ח.נ.,

הנדון: מענה לשאלתך המקצועית –

תגמול למבקר פנימי ראשי

שלום רב,

1. בהתייחסות לפנייתך שלהלן:

למי אוכל לפנות על מנת לקבל מידע על בונוס שנתי למבקר הפנימי. למשל האם זה מקובל במגזר הציבורי, באילו גופים, מה עמדת הלשכה בנוגע לתגמול ומה הדרך למתן תגמול?

2. ועדת האתיקה של לשכת המבקרים הפנימיים התייחסה לנושא בישיבת מיום 15.6.22 – להלן סיכום עיקרי הדברים מפגישה זו:

הנושא שעמד לדיון היה – האם מצב שבו מבקר פנימי מקבל אופציות בחברה בה הוא משמש כמבקר,  כחלק משכ"ט למבקר הפנימי, הוא מצב ראוי?

להלן עיקרי התובנות של ועדת האתיקה

• ככלל, ראוי היה להימנע ככל האפשר ממתן אופציות למבקר הפנימי כחלק משכ"ט. הנימוק לכך, הינו שלא להיקלע למצב של אפשרות לניגוד עניינים בין עבודתו של המבקר הפנימי לבין עניינו האישי, וחשש לפגיעה באובייקטיביות ובאי תלות הנדרשים על פי התקנים המקצועיים, ואפילו רק בהיבט של מראית עין.
• לפיכך, יש לנסות לצמצם מצבים בהם עלול להיווצר ניגוד עניינים בין תפקוד המבקר לבין תגמולו. הדבר נכון גם לגבי תשלומי בונוס שגובהם נגזר מהתוצאות העסקיות של החברה.
• עם זאת, ידוע כי בפרקטיקה הנהוגה בענפים מסויימים (למשל, בחברות "היי-טק"), מתן אופציות לעובדים בכירים, כחלק מהשכר או שכ"ט, הינה פרקטיקה מקובלת, וכך גם לגבי הענקת בונוסים לעובדים.
• במקרה שהמבקר הפנימי נמנה על שכבת הבכירים בחברה בה נהוג להעניק אופציות, ובהנחה שמתן האופציות למבקר הינו בהיקף דומה לבעלי התפקידים שהינם בשכבת השכר של המבקר, אזי אפשר לקבל הסדר זה, ובלבד שהמבקר יקפיד כי הנושא יעלה על שולחנה של ועדת הביקורת, אשר תיתן דעתה בעניין וכן תגבש המלצתה בפני דירקטוריון החברה שיאשר את ההסדר בהתאם להמלצת ועדת הביקורת. התייחסות דומה יש לתת גם בנוגע להענקה של בונוסים לעובדים.
• ועדת הביקורת תתייחס לנושא תוך שיקול דעת למעמדו של המבקר, מידתיות, מהותיות סכומי האופציות/הבונוסים ביחס להסדר השכר של המבקר וכן כלל הנתונים הכספיים של החברה.
• יובהר כי בעניין זה אין הבדל  האם המבקר הפנימי מועסק כשכיר בחברה או כנותן שירותים חיצוני.

3. במכתב שהוציאה הלשכה לממונה על השכר והסכמי עבודה מיום 20.12.21 בעניין מענק שנתי למבקרים פנימיים בתאגידים סטטוריים ("תאגידים ציבוריים"), הדגישה הלשכה ש:

מבקר פנימי בארגון צריך להיות בעל מעמד בכיר בדרג של סמנכ"ל וכי הוא זכאי לכל אותם תנאים של סמנכ"ל במעמדו בארגון ובכלל זה למענקים ככל שאלו ניתנים לסמנכ"לים בארגון בו הוא משמש מבקר פנימי. … השואה זו נגזרת מהחשיבות שבשמירת מעמדו של המבקר הפנימי ולמען הבטחת עצמאותו ואי תלותו. יצוין כי עמדה  זו מתבססת על ועדת פרידמן.

4. התייחסות בתקנים המקצועיים של לשכת המבקרים הפנימיים IIA

בתקן מקצועי 2.2 של לשכת המבקרים הפנימיים העולמית IIA מצוין, כי ראוי שהמבקר הפנימי הראשי ינקוט באמצעי זהירות על מנת להפחית את הפגיעות האפשריות באובייקטיביות, אשר עלולות להיגרם מתכנון של הסדרי תגמול, בונוסים ותמריצים. דוגמאות להסדרי תגמול אשר עלולים לפגוע באובייקטיביות כוללות:

• ביסוס הערכות ביצועים ותגמול בעיקר על סקרים או משובים מהנהלת הפעילות המבוקרת.
• מדידת ביצועים כנגד מספר הממצאים שזוהו במהלך מטלות הביקורת, צמיחת ההכנסות של הפעילות המבוקרת, או החיסכון בעלויות או צמצום המשרות, כפי שהוטלו על הפעילות המבוקרת.
• מתן אפשרות להנהלה להעניק תגמול עקיף בצורה של מתנות ותשרים.

5. ברצוני להפנותך בכתב העת של לשכת (בזמנו "איגוד") המבקרים הפנימיים IIA ישראל (גיליון 7), למאמר פרי עטו של רו"ח יוסי גינוסר CIA, בנושא "האם תגמול מבוסס הישגים משפיע על אי תלותו של המבקר הפנימי" מחודש מארס 2018 קישור.

המאמר כולל מחקרים בנושא מהעולם וסקירת המצב בישראל, לעת כתיבת המאמר.

6. לסיכום

תגמול מבקר פנימי בבונוסים או אופציות מבוססי ביצועי הארגון והיחידות המבוקרות, עלול לפגוע באי תלות המבקר הפנימי. עם זאת ככל שהתגמול הוא סטנדרטי למנהלים הבכירים במעמדו של המבקר הפנימי, ומאושר על ידי ועדת הביקורת, ואינו מבוסס על פרמטרים שעשויים להשפיע במישרין על עבודת הביקורת, כדוגמת הדוגמאות המובאות מהתקנים המקצועיים המוזכרים לעיל, הרי שהדבר ראוי ואף עשוי לסייע בחיזוק מעמדו של המבקר הפנימי בארגון.

