ביקורת בשלט רחוק בארגונים גלובליים – יתרונות וחסרונות
בעידן גלובלי שבו יותר ויותר ארגונים פרוסים ברחבי העולם, ביקורת פנימית על פעילות של אתרי הארגון שמעבר לים היא אתגר לא מבוטל עבור המבקר הפנימי. העלויות והמשאבים הנדרשים לצורך ביקורת כזו מאלצים את הביקורת הפנימית למצוא דרכים יעילות ואפקטיביות לצורך ביצוע המשימה, ובהן גם קיום ביקורות מרחוק.
בעולם של גישה אלחוטית לאינטרנט, לטלפונים לווייניים ולעוד אמצעי תקשורת מגוונים כגון שיחות ועידה, לרבות בווידאו (חלקם אף חינמיים או בעלות שולית), ניתן לבצע ביקורת על פעילויות הפרוסות ברחבי העולם בלי לעזוב את המשרד או אפילו את הבית.
המאמר יסקור את יתרונות הביקורת מרחוק, את מגבלותיה ואת השיקולים שיש לקחת בחשבון בבואנו להחליט האם לבצע ביקורת מרחוק או להגיע פיזית לפעילות המרוחקת לצורך ביצוע הביקורת.
יתרונות הביקורת מרחוק
היתרונות בביצוע ביקורת מרחוק הם:
- היתרון המרכזי הוא ללא ספק חיסכון משמעותי בעלויות. עלויות אלה כוללות את כרטיסי הטיסה של חברי צוות הביקורת ועלות שהייתם בחו"ל. בחברות גלובליות רבות תקציב, עלות הנסיעות של מחלקת הביקורת הפנימית מהותית מאוד ומהווה נתח נכבד מסך תקציב הביקורת הפנימית.
- חיסכון בזמן של טיסות ונסיעות צוות הביקורת, לרבות מניעת אובדן פרודוקטיביות של המבקרים בעת ההסתגלות לעבודה בארץ היעד (כתוצאה מיעפת – ג'טלג).
- לאור החיסכון האמור, יכולה הביקורת הפנימית באותה כמות נתונה של משאבים:
- לכסות יותר תחומים ולהגדיל בכך את היקף שירותי ההבטחה או הייעוץ שהיא מעניקה לדירקטוריון ולהנהלה הבכירה.
- להרחיב את הבדיקה בתחומים הנבדקים על ידי הכללת יותר אתרים או יחידות עסקיות. הרחבה כזו יכולה לכלול השוואה בין מספר אתרים לצורך קבלת פרספקטיבה רחבה יותר על התהליכים הנבדקים.
- ביקורת מרחוק ממטה החברה כרוכה ברוב המקרים באינטראקציה רבה יותר עם אנשי המטה מאשר ביקורת המתבצעת באתר מרוחק. לרוב, לאנשי המטה יש ראייה רחבה יותר לגבי הסיכונים שבפניהם עומדת החברה ומשמעותם.
- שיפור ב"איזון בין עבודה לחיים" (Work life balance) של חברי צוות הביקורת הפנימית. בארגונים רבים הדרישה לנסיעות רבות לחו"ל מדירה עובדים ועובדות מוכשרים מלהצטרף לביקורת הפנימית ומקצרת את תקופת הכהונה של אחרים.
- ביקורת באתר מרוחק מלווה לעתים בזמן רב שהגוף המבוקר נדרש להשקיע כדי לארח את חברי צוות הביקורת, זמן שנחסך בעת ביקורת מרחוק. זמן זה כולל אדמיניסטרציה של מציאת מקום למבקרים לבצע את עבודתם ולקיים את פגישותיהם, הזמנת האורחים מחו"ל לארוחת ערב במהלך הביקור, וכדומה.
- לעתים ישנן פעילויות המבוצעות על ידי אנשי הארגון הממוקמים במדינות שונות, כך שפגישה עם כל אנשי המפתח עלולה להיות כרוכה בנסיעות רבות. במצב כזה ביקורת מרחוק היא פתרון הגיוני לאור הטכנולוגיה המאפשרת כיום פגישות "וירטואליות" בהשתתפות צדדים הפרוסים ברחבי העולם.
- גמישות בקביעת מועדי הביקורת, לרבות שינויי מועד, לאור העובדה שאין עלויות נגזרות של ביטול טיסות או שינויים במועדי טיסות.
