הפנימי.חוברת מס' 84.

פרידברג, א. (1980). הביקורת הפנימית – 'קישוט' ארגוני. המבקר הפנימי, חוברת מס' 66.

פרידבדג, א. (1995). הביקורת הפנימית בישראל. ירושלים: נציבות שירות המדינה, בית הספר המרכזי למינהל.

רוזביץ, ש. (1999). ביקורת המדינה ברשויות המקומיות. בתוך: פרידברג, א., (עורך). משרד הפנים. הביקורת ברשויות המקומיות בישראל.

The post גורמי אפקטיביות הביקורת הפנימית ברשויות המקומיות בישראל appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

ב-5 ביוני 2014, באוניברסיטת חיפה, התקיים כנס שנתי לזכרם של ד"ר משה שני ז"ל ופרופ' אשר פרידברג ז"ל. האורח המרכזי של הכנס היה מבקר המדינה, השופט (בדימוס) יוסף שפירא. אחד מהנושאים שאליהם מצא לנכון מבקר המדינה להתייחס עסק בשאלת הביקורת של מבקר המדינה בקרן הקיימת לישראל (להלן: קק"ל).

על רקע העובדה שמבקר המדינה מצא "חרך" משפטי להזדחל דרכו ולהחיל על קק"ל ביקורת, גם אם מצומצמת (אמסטרדמסקי, 31.12.2014), התבטא  מבקר המדינה בכנס זה ואמר: "לא אמתין אפילו לתוצאות הוועדה שראש הממשלה אמר שיקים ואתחיל בקביעת הנושאים שקרן קיימת תהיה מבוקרת בהם. אני אחיל חד צדדית את הביקורת ואקבע מועדים לבוא למוסדות הקרן הקיימת כדי להתחיל בביקורת". מבקר המדינה הוסיף ואמר: "לבוא היום ולהגיד שקרן קיימת לישראל לא צריכה להיות מבוקרת, זה לא מתאים למאה ה-21. הקרן הקיימת לישראל מהווה מדינה בתוך מדינה. יש לה תקציב משלה, הכול סגור וחסוי ולא שקוף". מבקר המדינה הצביע על כך ש"ההתחככות של פוליטיקאים, של שרים, חברי כנסת, עם אנשי הון יש בה בעיה מסוימת וקרן קיימת לישראל היא גם בעלת הון. תרצה, תיתן 2.5 מיליארד שקל לשר אחד או שניים שיחלקו את הכסף כראות עיניהם. תרצה, תיתן לגוף אחר. השילוב הזה של גוף ששולט על קרקעות וכספים רבים ויש לו קשר עם הרשות המבצעת, יש סכנה שהשיקולים לא תמיד יהיו ענייניים" (חדשות חיפה והצפון, 11.6.2014).

"הנימוק של שפירא, החרך שדרכו הצליח להחיל ביקורת חלקית על קק"ל, היה האמנה שקק"ל חתמה עם המדינה ב-1961, שבמסגרתה הסכימו קק"ל והמדינה להקים מועצה משותפת שתפקח על מינהל פיתוח הקרקע של קק"ל, שדרכו נעשית הפעילות המרכזית שלה בישראל. העובדה כי במועצה מכהנים נציגי המדינה מאפשרת למבקר המדינה לבקר פעילות זו של קק"ל. בתגובה, הודיע יו"ר קק"ל למבקר המדינה כי הוא מברך על הביקורת, ואף שלח לו את הדוחות הכספיים של המועצה לשנים "2013–2012  (אמסטרדמסקי, שם).

המעיין בחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב], בסעיף 9(5), יוכל להבחין שמהסיפא של הסעיף עולה כי מבקר המדינה מוסמך לבצע ביקורת בכל מפעל, מוסד, קרן או גוף אחר שהממשלה משתתפת בהנהלתם; וזהו ככל הנראה מקור ה"חרך" המשפטי שעל פיו מוסמך מבקר המדינה להחיל את ביקורתו על קק"ל.[1]

כאן עולה לדיון הסוגיה הראשונה: אין מניעה משפטית לקיים ביקורת כפולה – של מבקר המדינה ושל המבקר הפנימי – בגוף מבוקר, כפי שעולה מחוק מבקר המדינה ומחוק הביקורת הפנימית, התשנ"ב-1992 ומסעיפים רלוונטיים בפקודת העיריות ובפקודת המועצות המקומיות. עם זאת, במקרה הנדון במאמר זה, מדובר בכפילות של שני גופי ביקורת חיצוניים – מבקר המדינה ומבקר המוסדות הלאומיים, שמקובל לזהותם כגופי ביקורת ציבורית-מקצועית, כפי שיפורט וינותח להלן.

מטרת רשימה זו היא לעורר דיון ציבורי בשאלות של כפל ביקורת ציבורית, שעל עצם קיומה ישנן דעות שונות בקרב אנשי מקצוע. הסוגיה הציבורית מתעצמת גם על רקע חולשתה של הביקורת הציבורית בהסתדרות הציונית העולמית ובסוכנות היהודית, ועל רקע של ממצאים לכאוריים שכבר חשף מבקר המדינה, כמפורט הלן.

מעמדה המשפטי של קק"ל

• בשנת 1953 קיבלה הכנסת את חוק קרן קיימת לישראל, תשי"ד-1953.
• ב-28.11.1961 נחתם "כתב האמנה בין ממשלת ישראל וקק"ל". בין השאר נקבע בכתב ההאמנה, שעל פיו הוסכם על הקמתו של "מנהל מקרקעי ישראל" (כיום – "רשות מקרקעי ישראל"), כי (בסעיף 16): "הקרן הקיימת לישראל תוסיף לפעול כמוסד של ההסתדרות הציונית העולמית בקרב הציבור היהודי בארץ ובגולה באיסוף כסף לגאולת אדמה מן השממה ובהסברה ובחינוך ציוני-ישראלי, והממשלה תושיט לקרן הקיימת לישראל עזרה בפעולות הסברה ותעמולה בישראל ובחוץ לארץ".^[2] יודגש כי נוסח הסעיף מדגיש את העובדה שקק"ל "תוסיף לפעול כמוסד של ההסתדרות הציונית העולמית".
• בשנת 2013 הניח משרד המשפטים תזכיר חוק לשינוי בחוק קרן קיימת לישראל, שיכונה "חוק קרן קיימת לישראל (תיקון – הקרן הקיימת לישראל – גוף מבוקר), התשע"ד-2013.^[3] בין שאר ההנמקות לשינוי בחקיקה, מצוין בתזכיר: "הקרן הקיימת לישראל הוקמה לכתחילה כחברה בתחום המשפט הפרטי. יחד עם זאת, מעמדה של הקרן הקיימת לישראל מיוחד בכך שהוקמה מחדש בשנת 1953 בחוק ונוכח העובדה שביסוד יעדיה ותפקידיה מאז כינונה מצויות משימות לאומיות כלליות. הקרן הקיימת לישראל ממלאת תפקידים ציבוריים בעלי חשיבות ומפעילה סמכויות שבמהותן הן סמכויות שלטוניות מובהקות שאלמלא היו מבוצעות בידי הקרן הקיימת לישראל, הן היו מבוצעות בידי מוסד ממוסדות המדינה". מכאן מגיעים מנסחי החוק למסקנה, ש"מכלול מאפייניה של הקרן הקיימת לישראל, יעדיה, התפקידים הציבוריים אותם היא ממלאת והזיקה בינה ובין המדינה ורשויותיה מצדיקים הכפפת גוף זה לביקורת המדינה" (שם, שם).