The post תגמול למבקר פנימי ראשי appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

1. בנוגע לשאלתך להלן:

ועדת הביקורת בארגונך באה בדרישה לראות את טיוטת דוחות הביקורת עוד בטרם קבלת ההתייחסויות של ההנהלה/המבוקרים, וזאת לאור הזמן שלוקח בין טיוטה עד שמגיע כסופי לוועדה.  עמדתך היא שאין להפיץ טיוטת דוח ביקורת לוועדת הביקורת טרם קבלת התייחסויות והפיכה לדוח סופי. אתה מבקש חוות דעת מקצועית של הלשכה בנושא.

2. הוועדה למענה לשאלות מקצועיות של חברים דנה בסוגיה – להלן מסקנותיה:

דוח הביקורת המובא לוועדת הביקורת צריך להיות הדוח  הסופי, לרבות התייחסות המבוקר אם בחר להתייחס לדוח ולהמלצותיו, וזאת  מהסיבות הבאות:

• על-מנת להקנות לו את זכות הטיעון, הנובעת מכוח הצדק הטבעי. יצוין, כי הנושא של זכות הטיעון והשימוע נדון בפסיקה:
• בג"ץ 4914/94 – יעקב טרנר נ' מבקרת המדינה
• בג"ץ 7805/00 – רוני אלוני נ' מבקרת עיריית י"ם
• קבלת התייחסות המבוקר היא אחד משלבי תהליך הביקורת, אשר בעקבותיו דוח הביקורת יכול להשתנות, לעיתים באופן מהותי.
• התקנים הגלובליים החדשים של הביקורת הפנימית (IIA) מתייחסים לנושא בתקן 15.1 – "דוח סופי של מטלת הביקורת". התקן קובע, כי "עבור כל מטלת ביקורת, מבקרים פנימיים חייבים לערוך דוח סופי הכולל את היעדים, ההיקף, ההמלצות ו/או תוכניות הפעולה, בהתאם למקרה, ואת המסקנות של מטלת הביקורת". עוד קובע התקן, כי " הדוח הסופי חייב להיות מדויק, אובייקטיבי, ברור, תמציתי, בונה, שלם ולהתבצע במועד." קבלת התייחסות המבוקרים מסייעת בין היתר לוודא, כי הבסיס העובדתי בדוח הינו מדויק.

עם זאת, יש לתת את הדעת על סיבת השורש לבקשת הוועדה, ואשר משתמעת מפנייתך, והיא – השיהוי הרב מדי לטעמה עד לקבלת התייחסויות המבוקרים ופרסום הדוח הסופי. שיהוי זה עשוי להיות משמעותי בדוחות העוסקים בסיכונים מהותיים לארגון, ואשר מחייבים טיפול דחוף, או שתהליך קבלת הערות המבוקר, ההתייחסות להן ושילובן בדוח הביקורת אורך זמן בלתי סביר לדעת הוועדה. הימשכות יתר של תהליך הביקורת עשויה במקרים מסוימים להביא לחוסר רלוונטיות של הממצאים וההמלצות.

לצורך זאת, על המבקר הפנימי לקבוע עם ועדת הביקורת וההנהלה, כחלק מנוהל ביקורת, קרי לעגן זאת בכתב, את לוח זמנים לקבלת התייחסות המבוקרים ועריכת דוח ביקורת סופי (לרבות התייחסות לאפשרות ארכה, לבקשת מבוקר, בכפוף לשיקול דעת המבקר או כל גורם מתאים אחד שתקבע הוועדה בנדון). על ההנהלה וועדת הביקורת לתמוך במבקר בהיבט זה, על מנת שדוחות הביקורת הסופיים יהיו מוכנים במועד.

      חוות דעת זו אינה חוות דעת משפטית

The post שאלה מקצועית – בנושא הצגת טיוטת דוחות ביקורת לוועדת הביקורת appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

מבקש התייחסות הוועדה לנושא אחריות והאפשרויות שבידי מבקר פנימי בנושא מעקב אחר יישום המלצות הביקורת במקרים בהם לא מיושמות ההמלצות.

התייחסות הוועדה למענה לשאלות מקצועית של חברים

הנהלת הארגון היא האחראית ליישום המלצות המבקר הפנימי שנתקבלו על-ידה ואושרו ע"י ועדת הביקורת[1]. אחריות המבקר הפנימי היא לנטר את סטטוס יישום ההמלצות ולדווחו לוועדת הביקורת.

תימוכין לעמדה זו:

1. התקנים המקצועיים התקפים כיום (שפורסמו בשנת 2017)

תקן 2500 – ניטור ההתקדמות

המבקר הפנימי הראשי חייב להקים ולתחזק מערכת למעקב אחר התקדמות היישום של התוצאות שדווחו להנהלה.

2500.A1 המבקר הפנימי הראשי חייב למסד תהליך מעקב לשם ניטור והבטחה, שפעולות ההנהלה מיושמות באופן אפקטיבי, או שההנהלה הבכירה נטלה סיכון של אי-נקיטת פעולות.

2500.C1 – הביקורת הפנימית חייבת לבצע מעקב אחר התקדמות היישום של תוצאות מטלות ייעוץ במידה המוסכמת עם הלקוח.

2. התקנים המקצועיים החדשים (ייכנסו לתוקף ביום 9/1/2025)

תקן 14.4 המלצות ותוכניות פעולה ליישום מפרט בהרחבה את נושא המלצות הביקורת ותוכנית פעולה. בין היתר, התקן קובע את החובה בשיח עם ההנהלה בנושא. אם אין הסכמה, על המבקר הפנימי לשקף בדוח את דעת הביקורת ואת דעת ההנהלה.