- אפשרות לבצע ביקורת באתרים שקשה להגיע אליהם לאור בעיות ביטחוניות או בעיות סביבתיות (כגון וירוס שהתפשט באזור).
- ביקורת מרחוק עשויה להקל על המבקרים לשמור על אובייקטיביות, מכיוון שפחות סביר שיפתחו היכרות קרובה והזדהות עם המבוקרים.
מגבלות הביקורת מרחוק
המגבלות בביצוע ביקורת מרחוק הן:
- מבקרים רבים סבורים כי אין תחליף לאינטראקציה פנים אל פנים עם המבוקרים לצורך תקשורת יעילה, אפקטיבית ופתוחה, ללחיצת היד בתחילת הפגישה, לsmall talk"-" במסדרון ולמפגשים הבלתי פורמליים במהלך פרויקט הביקורת.
- אינטראקציה זו מקלה על מחסומי תקשורת של שפה, תרבות ומעמד בארגון שקיימים לא פעם בין המבקרים למבוקרים. מבקרים הפוגשים את המבוקרים פנים אל פנים יוכלו לתת את הדעת על שפת גופם והתנהגותם, ולנקוט טכניקות שיסירו את מחסומי התקשורת. לעתים האינטראקציה הפחות פורמלית הזאת מקלה על התהליך, במיוחד כאשר מתגלות מחלוקות בין המבקרים למבוקרים לגבי ממצאים שהתגלו ומידת חומרתם.
- בעת קיום ראיונות פנים אל פנים עם מבוקרים, מבקרים יכולים לבחון את שפת הגוף של המבוקרים ואת תגובותיהם ולהעריך האם המבוקרים משדרים סימני אי נוחות או מצוקה היכולים להעיד על בעיה בהתנהלותם או בתהליך הנבדק. בחינה כזו אינה אפשרית, או פחות מהימנה, במרבית האמצעים המשמשים לתקשורת מרחוק.
- שהות פיזית בפעילות המרוחקת יכולה לאפשר למבקרים להבין טוב יותר את ההֶקשר (הקונטקסט) הכללי של הפעילות או הגיאוגרפיה, ולהציג תמונה שלמה ומאוזנת יותר של הבעיה שהם מציפים. לדוגמה, בעת שהות באתר הם יכולים להיות עדים באופן בלתי אמצעי לבעיות תשתית, לשביתות, או לפגעי מזג אוויר הגורמים לגידול בעלויות לעומת הבנצ'מרק המצופה.
- ביקורת מרחוק מקשה על המבקרים לוודא כי המסמכים שקיבלו אותנטיים ולא שונו בטרם נמסרו להם. בנוסף, תהליך קבלת המסמכים עלול להתארך יתר על המידה לאור הצורך לסורקם לפני שליחה למבקרים.
- שהות של המבקרים באתר יכולה להסב את תשומת לִבם לבעיות ולסוגיות שלא ניתן היה לזהותן בביקורת מרחוק, לרבות נושאים שלא נכללו בתכנית הביקורת המקורית. לדוגמה, המבקרים יכולים להיות עדים להתנהלות לא בטיחותית באתר, לבקרות פיזיות לא מספקות בכניסה לאתר, וכדומה.
- בעת שהות פיזית באתר, עובדים ומנהלים, לרבות כאלה שאינם מבוקרים ישירים, יכולים להסב את תשומת לב המבקרים לסוגיות שמטרידות אותם. לדוגמה, להתנהלות לא אתית של גורמים בארגון.
- ישנם תחומים שלא ניתן לבדוק באופן אפקטיבי ללא שהות באתר, כגון אבטחה פיזית של הפעילות או ניהול חומרים מסוכנים.
- קושי הנובע מהבדלי אזורי זמן בין מדינות המבקרים והמבוקרים, שיאלץ את הצדדים (לרוב את המבקרים) לעבוד בשעות לא שגרתיות במהלך מטלת הביקורת.
- תלות רבה בטכנולוגיה לא יציבה לחלוטין. כשלים בתשתית האינטרנט בין האתרים או בציוד הקצה עלולים לגרום לשיבושים חמורים בביקורת.
שיקולים בבחירת שיטת הביקורת
על הביקורת הפנימית לקחת בחשבון את השיקולים הבאים בעת ההחלטה על אופן ביצוע הביקורת באתר המרוחק:
סוג התהליך הנבדק – תהליכים המתועדים היטב עם בקרות חזקות ומתבצעים באופן עקבי ברחבי הארגון במערכות מרכזיות יתאימו יותר לביקורת מרחוק, תהליכים מורכבים המיושמים באתר המרוחק בלבד יתאימו יותר לבחינה מקרוב.