ניתוח המצב הסטטוטורי של גופי הביקורת בקק"ל

• הביקורת בהסתדרות הציונית ובסוכנות נערכת על ידי אחד מגופי הביקורת הציבורית מקצועית בישראל. פרידברג (1986: 16) מנה את גופי הביקורת הציבורית העיקריים בישראל, ובהם: מבקר המדינה, מבקר ההסתדרות הכללית^[4] ומבקר ההסתדרות הציונית והסוכנות. יותר מזה, אליבא דפרידברג (שם, 24), "חוק מבקר המדינה, תקנון ההסתדרות הציונית וחוקת ההסתדרות מסמיכים את כל שלושת גופי הביקורת הציבורית הנדונים לבדוק כל אחד בתחומו – את פעולות הגופים המבוקרים".^[5]
• ב"חוקה של ההסתדרות הציונית העולמית והתקנות לביצועה" (יולי 2014), בסעיף 60 נקבעו מעמדו, תפקידיו, סמכויותיו וסדרי הדיווח של מבקר ההסתדרות הציונית. בין היתר נקבע בסעיף זה (פסקה 5), כי "המבקר ימסור דין וחשבון על תוצאות ביקורתו לקונגרס ולוועד הפועל, ואם יידרש לכך, לוועדה המתמדת לענייני תקציב וכספים, שהוקמה על ידי הוועד הפועל". עוד נקבע (פסקה 6), כי "המבקר וסגן המבקר יהיו בלתי תלויים במוסדות ובגופים המבוקרים על ידיהם ואחראים לפני הקונגרס והוועד הפועל בלבד". כלומר, הביקורת בהסתדרות הציונית אינה כפופה לאיש ומדווחת אך ורק למוסדות הרחבים של הארגון. מכוח הסעיף הנ"ל פסקה 8, "פרטי סמכויותיהם ותפקידיהם של המבקר וסגנו, דרכי פעולתם וסדרי עבודתם וחובות הגופים המבוקרים לגבי הביקורת ייקבעו בתקנון מיוחד, שיתקבל על ידי הקונגרס או הוועד הפועל". עיון ב"תקנון המבקר והמשרד לביקורת ההסתדרות הציונית העולמית" (11.6.1991), מעלה, כי בסעיף 5 לתקנון נקבע מפורשות ש"המבקר אינו כפוף בעבודתו^[6] למרותו של איזשהו גוף ואינו תלוי בו ואחריותו בפני הקונגרס והוועד הפועל בלבד (על פי סעיף 60, פסקה 6, של החוקה)". ניתן לראות בחוקת ההסתדרות הציונית מסמך המקנה למבקר ההסתדרות הציונית מעמד חוקתי בתוך ההסתדרות הציונית, בדומה למעמדו החוקתי של מבקר המדינה שנקבע בחוק יסוד: מבקר המדינה ובעיקר בסעיף 6 בו כלהלן: "במילוי תפקידיו יהיה מבקר המדינה אחראי בפני הכנסת בלבד ולא יהיה תלוי בממשלה". בהקשר הזה ניתן לערוך הקבלה בין מעמדו של "תקנון המבקר" מול חוקת ההסתדרות הציונית כמעמדו של חוק מבקר המדינה, התשי"ח-1958 [נוסח משולב] למעמדו מול חוק יסוד: מבקר המדינה. פרידברג (שם, 23) מציין ש"הדעת נותנת, שחוק מבקר המדינה עמד לנגד עיניהם של מעצבי תקנון מבקר ההסתדרות הציונית".^[7] 
• פרידברג (111:1988) מציין שהביקורת בהסתדרות הציונית ובסוכנות החלה ב-1947, שנה לפני קום מדינת ישראל. עוד מציין Friedberg (112:1988) שחלק ניכר ממקורות אלה הם מקורות של תרומות מחוץ למדינה – מגביות וגיוס תרומות מיהודים מחוץ לישראל וכן מענקים של ממשלת ארה"ב. מקורות חיצוניים אלה מעלים סוגיה נוספת – אין למבקר המדינה אפשרות חוקית לבדוק ביצוע של תקציב הסוכנות, שחלקו הארי מורכב ממקורות הכנסה שמקורם כלל אינו בישראל. אמנם אין בכוונת מבקר המדינה ואין בסמכותו לבקר את פעולות הסוכנות היהודית, אלא לבחון את הפעילות של קק"ל בלבד, אך גם חלק מפעולות קק"ל מתוקצבות מתרומות מחו"ל, ואגב זאת יש חשש לפגיעה אפשרית בפעולות של ההסתדרות הציונית ושל הסוכנות בחו"ל, לרבות בפעולות של קק"ל. לא בכדי, ההסתדרות הציונית והסוכנות אינן מוזכרות במסגרת הגופים המבוקרים על ידי מבקר המדינה ומפורטים בחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]. ולא בכדי, תזכיר החוק המדובר בא לכסות על החלל המשפטי הקיים בחקיקה העכשווית על ידי חקיקה עקיפה, שיהיו לה השפעות על סוגי הגופים הנתונים לביקורתו של מבקר המדינה, המפורטים בחוק מבקר המדינה בסעיף 9.^[8]
• לכן, לדעת כותב שורות אלה, קיימת אמנם אפשרות לכאורית לביצוע ביקורת של מבקר המדינה בקק"ל,[9] אך זאת אפשרות דחוקה. לדעת כותב שורות אלה דרך המלך לעריכת ביקורת מקיפה בקק"ל היא הליכה באחת משלוש חלופות שעל ידי הפעלתן ניתן להסמיך את מבקר המדינה לקיים ביקורת בקק"ל: א. שינוי בחקיקה; ב. החלטת הכנסת; ג. הסכם בין ההסתדרות הציונית והסוכנות לבין הממשלה, ובדרך זאת לא פסע מבקר המדינה
• עוד מציין פרידברג (, p. 112), כי המבנה של הביקורת הציבורית מבוסס על שתי הנחות יסוד: הראשונה – אי-תלות מוחלטת של הגוף המבקר מהמוסד שאת פעולותיו הוא מבקר, ושנייה – זכותם של התורמים למוסד ושל אלה הנהנים מפעולותיו לקבל דוחות סדירים, אמינים ובלתי תלויים על הניהול והוצאות הכספים של התרומות שנתקבלו מהציבור. בין הגופים המבוקרים מציין פרידברג את קק"ל הדואגת לרכישה, לפיתוח ולייעור של ארץ ישראל. לקק"ל יש חוקה משלה כגוף בינלאומי התנדבותי החסר יכולת אכיפה. מבחינה פוליטית, ההסתדרות הציונית והסוכנות אינן נתונות למגבלות הרגילות ולנשיאה באחריות ציבורית הנדרשת ממינהל המדינה ונהנות ממידה רבה של אוטונומיה וגמישות. בתוך כך, יודע פרידברג לספר לקורא, שההסתדרות הציונית גמרה אומר להקים מסגרת של ביקורת ציבורית כבר בשנת 1925. בפועל, מונה המבקר הראשון רק בשנת 1947 (Ibid., pp. 112-113).
• על רקע האמור לעיל יש להציב את מורכבותה ורגישותה של הסוגיה על כל היבטיה:
  • מחד גיסא, הצד המשפטי מאפשר לכאורה ביקורת של מבקר המדינה בקק"ל, על יסוד סעיף 9 (5) לחוק מבקר המדינה ועל יסוד כתב ההאמנה[10] מ-28.11.1961 בין ממשלת ישראל וקק"ל, שבו סוכם בין השאר על הקמתה של "המועצה הקיימת ליד הקרן הקיימת לישראל לענייני הכשרת המקרקעים ופיתוחם, (אשר) תקבע את מדיניות הפיתוח בהתאם לתוכנית הפיתוח החקלאית של שר החקלאות, תאשר הצעת תקציב של מנהל הפיתוח, תפקח על פעולות מנהל הפיתוח ועל אופן ביצועו את האמנה הזאת. מספר חברי המועצה יהיה 13: מחציתם פחות אחד ימונו על ידי הממשלה".