בשיקולים ליישום מדובר בין היתר על כך שההמלצה תיבחן במונחי עלות-תועלת, ועל האפשרות לשיח עם ההנהלה בו תציע הביקורת מספר דרכי פעולה לטיפול בממצא וכו'.

בסוף מקטע זה (שיקולים) כתוב בצורה בלתי משתמעת ל 2 פנים – באחריות מי לבצע את ההמלצה (ההנהלה): "למרות שמבקרים פנימיים חייבים לשתף פעולה עם ההנהלה לגבי אופן הטיפול בממצאי מטלת הביקורת, זוהי אחריות ההנהלה ליישם פעולות לטיפול בממצאים (ראה גם תקן 15.1 דוח סופי של מטלת הביקורת)."

• תקן 14.4 מזכיר גם את תקן 9.3 בדבר "מתודולוגיות"

בשיקולים ליישום של תקן 9.3 מצוין בין היתר: "מתודולוגיות מתועדות אשר ככל הנראה יידרשו ליישום האסטרטגיה, להשגת תוכנית עבודת הביקורת הפנימית, ולעמידה בתקנים, כוללות את גישת פונקציית הביקורת הפנימית לעניינים הבאים:". בין 12 "העניינים" המפורטים, מופיע גם: "מעקב ואישור יישום המלצות המבקרים הפנימיים או תוכניות הפעולה של ההנהלה."

3. תקן 15.2 וידוא יישום המלצות או תוכניות פעולה: 

מבקרים פנימיים חייבים לוודא, כי ההנהלה יישמה את המלצותיהם או את תוכניות הפעולה של ההנהלה, בהתאם למתודולוגיה ממוסדת, אשר כוללת:

• בירור לגבי ההתקדמות בתוכניות הפעולה.
• ביצוע הערכות מעקב, באמצעות גישה מבוססת סיכונים.
• עדכון מצב תוכניות ההנהלה במערכת מעקב.

היקף הליכים אלה חייב לקחת בחשבון את משמעותיות הממצאים.

אם ההנהלה לא התקדמה ביישום הפעולות בהתאם למועדי ההשלמה שנקבעו, מבקרים פנימיים חייבים לקבל ולתעד את הסבר ההנהלה, ולדון בנושא עם המבקר הפנימי הראשי. המבקר הפנימי הראשי אחראי לקבוע האם בעיכוב או באי-פעולה, ההנהלה הבכירה נטלה סיכון אשר עולה על הסובלנות הארגונית לסיכון.

4. להלן דגשים נוספים ופרקטיקות מקובלות אותם העלו חברי הוועדה:

• דוח מעקב אחר יישום המלצות יישלח באופן עיתי לחברי ההנהלה ויוצג וידון בוועדת הביקורת.
• בהתאם לרמות הסיכון של הממצאים, יש לבחון את המועדים בהם ראוי לבצע את המעקב. אם המלצות לא יושמו על ידי ההנהלה, על המבקר, כאמור, לדווח לוועדת הביקורת.
• יחד עם זאת, מומלץ, כי המבקר ייבחן ביחד עם הנהלת החברה – מדוע ההמלצות לא יושמו, שכן יש משמעויות שונות להעדר יישום/יישום חלקי, למשל:
  • הנהלת החברה לא שילבה את ההמלצה בתוכניות העבודה ו/או לא הקצתה משאבים ועדיפויות מתאימות ליישום.
  • במהלך היישום התברר, כי לא ניתן ליישם את ההמלצה שנכתבה בדוח.
  • במהלך היישום התברר, כי ניתן לצמצם את הסיכונים באמצעים אחרים (או מתודולוגיות אחרות) מאלו הרשומים בהמלצות.
  • במהלך היישום התברר, כי לא העריכו נכונה את הזמן הנדרש ליישום.

[1] יצוין כי ועדת הביקורת יכולה לקבל המלצה אותה לא קִבלה ההנהלה' וכשעשתה זאת' הרי שההנהלה אחראית ליישום ההמלצה

The post מענה לשאלתך המקצועית – אחריות המבקר הפנימי למעקב ויישום המלצותיו appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

האם משרד רואי חשבון המשמש כמבקר פנימי בחברה יכול לתת שירותי "בודק שכר" לחברה בה הוא משמש כמבקר הפנימי?

המענה יתייחס הן למקרים בהם השירות ניתן לחברה המשמשת כמעסיק הישיר של עובדי הקבלן  או חברה אשר המוגדרת כמזמינת השירות – קרי השירותים נעשים בחצרה בתמורה לתשלום מצד הקבלן המעסיק הישיר. כמו כן, המענה אף יתייחס למקרים בהם מדובר במבקר פנימי שכיר.

רקע

1. בחוק להגברת האכיפה של דיני עבודה התשע"ב 2011 מצוין, כי הגנה למזמין השירות מאחריות (אזרחית ופלילית) היא הסתמכות בתום לב על בדיקות תקופתיות, שנערכו בידי בודק שכר מוסמך, תיקון ההפרות עם גילוין ועוד.
2. החוק תקף לגבי קבלני הסעדה שמירה, אבטחה וניקיון.
3. דוגמאות להפרות: העסקה בשעות נוספות או במנוחה שבועית ללא היתר, העסקת נערים מעבר להיקף המותר בחוק עבודת נוער, אי תשלום שכר מינימום, פיטורי עובדת בלא היתר כמצוין בחוק עבודת נשים, קבלה/מימוש בטוחות מעובדים, אי מתן חופשה שנתית בהתאם לחוק חופשה שנתית, אי תשלום דמי חופשה, אי תשלום גמול שעות נוספות ועוד..
4. בתקנה להגברת האכיפה של דיני עבודה (בודק שכר מוסמך) משנת 2017 מוזכרות דרישות אקדמיות ואחרות, שבודק השכר אמור  לעמוד בהם. אין התייחסות אם הוא יכול או לא יכול להיות עובד של מזמין השירות או של המעסיק הישיר. כך, שעל פניו, לא נראה שיש מניעה משפטית בחוק ובתקנה האמורה. יצוין כי חוות דעת זו אינה מהווה חוות דעת משפטית.
5. הנדבך השני הוא – האם הדבר ראוי מבחינת התקנים המקצועיים  וחוק הביקורת הפנימית, ובמיוחד סעיף 8 לחוק זה, בדבר ייחוד פעולות המבקר הפנימי ואיסור למלא תפקידים נוספים.