רמת הסיכון של הפעילות המבוקרת – ככל שהסיכון המובנה או השיורי בפעילות המבוקרת נמוך יותר, כך ביקורת מרחוק תתאים יותר. באתרים שבהם מתבצעת פעילות קריטית עם סיכון מובנה או שיורי גבוה, תידרש קרוב לוודאי ביקורת פיזית באתר.
רמת האינטראקציה הנדרשת – כאשר הביקורת דורשת אינטראקציה תכופה עם המבוקרים, ביקור באתר יתאים יותר. לעומת זאת, כאשר עבודת הביקורת היא בעיקרה איסוף חומר מהמבוקר וניתוחו תוך בקשות הבהרות לא מרובות, ניתן יהיה לבצע את הביקורת מרחוק ללא קושי מיוחד.
חשיבות האינטראקציה בין חברי צוות הביקורת – כאשר חברי צוות הביקורת פרוסים בעצמם במדינות שונות ועליהם לשתף פעולה במידה רבה בעת ביצוע הביקורת, התאספותם באתר המבוקר תהיה לרוב היעילה והאפקטיבית ביותר.
תחום הפעילות הנבדק – ישנם תחומים שמעצם טבעם דורשים נוכחות של צוות הביקורת. לדוגמה, ביקורות בתחומים כגון ביטחון ובטיחות, ניהול חומרים מסוכנים ובינוי.
נתיב הביקורת של התהליך הנבדק – כאשר נתיב הביקורת של התהליך נמצא במערכת ממוחשבת שאליה המבקרים יכולים לקבל גישה (לדוגמה, חתימות מאשרים), או כאשר המסמכים נסרקים למערכת מרכזית, נעדיף לבצע את הביקורת מרחוק. לעומת זאת, כאשר נתיב הביקורת כולל מסמכים וחומר רב המצויים באתר המבוקר, הגיוני יותר שהביקורת תיעשה באתר עצמו.
רגישות המידע הנבדק – כאשר המידע הנסקר במהלך הביקורת הוא חסוי או רגיש, לרבות היבטי שמירת פרטיות, נבצע את הביקורת מרחוק רק אם אמצעי האבטחה להעברת המידע מספקים אמינות מוחלטת כי המידע יגיע לגורמים מורשים בלבד.
חשוב לציין כי בעת תכנון הביקורת ניתן להחליט כי חלק מהביקורת יתבצע מרחוק, כמו איסוף נתונים והניתוח שלהם, וחלק אחר מהביקורת יתבצע באתר עצמו, כמו ראיונות עומק, סיורים באתר, צפייה בתהליכים הדורשים את נוכחות המבקרים, ועוד.
כלים ושיטות לביצוע ביקורת מרחוק
התפתחות הטכנולוגיות מאפשרת שימוש במגוון כלים לביצוע ביקורות מרחוק:
קיימים כיום מגוון כלים לביצוע שיחות אודיו ווידאו, לרבות שיחות ועידה, הנמצאים במחשבים ובמכשירים ניידים חכמים (סקייפ לדוגמה). המשתתפים יכולים במהלך הפגישה לשתף תוכן של מצגות ויישומים. לדוגמה, המבוקר יכול להציג את התהליך למבקרים (walkthrough), והמבקרים מצדם יכולים בקלות יחסית לצלם את המסך של המוצג להם כראיית ביקורת לניירות העבודה שלהם.
בחלק מהכלים ניתן להקליט שיחות, מה שיכול לחסוך למבקר את הצורך לתעד את הנאמר במהלך השיחה ולהתרכז בהפקת המרב מהשיחה עצמה. אפשרות זו יעילה במיוחד כאשר המבוקרים לא ברורים לחלוטין (לדוגמה, בשל מבטא מיוחד) או כאשר הקו משתבש במהלך השיחה. ההקלטה צריכה להיות מעוגנת כנוהל שאושר משפטית על ידי הגורמים המתאימים בארגון.
לפגישות ולראיונות עומק, לישיבות רבות משתתפים, ולפגישות שבהן חשוב לראות את כל המשתתפים ואת שפת גופם – תידרש תשתית של חדרים המצוידים במצלמות ובטלפונים ייעודיים לשיחות וידאו. העלות של תשתית כזו (שלרוב אף מאפשרת תקשורת מאובטחת יותר) היא יקרה יותר, ואף שהיא נפוצה כיום יותר מאשר בעבר, בארגונים רבים היא עדיין אינה נחשבת כנורמה לאור עלותה.