מעבר לצד המשפטי, לצד התומך בהפעלת הביקורת של מבקר המדינה חשוב להוסיף את העובדה שמבקר המדינה פועל מתוך פרספקטיבה ביקורתית רחבה יותר, משום שהוא רשאי לבדוק את מערכת יחסי הגומלין שבין הממשלה לבין קק"ל בהיבטים יותר רחבים מאשר מבקר ההסתדרות הציונית העולמית והסוכנות היהודית לארץ ישראל, שאין בסמכותו לחרוג מתחומי הגופים המבוקרים שעל ביקורתם הוא מופקד. מבחינה זו ניתן לראות כאן מצב של היררכיה של גופי הביקורת, כאשר מבקר המדינה מצוי בראש הפירמידה.

• על חשיבות מעמדה ותרומתה המערכתית של ביקורת המדינה ניתן ללמוד גם מהמידע דלהלן: באוקטובר 2015 פורסם בתקשורת ש"משרד מבקר המדינה משלים בימים אלה דוח שצפוי להעלות ממצאים חמורים על אודות פעילות קרן קיימת לישראל (קק"ל). בקרב גורמים משפטיים קיימת הערכה שלפיה ממצאי הדוח יועברו גם ליועץ המשפטי לממשלה יהודה וינשטיין מכיוון שהם מעלים חשש לביצוע מעשים פליליים. בין השאר נמצא כי גורמים בכירים במוסדות קק"ל, שעסקו בפרויקטים בפיתוח הקרקעות, טיפלו בהם למרות שיש להם לכאורה נגיעה אישית בקרקעות. … משרד מבקר המדינה אישר כי "המשרד נמצא בשלבים המתקדמים במטלת הביקורת 'פיתוח מקרקעי ישראל בידי קק"ל'. כבר בקרוב יישלחו לגורמים השונים שיש להם נגיעה לעניין טיוטות לצורך קבלת התייחסותם לממצאים החמורים שנחשפו במהלך הבדיקה בקק"ל. מבקר המדינה השופט יוסף שפירא גם נועד עם יו"ר הסוכנות היהודית נתן שרנסקי, זאת במסגרת פעילותו של המבקר להחיל ביקורת של משרדו על כל המוסדות הלאומיים".
• מאידך גיסא, גם אם נקבל את הדעה שמייצג מבקר המדינה באשר לסמכותו לבקר את מקצת מפעולות קק"ל, הרי שאין זאת הליכה בדרך המלך: הדרך המשפטית והציבורית הנאותה להפעיל ביקורת על קק"ל היא הליכה באחת משלוש החלופות שהחוק קבע, כמפורט לעיל.
• בנוסף, יש להביא בחשבון שיש לכך השלכות על מעמדו של מבקר ההסתדרות הציונית העולמית והסוכנות היהודית[11]. זאת מאחר שכבר הוזכר לעיל שבסעיף 16 של אותה אמנה הוסכם שקק"ל תמשיך לשמש מוסד של ההסתדרות הציונית העולמית.

פעולות הביקורת החיצונית בקק"ל – סקירה

מטרות הביקורת (גם) בקק"ל הן: "לקבוע אם הגופים המבוקרים פועלים באורח חוקי, בגדר התקציב המאושר, ותוך קיום כללי המינהל הכספי והכללי התקין, ואם הם פועלים בחיסכון, ביעילות ותוך שמירה על טוהר המידות" (משרד המבקר, דין וחשבון לשנת 2013: 9).

בין השנים 2003 ל-2015 פרסם מבקר ההסתדרות הציונית והסוכנות 24 נושאי ביקורת על ההסתדרות הציונית, 17 נושאי ביקורת על קק"ל ו-9 נושאים נוספים בקרן היסוד. רוב הנושאים  שנבדקו בקק"ל, כגון אגף מערכות מידע, מאגרי מים, אגף התחזוקה, המכון לחקר מדיניות קרקעית ושימושי קרקע ע"ש ש' בן שמש, מינהל פיתוח הקרקע, פרויקטים בתחום הכשרת קרקע ודרכים, שכר ומשאבי אנוש, ניהול השקעות ועוד, היו נושאים תפעוליים ולא אסטרטגיים ובעלי השלכות רוחב על מערכת יחסי הגומלין שבין המדינה לבין קק"ל. עם זאת, יש בהם כדי להצביע על דגשי הביקורת ועל החשיבות הרבה שמייחס מבקר ההסתדרות הציונית לביקורת בקק"ל.

באשר לשקיפות של קק"ל: ביולי 2015 פורסם שמשרד המשפטים כפה על קק"ל להירשם כחברה לתועלת הציבור (חל"צ). כתוצאה מכך נאלצה קק"ל לפרסם את הדוחות הכספיים שלה לציבור ובכך הועצמה השקיפות של נתוניה הכספיים לציבור (אמסטרדמסקי, שם, 7.7.2015).

דיון

• עיון בדוחות הביקורת של מבקר ההסתדרות הציונית בתקופה שבין 2010 ל-2013 מעלה, כי למעלה משליש מהנושאים המבוקרים בשנים הללו בוצעו בקק"ל. לפי פרידברג, אין כל ספק שמעמדו של מבקר ההסתדרות הציונית העולמית והסוכנות היהודית לא"י הוא כשל מבקר ציבורי-מקצועי ולא של מבקר פנימי. המבקר אחראי בפני הגופים הרחבים של שני הארגונים (Friedberg, 1988:112).