הנושא הובא לפתחן של הוועדה למענה לשאלות מקצועיות של חברים ושל הוועדה המקצועית.

בשתי הוועדות לא הייתה תמימות דעים בנושא. לאור זאת, הוחלט, כי חוות דעת זו תכלול קווים מנחים לקבלת ההחלטה, מבלי לקבוע דעה נחרצת וחד משמעית בנושא.

להלן עיקרי הטיעונים, שהועלו בעד ונגד ביצוע בדיקת בודק שכר ע"י המבקר הפנימי:

לאור האמור לעיל, אנו סבורים, כי קבלת החלטה – האם לתת שירות מסוג זה, צריכה להתייחס לטיעונים האמורים לעיל בהתייחס לאופי הארגון לו ניתן השירות, תוך שימת דגש מיוחדת על ההיבטים הבאים:

1. וידוא, כי שירות זה, אם ניתן ובמיוחד אם ניתן באופן תדיר, אינו בא במסגרת תוכנית העבודה הרגילה של הביקורת הפנימית, אלא כשירות נוסף; כך שלא יפגע כיסוי הביקורת על סיכונים מרכזיים של ארגון.
2. רצוי להימנע ממתן שירות כזה באופן תדיר מדי שנה, על מנת שלא להפוך את הביקורת הלכה למעשה לחלק ממערך הבקרה והציות וחלק מהקו השני.
3. יש לשקף את המורכבות לדירקטוריון ולוועדת הביקורת ולקבל את אישורם.

The post מענה לשאלתך המקצועית בעניין מבקר פנימי כבודק שכר appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

לפרסום המקורי לחצו כאן

The post ביקורת פנימית בעת מצב חירום appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

1. האם יש התייחסות של הלשכה (מאמר / חוו"ד) באשר לאופן הכנסת תגובת המבוקר לדוח הביקורת?
2. האם המלצת הלשכה היא להכניס את התגובה במלואה?
3. האם ניתן להכניס רק קטעים מהתגובה שהמבקר בוחר? האם מקובל לערוך תגובת מבוקר?
4. האם מותר והאם זה אתישהמבקר ישמיט מהתגובה חלקים שהם מהותיים עבור המבוקר ופחות נוחים לביקורת (בפרט במקרים בהם המבוקר אינו מסכים עם הכתוב בביקורת)?

——————————————————————————————————–

בהתייעצות שקיימה הוועדה למענה לשאלות מקצועיות של חברים, אליה אף הצטרף נשיא הלשכה ויו"ר הוועדה המקצועית, עלו התובנות הבאות בהקשר לשאלתך:

1. למיטב ידיעתנו, כיום אין תקן מקצועי של לשכת המבקרים הפנימיים העולמית בנושא במישרין. תקן מקצועי 2420 המחייב את המבקר הפנימי כי דיווחיו יהיו, בין היתר, מדויקים, אובייקטיבים ותמציתיים, מתייחס לנושא בעקיפין. היבט זה אף לא הוסדר לגבי דוחות מבקר המדינה. [יושם אל לב, כי התקנים המקצועיים הבינלאומיים נמצאים בימים אלה בתהליך עדכון].
2. לטעמנו, מכוח הצדק הטבעי, עומדת למבוקר זכות הטיעון וככלל, רצוי שתגובתו תובא בגוף הדוח ככתבה וכלשונה, בכפוף לסייגים הבאים:
   • אם תגובת המבוקר הופכת להיות בגדר כתב הגנה 'מעין משפטי' מבחינת האורך והפולמוס שלה, מומלץ להביא את תמציתה בגוף הדוח, ובלבד שישתמע ממנה המסר העיקרי של המבוקר, ולהביאה במלואה בנספח לדוח, תוך הפנייה לנספח זה. למותר לציין, כי דוח ביקורת אינו אמור להיות מסמך משפטי, אלא דוח ביקורת פנימית עם ערך מוסף לטובת הארגון. במסגרת שיקוליו, יביא המבקר בחשבון את: אורך תגובת המבוקר, התבטאויות לא נאותות (לרבות השמצת הביקורת), שגיאות בעברית וכד'.
   • אגב, ברוח בג"ץ 4914/94 יעקב טרנר נגד מבקרת המדינה, ככל שמדובר בנושאים רגישים הנוגעים לשמו הטוב של המבוקר או לחשש למעורבותו בפעילות אסורה/פגיעה בטוהר המידות, ראוי עד כמה שניתן שלא לשנות את תגובת המבוקר ולהביאה כלשונה וכאורכה בגוף הדוח, אף אם היא פוגמת בנראות או 'בזרימה' של דוח הביקורת.
   • היבט נוסף שיש לתת עליו את הדעת הוא המסד העובדתי – התייחסות המבוקר לא אמורה לכלול סתירה עובדתית, וככל שקיימת סתירה כזו – יש לפותרה עוד בטרם פרסום הדוח בתקשורת מול המבוקר, בסקירת התימוכין שצירף להתייחסותו וכו'. במקרים, בהם הדבר אינו מסתייע, ניתן להביא את תגובת הביקורת להתייחסות המבוקר.
   • מחלוקת בין המבוקר לביקורת לגבי הפרשנות או השלכות של הממצאים ("מסקנות הביקורת") היא בהחלט לגיטימית ויש להביאה לידי ביטוי.