האפשרות לצילום וידאו זמינה כיום בכל טלפון חכם, ואפשר להשתמש בה כדי לצפות בזמן אמת במתרחש במקומות מרוחקים, לרבות במקומות שקשה או מסוכן להגיע אליהם פיזית. כדי לשמור על אי-תלות, המבקרים הפנימיים יכולים להיעזר לשם כך בגורמים באתר שלא שייכים ליחידה המבוקרת.
כלים סטנדרטים, כמו דוא"ל, יכולים לשמש אמצעי יעיל וזמין להעברת מידע בין המבוקר למבקר ולהבהרות הנדרשות במהלך הביקורת.
כלים להעברת מסרים מיידים יכולים לסייע לתקשורת יעילה ופחות פורמלית בין המבוקר למבקר.
אם קיימות בארגון מערכות אלקטרוניות לניהול מסמכיםElectronic Document Management System (EDMS) , הן יסייעו לביקורת הפנימית לבצע ביקורת מרחוק. ניתן לתת למבקרים גישה מאובטחת למסמכים שלהם הם נזקקים, והם יוכלו לצפות בהם ממשרדם בלי להגיע לאתר המבוקר.
כאמור, ביקורת מרחוק תלויה מאוד בטכנולוגיה, ולכן היא יכולה להיפגע במקרה של כשלים בתשתית האינטרנט בין האתרים או בציוד הקצה. שיחות נקטעות או משובשות הן עדיין עניין שבשגרה, לפיכך על הביקורת הפנימית לקחת זאת בחשבון ולהכין תכנית מגירה למקרה שהשיבושים לא יאפשרו לבצע את הביקורת באופן נאות.
היבט נוסף שחשוב לקחת בחשבון הוא אבטחת המידע המועבר במהלך הביקורת מרחוק. על הביקורת הפנימית לשתף פעולה עם ארגון מערכות המידע כדי למצוא פתרונות מספקים בנושא.
כדי לעשות שימוש מיטבי בביקורת מרחוק, המבקר הפנימי צריך להיות מודע לטכנולוגיות הקיימות בתעשייה ובארגונו. לעתים יהיה עליו לנסות להשפיע על גורמים בארגון לשפר את התשתיות, כך שהביקורת הפנימית תרחיב את השימוש בביקורת מרחוק. לדוגמה, יהיה עליו להשפיע על הארגון להקים חדרי ישיבות המיועדים לישיבות וידאו מאובטחות.
מכיוון שהשימוש בביקורת מרחוק הולך ומתפתח, רצוי ליישם תהליך של הפקת לקחים ממטלות ביקורת שבוצעו. לדוגמה, לאחר ביקורת שבוצעה פיזית באתר מרוחק כדאי לבצע הערכה ולבדוק האם ניתן היה לקצר את הביקור באתר ולבצע מרחוק חלק מתהליך הביקורת.
סיכום
בעידן שבו הביקורת הפנימית נדרשת להוסיף ערך מוסף עם משאבים מוגבלים (Do more with less") בעת שהיא בוחנת פעילויות הפרוסות ברחבי העולם, חובה עליה לבנות תמהיל יעיל ואפקטיבי של ביקורות הכוללות ביקורים באתרים המרוחקים ושל ביקורת מרחוק.
לשם כך עליה לעשות שימוש מושכל בטכנולוגיות הקיימות, תוך מעקב אחר חידושים בתחום. בעת בחירת שיטת הביקורת יש לקחת בחשבון היבטים כמו התחום הנבדק, רמת הסיכון הטבועה בו, מידת האינטראקציה עם המבוקרים, נתיב הביקורת בתהליך הנבדק ועוד.
ביבליוגרפיה
What is remote auditing? Colin MacNee, https://www.irca.org/en-gb/resources/INform/archive/issue26/Features/remote-auditing/
Getting online, Colin MacNee, https://www.irca.org/en-gb/resources/INform/archive/issue27/Features/Building-on-safety2/
Remote Audit: Out of Sight but Not Out of Mind, David Ade, https://www.mastercontrol.com/audit-management/remote-audit-out-of-sight-not-out-of-mind.html
אודות הכותב/ת
אורן שחררו"ח, CIA ,CISA ,MBA
יו"ר הוועדה למענה על שאלות מקצועיות של חברים