די אפוא בנתונים אלה כדי לסתור על פניה את הנחת היסוד שהביע מבקר המדינה בדבריו בכנס שנערך באוניברסיטת חיפה ב-5.6.2014. מבקר המדינה יצא מתוך נקודת הנחה מוטעית שעל פיה "לבוא היום ולהגיד שקרן קיימת לישראל לא צריכה להיות מבוקרת, זה לא מתאים למאה ה-21. הקרן הקיימת לישראל מהווה מדינה בתוך מדינה. יש לה תקציב משלה, הכול סגור וחסוי ולא שקוף".^[12]

• בעיני כותב שורות אלה אין ספק שחיוני לערוך ביקורת ולפרסם ליקויים גם על קק"ל, בוודאי לנוכח ההיקף הכספי של פעולותיה ורוחב היריעה שלהן. עם זאת, נשאלת השאלה האם מצב עניינים שבו קק"ל תבוקר בו זמנית על ידי שני מוסדות של ביקורת ציבורית מקצועית הוא נכון, כלומר מצב שבו גם משרד מבקר המדינה וגם מבקר ההסתדרות הציונית והסוכנות יבקרו את קק"ל ייצור כפילות מסוימת, אף שאין מניעה משפטית לכפילות כזאת בביקורת הציבורית.
• שאלה נוספת – שאלת כפל הביקורת הציבורית על אותו גוף, שמחייבת הרחבה:
• ייתכן מצב מורכב שבו קק"ל תהיה גוף מבוקר הן של משרד מבקר המדינה והן של מבקר ההסתדרות הציונית בו זמנית, בהיות שני גופים אלה מבקרים ציבוריים-מקצועיים.
• התוצאה הבלתי נמנעת ממצב דברים זה היא ערעור מעמדו של מבקר ההסתדרות הציונית והסוכנות, ולמעשה הבעת אי אמון במוסד מבקר ההסתדרות הציונית והסוכנות וביכולתו לבצע את ביקורתו כדבעי.^[13]
• חשוב להדגיש כאן כי מעמדו של האחרון הוא מעמד של מבקר ציבורי-מקצועי ולא של מבקר פנימי, והתוצאה בפועל תהיה שמבקר ההסתדרות הציונית והסוכנות יהפוך במקרה הטוב למעין מבקר פנימי שפעולותיו תבוקרנה אף הן על ידי מבקר המדינה (גם אם לא להשלכות אלה התכוון מבקר המדינה בדבריו).
• בעניין זה יש לחשוב גם על תרחיש בעייתי נוסף – לפיו תקוים ביקורת בקק"ל על ידי שני מבקרים ציבוריים-מקצועיים בו-בזמן, ואף על נושאים זהים. במקרה זה גם אם שני גופי הביקורת יערכו את ביקורותיהם על פי תקני הביקורת האוניברסליים, קיימת סכנה שממצאי האחת לא יחפפו את ממצאיה של הביקורת האחרת על כל ההשלכות העלולות לנבוע מכך.
• בחינת הסוגיה הנדונה מן ההיבט של אחד מתקני הביקורת המתקדמת – תקן החיסכון (Economy), מעלה שאלה בדבר בזבוז משאבי ציבור בעצם קיומה האפשרי של ביקורת ציבורית כפולה, ולעתים חופפת, על קק"ל ופעולותיה.^[14]
• הדילמות הנובעות ממצב דברים זה הן, בין היתר, חשש לאמירות סותרות, כפל ביקורת, והחלשת הביקורת החיצונית מטעם המוסדות הלאומיים.

סוף דבר – אירועים של העת האחרונה

• ב-12.10.2015 אישרה הממשלה הסכם בינה לבין קק"ל "שיפתח את הפתח לניסוח אמנה חדשה בין הצדדים שתחליף את זו מ-1961" (אמסטרדמסקי, שם, 13.10.2015). לדעת אמסטרדמסקי, "המדינה שמה את ידה על מקור כספי כמעט אינסופי. בנוסף, מעתה הכסף ילך לאן שהממשלה תגיד וקק"ל לא תוכל לחלק תקציבים לארגונים ולרשויות מקומיות בחוסר שקיפות" (שם, שם). בשלב זה מוקדם מדי להעריך האם באמנה החדשה תהיה התייחסות כלשהי למעמדו העתידי של מבקר המדינה בכל הקשור להחלת ביקורת שלו וביצועה בקק"ל.

·         עם חתימת שורות אלה נודע כי ב-20.10.2015 פורסמה הודעה לתקשורת מטעמה של ועדת הכנסת לענייני ביקורת המדינה, שכותרתה "נדחתה ההצעה להפוך את הקרן הקיימת לגוף מבוקר". בכך נסתם (לפי שעה) הגולל על הניסיון להכפיף את כלל קק"ל לביקורת המדינה. ימים יגידו האם בכך תמו הניסיונות לשנות את המצב.

סיכום

מטרתה של רשימה זו הייתה לבחון את ישימותה ומועילותה, הלכה למעשה, של הצעתו של מבקר המדינה, השופט (בדימוס) יוסף שפירא, להפעיל ביקורת ולו חלקית על קק"ל.

• דרך המלך: הפעלת ביקורת על קק"ל דרך "חרך" משפטי היא דרך דחוקה. דרך המלך היא באמצעות: א. שינוי בחקיקה; ב. החלטת הכנסת; ג. הסכם בין ההסתדרות הציונית והסוכנות לבין הממשלה, ובדרך זאת לא פסע מבקר המדינה.
• שאלת הכיסוי הביקורתי של קק"ל: מעיון בנתונים שפרסם מבקר ההסתדרות הציונית העולמית והסוכנות היהודית לארץ ישראל, עולה שלמעלה משליש מנושאי הביקורת בתקופה שבין 2003 ל-2013 היו על קק"ל, יחידותיה ופעולותיה. כלומר היה כיסוי ביקורתי לא מועט. עם זאת, עיון ברשימת נושאי הבדיקות מעלה כי מרביתן עסקו בנושאים תפעוליים ולא בסוגיות אסטרטגיות רגישות. בסוגיות מורכבות אלה, המקיפות את יחסי הגומלין בין קק"ל למדינה, גם מהיבט של משרדי הממשלה ותוך נגישות למידע שבידיהם, יש למבקר המדינה יתרון.
• מגבלות בגין מימון חו"ל: מקורות המימון של ההסתדרות הציונית, של הסוכנות ושל קק"ל הם בחלקם מחו"ל. על כן נשאלת השאלה האם אין בכניסתו של מבקר המדינה לביקורת בקק"ל משום פגיעה אפשרית בפעולות של ההסתדרות הציונית ושל הסוכנות בחו"ל, לרבות קק"ל. סבורני כי לא לכך התכוון מבקר המדינה.
• פגיעה במעמד מוסד הביקורת הציבורית בהסתדרות הציונית: עצם כניסתו של מבקר המדינה לביצוע ביקורת בקק"ל יוצרת התנגשות אפשרית בין שני מוסדות של ביקורת ציבורית-מקצועית ופגיעה במעמדו של מוסד הביקורת הציבורית בהסתדרות הציונית, דווקא בשל מעמדו הייחודי.