The post שילוב התייחסות המבוקר בדוח הביקורת appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

רקע
לאור התפתחות השיח בנושא קיימות, עולה במקביל שאלת תפקיד הביקורת הפנימית בהתייחס לנושא זה. נייר העמדה שלהלן, מספק תובנות בהתייחס להגדרת הנושא – מהי קיימות, מהם הגורמים לעליית חשיבותה והעיסוק בה ע"י ארגונים ולהתפתחות הדיווחים בנוגע לקיימות.
כמו כן, נייר זה עוסק בשאלת תפקיד הביקורת הפנימית, מתוך ראיה שמדובר באחד הסיכונים המהותיים המתפתחים, ובמיקוד לדיווח על קיימות, אשר הינו אחד הנדבכים בניהול סיכון זה.
נייר העמדה מבוסס על White paper של ה- IIA בנושא "Internal audit role in ESG reporting" ממאי 2021 ועל סקירת המצב הקיים בישראל בהתבסס על פרסומים של גופי ממשל ורגולציה.

מטרה

תפקיד הביקורת הפנימית בדיווח על קיימות (סביבה, חברה וממשל תאגידי)

השיח והמיקוד ב"קיימות", מונח שבדרך כלל מקובצות תחתיו סוגיות של סביבה, חברה וממשל תאגידי, מתפתחים במהירות – על ידי קבוצות משקיעים אקטיביסטיים ורגולטורים שדוחפים לשינוי בגופי הממשל, ועל ידי דירקטוריונים והנהלות בכירות אשר מנסים להבין ולאמץ את הרעיון. בחזית סיכון חדש זה ניצב לחץ על ארגונים להתחייב לציבור לקיימות ולספק עדכונים תדירים, מדויקים ורלוונטיים על אסטרטגיות הקיימות, היעדים והמדדים. למרות זאת, הדיווח על קיימות עדיין לא בשל, ואין הנחיות רבות לארגונים בתחום זה. לדוגמה, אין תקן יחיד לגבי מה נדרש לדווח.

מה שברור הוא שממשל תאגידי חזק בנושא קיימות – כמו גם ממשל אפקטיבי באופן כללי – דורש "יישור קו" בין השחקנים הבכירים כמתואר במודל שלושת הקווים של ה- IIA. כמו בכל תחום סיכון, הביקורת הפנימית צריכה לתמוך בדירקטוריון ובהנהלה על ידי מתן שירותי הבטחה אובייקטיביים, תובנות, ועצות בענייני קיימות.

להלן סקירה כללית של סיכונים הקשורים לדיווח על קיימות לצד תיאור של תנועת הקיימות הגדֵלה. כמו כן, הסקירה מתווה את תפקיד הביקורת הפנימית בדיווח על קיימות וכיצד הביקורת הפנימית יכולה לתמוך ביעדי הקיימות ולהוסיף ערך.

מבוא

יוצאים למסע הקיימות

מאמצים להפחתת ההשפעות המואצות של שינויי אקלים ולטיפול בתפיסה לגבי קיום אי שוויון חברתי היסטורי, הינם שני נושאים משמעותיים המניעים שינוי בעולם, אשר הגבירו את המודעות של ארגונים להשפעתם ויחסם לחברה ולסביבה.

הם גם דרבנו ארגונים לזהות ולנהל טוב יותר סיכוני קיימות (כלומר, סיכונים הקשורים לפעילות הארגונים והשפעתם על העולם סביבם). קטגוריית סיכון רחבה זו כוללת תחומים שהינם דינמיים ולעתים קרובות מוּנעים על ידי גורמים שיכולים להיות קשים למדידה אובייקטיבית, כגון הכללה, התנהגות אתית, תרבות ארגונית ואימוץ קיימות ברחבי הארגון.

במקביל, משקיעים ורגולטורים מתמקדים בדרישות מארגונים – לדווח דיווחים איכותיים על מאמצי הקיימות. בנוסף, קיים לחץ גובר על ביצועי ההנהלה בתחום זה, ככל שיותר ארגונים קושרים את תוכניות התגמול לעמידה ביעדי קיימות.

מכיוון שדיווח על קיימות הופך נפוץ יותר, יש להתייחס אליו באותה מידת תשומת לב כמו לדיווח הכספי. ארגונים צריכים להכיר בכך שדיווח על קיימות חייב להיות מבוסס על מערכת בקרה פנימית מתוכננת, שהוקמה מתוך ראיה אסטרטגית ואשר משקפת במדויק את האופן שבו מאמצי הקיימות של הארגון קשורים זה לזה, להתנהלות הפיננסית של הארגון, וליצירת ערך.

הביקורת הפנימית יכולה וצריכה למלא תפקיד משמעותי במסע הקיימות של הארגון. היא יכולה להוסיף ערך ביכולת לתת עצה על ידי סיוע בזיהוי והקמה של סביבת בקרת קיימות פונקציונלית. היא גם יכולה להציע תמיכה משמעותית על ידי מתן שירותי הבטחה, באמצעות סקירה עצמאית ואובייקטיבית של אפקטיביות ההערכה של סיכון הקיימות, של המענה שניתן לו ושל הבקרות. בנוסף, ביקורת פנימית הפועלת בהתאם לתקנים המקצועיים של ה- IIA ממוצבת היטב בארגונים, כך שביכולתה לסייע להם ליישם מסגרות בקרה פנימית מבוססות ואמינוֹת למאמצי הקיימות שלהם.

קבלת שירותי הבטחה אובייקטיביים על כל תהליכי ניהול הסיכונים הקשורים לקיימות, מיחידת ביקורת פנימית עצמאית ובעלת כישורים ומשאבים מתאימים, צריכה להיות חלק מכל אסטרטגיית קיימות. בשעה שנייר זה מתאר כיצד ומדוע הביקורת הפנימית צריכה למלא תפקיד קריטי במאמצי דיווח הארגון על קיימות, ראוי להדגיש כי הדיווח מהווה רק חלק מאסטרטגיית קיימות אפקטיבית. הביקורת הפנימית צריכה לספק הבטחה ועצה על כל ההיבטים של ניהול סיכון הקיימות.