הנה כי כן, יש לתת את הדעת לשאלות אלה ובכלל זה: כיצד יש לנהוג במקרה של שני מבקרים ציבוריים-מקצועיים באותו גוף מבוקר?

מקורות

1. אמסטרדמסקי, שאול, "השקיפות תמשיך לחכות: נכשל הניסיון להכפיף את קק"ל לביקורת מלאה של המבקר", כלכליסט, 31.12.2014.
2. אמסטרדמסקי, שאול, "קק"ל נאלצה לחשוף: ההכנסות ב-2014 הסתכמו ב-2.4 מיליארד שקל, עלייה של % 20", כלכליסט, 7.7.2015.
3. אמסטרדמסקי, שאול, "ניצחון מוחץ למדינה על קק"ל", כלכליסט, 13.10.2015.
4. החוקה של  ההסתדרות הציונית העולמית, יולי 2014.

5.      הכנסת ה-20, "נדחתה ההצעה להפוך את הקרן הקיימת לגוף מבוקר", הודעות הכנסת (ירושלים, הכנסת, הוועדה לענייני ביקורת המדינה, 20.10.2015).

1. חדשות חיפה והצפון, גיליון1658, 11.6.2014.
2. חוק יסוד: מבקר המדינה.
3. חוק מבקר המדינה, התשי"ח-1958 [נוסח משולב].
4. חוק קרן קיימת לישראל, תשי"ד-1953.
5. כתב האמנה בין ממשלת ישראל וקק"ל https://www.kkl.org.il/?catid=%7BDFF37A9A-254F-4764-B2C8-7A5EEF5D6043%7D
6. מבקר המדינה,

https://www.mevaker.gov.il/he/About/Pages/GufimMevukarim.aspx#%D7%94

1. סיון, מאיר, "ביקורת תלת ממדית בהסתדרות הכללית", המבקר הפנימי, חוברת 92 (ת"א, לשכת המבקרים הפנימיים, 1999, ספטמבר, עמ' 138-135.
2. פרידברג, אשר, "מאפייני הביקורת הציבורית בישראל", עיונים בביקורת המדינה, חוברת 40 (ירושלים, משרד מבקר המדינה, 1986).
3. צימוקי, טובה, "המבקר יחשוף: חשש למעשים פליליים בקק"ל", YNET, אוקטובר 2015). https://www.ynet.co.il/articles/0,7340,L-4706093,00.html
4. תזכיר חוק קרן קיימת לישראל (תיקון – הקרן הקיימת לישראל – גוף מבוקר), התשע"ד-2013, סימוכין 803-99-2013-082089.
5. תקנון המבקר והמשרד לביקורת ההסתדרות הציונית העולמית (1991).
6. Friedberg, Asher, "Public Audit at the World Zionist Organization and the Jewish Agency for Israel, 1947-1984, The Jewish Journal of Sociology, vol. XXX. No. 2, 1988, pp. 111-119.

[1] עיון באתר האינטרנט של מבקר המדינה באוקטובר 2015, מעלה כי בפועל לא צוינה קק"ל כגוף מבוקר על ידי מבקר המדינה. יש להניח שהסיבה לכך נעוצה בעובדה שמבקר המדינה בוחן רק סוגיות ספציפיות מתוך מכלול נושאי הפעילות של קק"ל.   (https://www.mevaker.gov.il/he/About/Pages/GufimMevukarim.aspx#%D7%94

[2] כתב האמנה בין ממשלת ישראל וקק"ל https://www.kkl.org.il/?catid=%7BDFF37A9A-254F-4764-B2C8-7A5EEF5D6043%7D

[3] תזכיר חוק קרן קיימת לישראל (תיקון – הקרן הקיימת לישראל – גוף מבוקר), התשע"ד-2013, סימוכין: 803-99-2013-082089.

[4] בשנת 1995 בוטל משרד מבקר ההסתדרות הכללית ונותרה רק לשכת המבקר הפנימי של ההסתדרות. ראה בהקשר זה סיון (1999: 136).

[5] ראה בהקשר זה סיון ( שם: שם).

[6] יצוין כי נוסח הסעיף מדגיש שהמבקר אינו כפוף בעבודתו למרותו של איזשהו גוף, ומכאן עלול להשתמע שבנושאים שאינם קשורים לתהליך העבודה שלו הוא עשוי להיות כפוף לגוף או לבעל תפקיד כלשהו.

[7] בעת פרסום מאמרו של פרידברג טרם נתקבל ופורסם חוק יסוד: מבקר המדינה. זה האחרון פורסם במקורו בס"ח 1237 ב- 24.2.1988.

[8] חוק מבקר המדינה, התשי"ח-1958 [נוסח משולב],

[9] כאמור בנסיבות המצוינות בסעיף 9(6) לחוק מבקר המדינה: "כל אדם, מפעל, מוסד, קרן או גוף אחר, שיועמדו לביקורת על פי חוק, על פי החלטת הכנסת או על פי הסכם ביניהם ובין הממשלה".

[10] כאמור, סעיף 9(5) לחוק מבקר המדינה קובע שבין הגופים המבוקרים על ידי מבקר המדינה יהיו גם "כל חברה ממשלתית, כהגדרתה בחוק החברות הממשלתיות, תשל"ה-1975 (להלן –  חוק החברות הממשלתיות) וכן כל מפעל, מוסד, קרן או גוף אחר, שהממשלה משתתפת בהנהלתם". במקרה דנן, על יסוד החוק והאמנה אכן ענייננו בגוף מבוקר שהממשלה משתתפת בהנהלתו.

[11] בכלל זה כפילות הביקורות עלולה לפגוע במעמדו של מבקר ההסתדרות הציונית העולמית והסוכנות היהודית לארץ ישראל. וכאמור – היבט נוסף הוא רגישות גיוס התרומות בעולם ושאלת סמכות מבקר המדינה בסוגיות רגישות אלה

[12] ראה בתחילת המאמר.

[13] השווה: סיון, 1999: 137.

[14]  השווה: סיון, 1999: 138.

The post ביקורת ציבורית בקרן הקיימת לישראל – סוגיית כפל הביקורת החיצונית appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

אחד מנדבכי היסוד שעליהם מבוססת עבודתו של המבקר הפנימי הוא אי-תלות, שבשילוב עם האובייקטיביות הנדרשת מהמבקר מהווים את הבסיס לתוצרי הביקורת ולהערכתם על ידי כלל בעלי העניין, הן הפנימיים (הנהלה, ועדת ביקורת, דירקטוריון) והן החיצוניים (רגולטור, רואה החשבון המבקר) המשתמשים בתוצרי עבודתו של המבקר הפנימי.

השגת אי התלות של המבקר הפנימי היא אתגר מורכב מפני שקיימים לא מעט גורמים משפיעים, רבים מהם חיצוניים למבקר ואינם בשליטתו. יש לזכור שהמבקר הפנימי פועל בתוך ומטעם הארגון, מקבל משכורתו מהארגון ומשאביו מוקצים לו על ידי הארגון.

עבודת הביקורת הפנימית, מעצם טיבה, אמורה להעמיד תמונת מראה מקצועית ומדויקת מול כלל בעלי העניין של חולשות וחשיפות משמעותיות של הארגון לסיכונים, בכל תהליכי העבודה המרכזיים ויחידות הארגון השונות המבוקרים תקופתית. תמונת מראה זו כוללת גם ממצאים שליליים שלעיתים דורשים תכנית פעולה מיידית ואפקטיבית של ההנהלה הבכירה להקטנת החשיפות המזוהות, תוך הצפת ממצאים אלו לכלל בעלי העניין ובכללם הגורמים הממונים ו/או המפקחים על ההנהלה הבכירה.

למותר לציין כי לפגיעה באי התלות של המבקר הפנימי יש השלכות מהותיות על הממשל התאגידי של הארגון בכללותו, ועל יכולתו לעשות שימוש ראוי ומקדם בתוצרי עבודתו המקצועיים של המבקר הפנימי.

מטרתו של מאמר זה היא לסקור את הגדרות אי התלות בתקנים המקצועיים, לבדוק את היקף הפגיעה באי התלות, כפי שתוקף בסקר שנעשה לאחרונה בארה"ב בין כ-500 מבקרים פנימיים ראשיים, לסקור את ההתייחסות למעמד המבקר הפנימי בחקיקה וברגולציה רלוונטיים, לציין התייחסות משפטית למעמד זה מצד אחד מברי הסמכא בתחום, לסקור את התקנים המקצועיים של לשכת המבקרים הפנימיים העולמית ה-IIA בהקשר זה ומשמעותם, ולבסוף, להציע מודל לחיזוי רמת אי התלות של המבקר הפנימי הראשי כנגזרת מ-10 קריטריונים רלוונטיים הניתנים להערכה מוקדמת בכל ארגון.

 הגדרת "אי-תלות" בתקנים המקצועיים

ביאור לתקן 1100 של ה-IIA: אי-תלות ואובייקטיביות:

"אי-תלות הינה החופש מתנאים המאיימים על יכולתה של הביקורת הפנימית למלא את אחריותה באופן בלתי מוטה. להשגת מידת אי התלות הדרושה ליישום אפקטיבי של אחריות הביקורת הפנימית, תהיה למבקר הפנימי הראשי גישה ישירה ובלתי מוגבלת להנהלה הבכירה ולדירקטוריון. ניתן להשיג זאת באמצעות מערכת יחסים של דיווחים הדדיים. איומים על אי התלות חייבים להיות מטופלים ברמת המבקר היחיד, ברמת מטלת הביקורת, ברמה הפונקציונאלית וברמה הארגונית.

אובייקטיביות הינה גישה נפשית בלתי מוטה, המאפשרת למבקרים הפנימיים לבצע מטלות ביקורת, באופן שבו הם מאמינים בתוצר עבודתם וללא התפשרות על איכותה. אובייקטיביות דורשת שהמבקרים הפנימיים לא יכפיפו לאחרים את שיפוטם בענייני ביקורת. איומים על אובייקטיביות חייבים להיות מטופלים ברמת המבקר היחיד, ברמת מטלת הביקורת, ברמה הפונקציונלית וברמה הארגונית".

התקן מניח כי חופש מתנאים המאיימים על יכולת הביקורת הפנימית למלא את אחריותה ניתן להשגה באמצעות מערכת דיווחים.

התקן לא כולל כלים מעשיים לטיפול באיומים על אי התלות, בפרט כאשר מקורם הוא ההנהלה הבכירה. יצוין כי תקני הIIA- מחייבים בפועל את המבקר הפנימי ולא מחייבים גורמים אחרים בארגון העלולים לפגוע באי-תלות המבקר[1].

היקף הפגיעה באי התלות – תוצאות סקר בקרב כ-500 מבקרים פנימיים ראשיים בארה"ב

במאמר Internal Audit in the Crosshairs""[2] שפורסם במקור ב:

Politics of Internal Auditing, Published by the IIA Research Foundation (IIARF) The

ועיקריו הוצגו בגיליון יוני 2015 של כתב העת של ה-IIA: "Internal Auditor", מביאים כותבי המאמר תוצאות סקר שבוצע לאחרונה בקרב כ-500 מבקרים פנימיים ראשיים בארה"ב. להלן עיקרי תוצאות הסקר:

• 55% ציינו שהם הונחו להשמיט או לשנות ממצא ביקורת חשוב לפחות פעם אחת, כאשר 17% ציינו שזה קרה להם לפחות 3 פעמים.
• כמעט מחצית מהנשאלים (50%) ציינו שהם הונחו לא לבצע עבודת ביקורת באזור שהמבקר הפנימי הראשי העריך כאזור סיכון גבוה.
• 32% הונחו לבצע עבודת ביקורת באזורי סיכון נמוך באופן שמנהל בכיר יוכל לפתוח בחקירה או להתנקם באדם אחר בארגון.
• לכמעט מחצית (50%) מהמבקרים הפנימיים הראשיים שרואיינו היה לפחות ניסיון אחד שבו נחשפו ללחץ פוליטי, באופן המתואר על ידם לעתים כ"רגע מכונן". לטענת מחברי הסקר, רוב המבקרים הפנימיים הראשיים יתנסו בלחץ פוליטי בארגון בנקודה מסוימת בקריירה שלהם.

תוצאות הסקר מדאיגות. משמעותן שקיים פער מהותי ולא מבוטל בין ההגדרה התיאורטית של מושגי אי התלות והאובייקטיביות כפי שהם באים לידי ביטוי בתקנים המקצועיים הבינלאומיים המחייבים את המבקרים הפנימיים בעבודתם, לבין מימושם בפועל. נקודת תורפה אפשרית היא כפיפותם בפועל של המבקרים הפנימיים להנהלה הבכירה, המהווה את מושא ביקורתם המרכזי כאחראית ליישום המדיניות שמתווה הדירקטוריון.

התייחסות למעמד המבקר הפנימי בחקיקה וברגולציה רלוונטיים

סעיף 148 לחוק החברות קובע כי "הממונה הארגוני על המבקר הפנימי יהיה יושב ראש הדירקטוריון או המנהל הכללי, כפי שייקבע בתקנון, או בהעדר הוראה בתקנון, כפי שיקבע הדירקטוריון".