שיקולים מרכזיים

בניית אסטרטגיית קיימות

חשיבות הממשל התאגידי כבקרת על  

מחזיקי העניין בנוגע לדיווח על קיימות – משקיעים, רגולטורים ותנועות חברתיות – יצרו לחץ על ארגונים לדווח. עם זאת, לשם דיווח נאות, נדרש קיום אסטרטגיה לניהול סיכוני קיימות, המבוססת על הבנה ברורה של הסוגיות הרלוונטיות. לפיכך, הדרג הניהולי הבכיר צריך להתמקד בממשל תאגידי ובקרה פנימית אפקטיביים בענייני קיימות.

כל ארגון צריך לזהות ולהעריך את ההשפעות העיקריות של הקיימות, אשר נוגעות אליו, ולקבוע יעדים לניהולם. היעדים צריכים להיות מציאותיים ומדידים בשל הסיכון לאי עמידה בהם.

בקרה פנימית

בקרה פנימית הינה תהליך, המושפע מהדירקטוריון, ההנהלה ובעלי תפקידים אחרים, אשר נועדה לספק ביטחון סביר לגבי השגת יעדים – המתייחסים לתפעול, דיווח וציות. בגלל שדיווח על קיימות יכול להכיל מגוון רחב של מדדים, ארגונים חייבים לקבוע מדיניות, תהליכים ובקרות פנימיות, אשר יוצרים מידע מהימן לקבלת החלטות ומבטיחים את איכות הנתונים המיוצרים ומדווחים. בדומה לדיווח כספי, הנתונים המשמשים ליצירת דוחות קיימות, מבוססים על הפעילות וההחלטות השוטפות המניעוֹת ארגונים לקראת השגת יעדים. פעילויות בקרה מתאימות חייבות להיות מעוצבות ופועלות באופן אפקטיבי – לצורך איסוף וניתוח הנתונים שישמשו לדיווח. יישום פעילויות בקרה מספקות הינו באחריות ההנהלה, ואילו הביקורת הפנימית אחראית לספק הבטחה בלתי תלויה שהפעילויות מעוצבות כראוי ופועלות באופן אפקטיבי.

ממשל תאגידי

בשילוב עם בקרה פנימית חזקה, ארגונים צריכים להציב מבנה ארגוני של ממשל תאגידי, אשר מוציא לפועל ביעילות את אסטרטגיית הקיימות. מבנה הולם של ממשל תאגידי, מפקח על האופן שבו אסטרטגיית הקיימות הכוללת מיושמת ברחבי הארגון (בנוסף לפיקוח על דיוק נתוני הקיימות). ממשל תאגידי של ארגון דורש מבנים ותהליכים מתאימים, המאפשרים:

• אחריותיות של הדירקטוריון כלפי מחזיקי העניין – לפיקוח ארגוני באמצעות יושרה, מנהיגות ושקיפות.
• פעולות (כולל ניהול הסיכון) על-ידי ההנהלה – להשגת מטרות הארגון באמצעות קבלת החלטות מבוססת סיכונים והקצאת משאבים.
• שירותי הבטחה ועצה, על-ידי פונקציית ביקורת פנימית בלתי תלויה, כדי לקדם ולתמוך בשיפור מתמשך, באמצעות בדיקה נאותה ותקשורת המספקת תובנות.

יוזמות ודיווחי קיימות, בדומה ליצירה והגנה על הערך הכולל של הארגון, דורשים מהדירקטוריון,  ההנהלה והביקורת הפנימית – לעבוד בשיתוף ובתיאום ולתעדף אינטרסים של מחזיקי עניין. ניתן להשיג תיאום של הפעילויות באמצעות תקשורת ושיתוף פעולה. אלה יבטיחו את המהימנות, העקביות והשקיפות של המידע, הדרוש עבור קבלת החלטות מבוססת סיכונים.

בהקשר לממשל התאגידי, על הארגונים למנות בעלי תפקידים מתאימים לניהול ולדיווח על סיכון הקיימות. מודל שלושת הקווים של ה- IIA מהווה בסיס על פיו ניתן למנות תפקידים אלה.

הדירקטוריון יכול לקחת על עצמו את הפיקוח על קיימות או להאצילו לוועדת משנה. ועדת הביקורת עשויה להתאים ביותר, מכיוון שהיא בדרך כלל המנוסה ביותר בדיווח חיצוני ומבינה את חשיבות המדיניות, הנהלים והבקרה הפנימית.
ההנהלה צריכה לקחת אחריות לתכנון והוצאה לפועל של אסטרטגיות סיכון קיימות; יצירת מדיניות, נהלים ובקרות פנימיות; זיהוי מדדים רלוונטיים עליהם ניתן לבסס דוחות קיימות; ופיקוח על יצירת הדוחות. כמו כן, עליה להבין ולהתעדכן בסיכוני הציות הקשורים לקיימות.
הביקורת הפנימית צריכה לקחת על עצמה את התפקיד הקריטי של מתן הבטחה אובייקטיבית, בלתי תלויה בהנהלה, בנוגע לאפקטיביות של ניהול סיכוני קיימות, דיווח וציות לרגולציה.

האתגרים והמורכבות של הדיווח על קיימות ניכרים, והסיכונים הכרוכים בדיווח שנוהל באופן לקוי עלולים להיות גבוהים מבחינת ציות לרגולציה ונזק תדמיתי. לכן, על הדירקטוריון  וההנהלה לשקול היטב את כל הגילויים בדוחות וכיצד לאייש את תפקידי שומרי הסף.

תפקיד הביקורת הפנימית בדיווח על קיימות

הוספת ערך באמצעות הבטחה ועצה

דיוק הדיווח – חיוניות העקביות

הבטחה ועצה בלתי תלויים ואובייקטיביים הינם היסוד לתפקיד ולמשימת הביקורת הפנימית; דבר שהופך את מעורבותה בדיווח על קיימות לקריטית. הגדרת מקצוע הביקורת הפנימית מתארת כיצד היא מוסיפה ערך על ידי "הבאת גישה שיטתית וממוסדת, לשם הערכה ושיפור האפקטיביות של תהליכי ניהול סיכונים, בקרה, פיקוח וממשל תאגידי".