סעיף 49 (ב) לחוק החברות הממשלתיות קובע כי "המבקר הפנימי יהיה כפוף ליושב ראש הדירקטוריון ולמנהל הכללי ויגיש את דוחותיו והצעותיו לדירקטוריון".

בסקטור הבנקאי, וכן בשוק ההון הביטוח והחיסכון, שבהם הרגולציה המקומית יונקת מהתקינה הבינלאומית הרלוונטית ומחוברת אליה בטבורה (בסקטור הבנקאי – הנחיות תקינת באזל, בסקטור שוק ההון הביטוח והחיסכון – הנחיות תקינת סולבנסי), אנו מוצאים את ההנחיות הבאות:

אגף שוק ההון ביטוח וחיסכון – משרד האוצר: קודקס הרגולציה:

שער 5 – חלק 1 – ממשל תאגידי וניהול סיכונים – פרק 8 – ביקורת פנימית

סעיף 3.2.1 (א) הבטחת אי-תלות מערך הביקורת הפנימית:

• "הממונה הארגוני על מבקר פנימי בגוף מוסדי יהיה יושב ראש הדירקטוריון…".

המפקח על הבנקים – ניהול בנקאי תקין – הוראה 307: פונקציית ביקורת פנימית:

פרק ב' – מאפייני הפונקציה – פונקציה בלתי תלויה – מעמד הפונקציה:

סעיף 9. "פונקציית הביקורת הפנימית תהיה כפופה ישירות ליושב-ראש הדירקטוריון, בהתאם למסגרת הממשל התאגידי…".

ניכר פער בין הנחיות הרגולציה בסקטור הבנקאי ובסקטור שוק ההון הביטוח והחיסכון בנושא מעמד המבקר הפנימי, לבין הוראות החוקים הרלוונטיים לחברות וארגונים בסקטורים אחרים, שבהם המבקר הפנימי עדיין מוכפף להנהלה הבכירה באופן כזה או אחר. הפער נובע מחשיפה ואימוץ מחייבים של הסקטור הבנקאי וסקטור שוק ההון הביטוח והחיסכון להנחיות התקינה הבינלאומית. באשר לחקיקה הקיימת בנושא מעמד המבקר הפנימי לגבי חברות במדינת ישראל ובכללן חברות ממשלתיות, ניתן לראות התייחסות משפטית של פרופ' יוסף גרוס בפסקה הבאה:

האם יכול המבקר הפנימי להיות כפוף ליותר מגורם אחד בו זמנית?

במאמר בעיתון "הארץ", תחת הכותרת "מבקר פנים אינו יכול להיות משרתם של שני אדונים", כותב פרופ' יוסף גרוס[3] כי חוק החברות קובע כי הממונה הארגוני על המבקר יהיה יו"ר הדירקטוריון או המנכ"ל – לפי הקבוע בתקנון החברה או בהתאם להחלטת הדירקטוריון.

בהתייחסות לחוק החברות הממשלתיות אומר פרופ' גרוס כי הכפיפות הדואלית שבחוק, המכפיפה את המבקר הפנימי להוראות המנכ"ל, היא עקב אכילס בעצמאותו של המבקר הפנימי בחברה. פרופ' גרוס מוסיף ואומר כי "נוצר מצב שבו המבקר הפנימי בוחן את פעילות החברה, את נטילת הסיכונים בה ואף את תקינות פעולות ההנהלה וחוקיותן, אך המשאבים הכלכליים והאנושיים לפעילותו כפופים להוראות המנכ"ל, שעשוי להביא בפועל לצמצום סמכויותיו ולקיצוץ כנפיו. המבקר הפנימי בוחן בתפקידו את התנהלות המנכ"ל, לו הוא כפוף. המנכ"ל קובע את שכרו ואת תנאי עבודתו. לברז התקציבי וליכולת לשלוט על כוח האדם הכפוף למבקר הפנימי יש השפעה בלתי מבוטלת על איכות תפקידו של המבקר הפנימי. המבקר הפנימי אינו יכול להיות משרתם של שני אדונים או אף של שלושה. הן חוק החברות והן חוק החברות הממשלתיות חייבים בתיקון שיביא לעצמאותו של המבקר הפנימי ולניתוקו מכבלי הכפיפות למנכ"ל".

לדירקטוריון או לוועדת ביקורת אין בדרך כלל את המשאבים לניהול ברמה יומיומית ושוטפת. לכן עיקר הקשר של המבקר הפנימי הראשי בכל מה שקשור להתנהלות השוטפת בארגון מתקיים עם ההנהלה הבכירה. אם מעוניינים "להביא לעצמאותו של המבקר הפנימי ולניתוקו מכבלי הכפיפות למנכ"ל" (כדברי פרופ' גרוס), יש צורך לייצר הליך התנהלות בארגון שבו כל צורכי הביקורת הפנימית יקבלו מענה דרך מזכירות יו"ר הדירקטוריון ובפיקוחו, מפני שהמבקר הפנימי הראשי הוא למעשה שלוחו וזרועו הארוכה של הדירקטוריון.

הקשר בין המבקר הפנימי, הדירקטוריון וההנהלה הבכירה בראי התקנים המקצועיים

התקנים המקצועיים הבינלאומיים של הIIA- כורכים יחדיו את הדירקטוריון וההנהלה הבכירה בחלק ניכר ממערך התקנים. התקנים המקצועיים מעניקים להנהלה הבכירה מעמד כמעט זהה לדירקטוריון מול המבקר הפנימי הראשי. לציפיות ההנהלה הבכירה מהביקורת הפנימית יש משקל מהותי בהתנהלות הנדרשת מהביקורת הפנימית, הן בשלבי ניסוח מסמך כתב האמנה של הביקורת הפנימית ואישורו (תקן 1100 ו-mplementation Guide 1000 החדש), הן לגבי מתן חוות דעת או מסקנות של הביקורת הפנימית (תקן 2410  ותקן 2450), והן לגבי מרכיבי ממשל ופיקוח תאגידי ותכניות הביקורת לבדיקתם (Implementation Guide 2110 החדש). דיווח להנהלה הבכירה נדרש הן בשלבי הדיווח על ביצוע תכנית העבודה המאושרת (תקן 2060) והן לגבי תוצאות התכנית להבטחת איכות ושיפור תפקודה של הביקורת הפנימית (תקן 1320). מעבר לכך, לפי תקן 1312, אחת למספר שנים נבדק תפקודה של פונקציית הביקורת הפנימית ע"י גורם חיצוני בלתי תלוי ביחס לדרישות התקנים המקצועיים המקובלים, ובשלב זה ההנהלה הבכירה נשאלת האם המבקר הפנימי עמד בציפיותיה, כך שלמעשה הערכת המבקר הפנימי הראשי תלויה,  באופן מהותי, בהנהלה הבכירה, שהיא המבוקרת הראשית של פעילות הביקורת הפנימית.