ככל שהסיכונים הקשורים לקיימות נפוצים וניכרים יותר בקבלת החלטות על ידי הדירקטוריון  וההנהלה הבכירה, הדירקטורים חייבים הבטחה שניתן להסתמך עליה לגבי אפקטיביות ניהול סיכוני הקיימות, לרבות דיווח על קיימות. הבטחה זו צריכה להינתן על ידי הביקורת הפנימית.

הבטחה

הבטחה על דיווח הקיימות צריכה לכלול לכל הפחות את המרכיבים הבאים, שיחידת ביקורת פנימית בלתי תלויה ובעלת כישורים ומשאבים מתאימים יכולה לספק:

• סקרו את מדדי הדיווח באשר לרלוונטיות, דיוק, עדכניות ועקביות. עניין זה קריטי שכל דוחות הקיימות הציבוריים יספקו מידע המתאר במדויק את מאמצי הקיימות של הארגון. הביקורת הפנימית יכולה לספק הבטחה אם הנתונים (כמותיים ואיכותיים) המדווחים מדויקים, רלוונטיים, שלמים ועדכניים. עניין זה חשוב במיוחד ככל שהפיקוח הרגולטורי עולה.
• סקרו את העקביות של דיווחי הקיימות בהתאמה לגילויים הניתנים במסגרת הדיווח הכספי. בעוד הדיווח על קיימות מספק נתונים שאינם כספיים, כל מידע הסותר את הגילוי הניתן במסגרת הדיווח הכספי יהווה "דגל אדום" לרגולטורים ולמשקיעים.
• בצעו הערכות של המהותיות/הסיכונים הגלומים בדיווח הקיימות. המועצה לתקני חשבונאות בינלאומיים (IASB) מגדירה "מהותיות" כך – "הצהרות מוטעות, לרבות השמטות, נחשבות מהותיות אם קיימת סבירות מוצקה, באופן פרטני או כללי, שהן ישפיעו על שיקול הדעת שנעשה על ידי משתמש סביר על בסיס הדוחות הכספיים". לפיכך, דיווחים על יעדי קיימות יכולים להגיע לרמה של מהותיות.
• שלבו את הקיימות בתוכניות העבודה של הביקורת. קיימות וביקורות הקשורות לקיימות מהוות כיום כ 1% מתוכניות העבודה של הביקורת הפנימית, על פי נתוני סקר 2021 North America Pulse of Internal Audit. דבר זה חייב להשתנות, שכן סיכוני קיימות וניהול סיכוני קיימות מקבלים משמעות גוברת עבור ארגונים.

מתן עצה

• המליצו על סביבת בקרה של קיימות. פונקציות ביקורת פנימית בעלות כישורים מתאימים, מכירות את רכיבי הבקרה הפנימית האפקטיבית. הן יכולות להמליץ ​​על מסגרות הבקרה (למשל, מודל COSO – לסביבת הבקרה הפנימית) לניהול / הפחתת סיכוני קיימות. הביקורת הפנימית גם יכולה לתת עצה בפיתוח בקרות פנימיות ספציפיות בנוגע לדיווח הקיימות.
• המליצו על מדדי דיווח. "מה לדווח" היא שאלה מרכזית בניהול סיכוני דיווח על קיימות. הביקורת הפנימית יכולה לספק תובנות לגבי סוג הנתונים (כמותיים ואיכותיים) אשר משקפים את מאמצי הקיימות הרלוונטיים של הארגון.
• המליצו לגבי ממשל קיימות. הביקורת הפנימית יכולה להמליץ לגבי ממשל תאגידי לקיימות, בשל הבנתה הכוללת של הסיכון ברחבי הארגון. היא יכולה להשתמש בפרספקטיבה הייחודית שלה, כדי לסייע בזיהוי תפקידים ותחומי אחריות, וכן לספק הדרכה בנושא בקרות פנימיות.

צמיחה בדיווח על קיימות

עניין גובר בדיווח על קיימות

תקנים, רגולציה ומסגרות

האינטרס של המשקיעים והציבור לגבי האופן שבו ארגונים עסקיים וממשלתיים משפיעים על החברה גדל משמעותית, וארגונים מגיבים במדידות שהמורכבות שלהן גוברת לגבי השפעה זו. כתוצאה מכך, הדיווח תומך בקבלת החלטות לא רק על ידי משקיעים, אלא גם על ידי דירקטוריונים והנהלות בכירות.

על פי סקר KPMG בנושא דיווח קיימות 2020, 80% מהארגונים ברחבי העולם מדווחים על קיימות. שיעור הדיווח עולה ל -96% בקרב 250 החברות הגדולות בעולם. צפון אמריקה מובילה בשיעור הדיווח האזורי שעומד על 90%. אחוז חברות S&P 500 המפרסמות דוחות קיימות צמח מ-20% בשנת 2011 ל-90% בשנת 2020.

ההתעניינות הרגולטורית הגוברת בקיימות התמקדה בשאלה – האם הדיווחים משקפים במדויק את מאמצי הקיימות של הארגון, כיצד מאמצים אלה קשורים ליצירת ערך לטווח ארוך, וכיצד העניין משפיע על המשקיעים. עם זאת, ארגונים רבים עדיין מתמודדים עם השאלה – מה צריך לדווח ואיך. נוסף לכך, לא קיים סט אחד של סטנדרטים, שעליהם ארגונים יכולים לבסס את אסטרטגיות דיווח הקיימות שלהם.