כדי להדגים את רוח התקנים הבינלאומיים במצבים של מחלוקת מקצועית בין המבקר הפנימי הראשי לבין ההנהלה הבכירה, נפנה לסעיף 5 (ב) Practice [4]Advisory 2060-1 המנחה כדלקמן: "כאשר המבקר הפנימי הראשי מאמין שההנהלה הבכירה הסכימה לרמת סיכון שהארגון מחשיב ללא מקובלת, המבקר הפנימי הראשי חייב לשוחח על הנושא עם ההנהלה הבכירה כמונחה בתקן 2600. המבקר הפנימי הראשי צריך להבין את בסיס ההנהלה להחלטה, לזהות את הגורם לכל אי הסכמה ולקבוע האם להנהלה יש את הסמכות לקבל את הסיכון. אי הסכמות יכולות להתייחס לסבירות סיכון וחשיפה פוטנציאלית, הבנה של התיאבון לסיכון, עלויות, ורמת בקרה. עדיף, שהמבקר הפנימי הראשי יפתור את אי ההסכמות עם ההנהלה הבכירה". המסר העולה מהנחיה זו הוא של עדיפות ברורה לייצור ממצאים והמלצות מוסכמים עם ההנהלה הבכירה, והצגת אי הסכמות לדירקטוריון, במשותף, רק אם אין ברירה וההדורים לא יושרו בין המבקר הפנימי הראשי ולמבוקר הראשי.

 אם כן, לאחר ניתוח מורכבות האתגר בשמירת אי-תלותו של המבקר הפנימי הראשי, נשאלת השאלה, בבואנו לארגון או חברה מסוימת, האם נוכל לחזות את רמת אי התלות של המבקר לפי המאפיינים הספציפיים של סביבת הארגון, תרבות הארגון וכישורי המבקר עצמו? לצורך כך, מוצע להלן מודל המשקלל תוצאות הערכה של 10 קריטריונים שונים, הן של הארגון עצמו והן של המבקר הפנימי הראשי, ומאפשר לחזות את רמת אי התלות של המבקר הפנימי הראשי.

מודל לחיזוי רמת אי התלות של המבקר הפנימי הראשי

הסבר: אופיינו כ-10 קריטריונים רלוונטיים הניתנים להערכה מוקדמת בכל ארגון. קריטריונים אלו משפיעים על פוטנציאל אי-תלותו של המבקר הפנימי הראשי. 7 מתוך 10 הקריטריונים אינם בשליטתו של המבקר אלא בסביבה הארגונית ומאפייני הארגון. בטור המסומן בירוק ניתנו הערכות גבוהות לכל אחד מהקריטריונים ולכן רמת אי התלות החזויה גבוהה. בטור המסומן באדום ניתנו הערכות נמוכות לכל אחד מהקריטריונים ולכן אי התלות החזויה נמוכה. הספקטרום של פוטנציאל ההערכה של רמת אי התלות החזויה של המבקר הפנימי נמצא בין שני הקצוות הללו. התוצאות המתקבלות יכולות להשפיע על הערכת איכות הביקורת הפנימית בכללותה ועל פוטנציאל ההסתמכות על תוצריה.

 סיכום

במאמר זה נסקרו הגדרות אי התלות בתקנים המקצועיים, נבדק היקף הפגיעה באי התלות, כפי שתוקף בסקר שנעשה לאחרונה בארה"ב בין כ-500 מבקרים פנימיים ראשיים, נסקרה ההתייחסות למעמד המבקר הפנימי בחקיקה וברגולציה רלוונטיות תוך ציון התייחסות משפטית למעמד זה מצד אחד מברי הסמכא בתחום, נסקרו התקנים המקצועיים של לשכת המבקרים הפנימיים העולמית הIIA- המשליכים על אי-תלותו של המבקר הפנימי הראשי ומשמעותם, ולבסוף, הוצע מודל לחיזוי רמת אי התלות של המבקר הפנימי הראשי כנגזרת מ 10 קריטריונים רלוונטיים הניתנים להערכה מוקדמת בכל ארגון.

לאור ניתוח הנתונים שבמאמר, אפשר להגיע למסקנה ששינוי חקיקתי לחיזוק מעמדו וכפיפותו של המבקר הפנימי הראשי בכמה חוקים מרכזיים, ובכללם חוק החברות וחוק החברות הממשלתיות, כמו גם בחוק הביקורת הפנימית, הוא פתרון חלקי בלבד לנושא אי-תלותו הרצויה של המבקר הפנימי הראשי. זאת לאור מערך התקנים המקצועיים הבינלאומיים, המחייב את המבקר הפנימי הראשי בעבודתו והמתייחס בעיקרו להנהלה הבכירה ולדירקטוריון כמקשה אחת.

ההנהלה הבכירה והדירקטוריון מוסמכים להגדיר את ציפיותיהם מהמבקר הפנימי הראשי, לקבל ממנו דיווחים, להטיל עליו מטלות שונות, לאשר את  כתב האמנה של הביקורת הפנימית, ולדרוש ממנו אחריות למתן הבטחה באשר לתהליכי ממשל תאגידי, ניהול סיכונים, ובקרה.

מערך תקנים זה מחייב את המבקר הפנימי הראשי לרתום את ההנהלה הבכירה לשיתוף פעולה, ולשאוף להסכמות משותפות בכל תהליכי העבודה של הביקורת הפנימית ותוצריה, כדי לעמוד במערך התקנים המקצועיים הבינלאומיים ולמקסם את ערכה המוסף של פעילות הביקורת הפנימית והאפקטיביות שלה בארגון.

יוצא מכך כי שמירה על אי-תלות היא אתגר לא פשוט העומד לפתחו של המבקר הפנימי הראשי לאור כפיפותו הדואלית להנהלה הבכירה ולדירקטוריון, לאור מערך התקנים המקצועיים המחייב אותו בעבודתו ולאור השפעתם המהותית של מאפיינים החיצוניים לו, שאינם תלויים בו, הקובעים  במידה רבה את מידת אי-תלותו.

[1]  זאת למרות שברמה הפורמלית, חוק הביקורת הפנימית קובע בסעיף 4(ב) כי "המבקר הפנימי יערוך את הביקורת על פי תקנים מקצועיים מקובלים", אולם בפרקטיקה כוונת הסעיף נתפסת כמחויבותו של המבקר ולא כמחויבות אורגני העל של הארגון.

[2]  Larry E. Rittenberg, PHD, CIA, CPA & Patricia K. Miller, CIA, QIAL, CRMA, CPA Internal Auditor – June 2015 – P. 40-45

[3] פרופ' יוסף גרוס, ראש משרד עורכי הדין גרוס, קלינהנדלר, חודק, הלוי, גרינברג ושות'.

הארץ – 9 בינואר 2011

[4] בשנתיים הקרובות יומרו על ידי ה IIA כלל נוהלי הייעוץ להנחיות ליישום (Implementation guide)

The post אי-תלות של המבקר הפנימי – האומנם? appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.