סקר G&A משנת 2020 מצא כי 70% מהחברות המדווחות מסתמכות על מסגרות וסטנדרטים כדוגמת אלה שנוצרו על ידי Global Reporting Initiative (GRI), ה-Sustainability Accounting Standards Board (SASB), ו- Financial Stability Board's Task Force on Climate-related Financial Disclosures (TCFD). מסגרות אלה משקפות את יעדי דיווח הקיימות של האו"ם (SDGs),  אשר אומצו על-ידי המדינות החברות באו"ם. המורכבוּת של סוגיות הקיימות באה לידי ביטוי ב- 17 היעדים העיקריים וב- 169 המטרות המפורטות במסמך האו"ם.

מסגרות

ישנן גישות רבות לדיווח על קיימות. ראוי לשקול אותן, ולמרות שהינן נבדלות, הן עשויות להיות משלימות. ארגונים נוהגים להתאים את דיווח הקיימות שלהם ליותר מאחת מהמסגרות שהוזכרו לעיל. בנוסף, חברות רבות בוחרות לדווח באופן פומבי על פליטת הפחמן שלהן, אסטרטגיית אקלים, יוזמות הפחתה, ועוד, באמצעות שאלון כדוגמת CDP Climate Change Questionnaire. CDP הינו ארגון ללא מטרות רווח, אשר "…מפעיל מערכת גילוי עולמית עבור משקיעים, חברות, ערים, מדינות ואזורים, לניהול ההשפעות שלהם על הסביבה". התשובות לשאלון זמינות לציבור.

אין תקן יחיד כבסיס לדיווח על קיימות, אליו ארגונים, משקיעים ורגולטורים יכולים לפנות.

בשנת 2020 חמישה ארגונים גלובליים, המתמחים בתחום הקיימות ובמסגרות משולבות של דיווח וסטנדרטים, הודיעו על כוונתם לפעול ליצירת גישה מקיפה לדיווח על קיימות.

כמו כן, הפורום הכלכלי העולמי פרסם בשנת 2020 מסמך על מדדים נפוצים ודיווח עקבי לגבי יצירת ערך בר-קיימה, המגדיר 21 מדדי ליבה.

לחץ מצד משקיעים
מניע משמעותי לדיווח בנושא קיימות הינו לחץ גובר מצד משקיעים. BlackRock, מנהל הנכסים הגדול בעולם, הצהיר שקיימות סביבתית תהיה יעד ליבה בהחלטות השקעה עתידיות, וב- 2021 הצטרף ל- 72 חתמים נוספים ביוזמה של מחויבות ללחוץ על חברות הכלולות בתיקי ההשקעות שלהם להגיע לאפס פליטות עד 2050.

פרסום של EY מ- 2021 סָקַר 60 משקיעים מוסדיים, המייצגים נכסים מנוהלים בשווי העולה על 38 טריליון דולר. בַּסֶקֶר נמצא שבין שלושת המניעים הגדולים ביותר להצלחה אסטרטגית ב- 5 השנים הבאות, נכללו: שילוב הזדמנויות משמעותיות בתחום הקיימות באסטרטגיה (דורג במקום השני), וגיוון של הדירקטוריון, ההנהלה וכוח העבודה (דורג במקום השלישי). בנוסף, סיכוני אקלים ומגבלת משאבי טבע נכללו כאיום הנפוץ ביותר מבין שלושת האיומים להצלחה אסטרטגית בחמש השנים הבאות.

סיכום

קיימות חיונית – רלוונטיות הסיכון הולכת וגוברת

בקרב מנהיגים בעסקים ובגופי הממשל גוברת ההבנה לחשיבות ולחיוניות של קיימות. רווחה ארגונית קשורה לא רק לאסטרטגיות ולמדדים פיננסיים, אלא גם לאלה המשקפים היבטים סביבתיים, חברתיים וממשליים. גישה הוליסטית זו הכרחית ליצירת ערך ארוך טווח. לכן, תכנון אסטרטגי, ניהול סיכונים והבטחה חייבים לשלב את כל ארבעת המימדים.

אחד המדדים לצמיחתה של קיימות הוא הגישה המשתנה לגבי הרלוונטיות שלה בעולם הסיכונים. OnRisk 2021, שפורסם על ידי ה- IIA בספטמבר 2020, מצא כי קיימות עדיין לא נתפסת כתחום משמעותי של סיכון על ידי דירקטוריונים, הנהלה והביקורת הפנימית. למעשה, קיימות נתפסה  כפחות רלוונטית מתוך 11 הסיכונים שנבדקו בדוח.

גישה זו משתנה בבירור.

בשעה שתנועות צדק חברתי ושינויי אקלים משנים את סדרי העדיפויות הארגוניים, משקיעים ורגולטורים מאתגרים את הארגונים לדווח בפומבי על האסטרטגיות, ההתחייבויות ופעולות הקיימות שלהם. באמצעות דיווח על קיימות, חברות המשלבות ביעילות שיקולי קיימות באסטרטגיה העסקית ובניהול הסיכון שלהן, יכולות לדווח – כיצד שיקולים אלה משפיעים על עסקיהן ועל הרלוונטיות למחזיקי העניין שלהן.

היכולת של ארגונים לעשות זאת תלויה בעיצוב וביעילות של הבקרה הפנימית בהיבטי חשבונאות, דיווח ותקשור של מידע. החלת אותה מדידה שיטתית, אימות, ניהול ודיווח של מידע מהותי על קיימות (אשר בדרך כלל חלה על דיווח כספי), אמורה להוביל לאמון גדול יותר של ארגונים ומשקיעים / מחזיקי עניין, לערך ארגוני ולאפקטיביות שוקי ההון.

לביקורת הפנימית תפקיד חשוב במתן הבטחה בלתי תלויה ואוביקטיבית בנושאי קיימות, שהינו אחד הסיכונים המהותיים המתפתחים. הדיווח על קיימות הינו אחד הנדבכים בניהול סיכון זה.

The post נייר עמדה: תפקיד הביקורת הפנימית בדיווח על קיימות appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

אנחנו, המבקרים הפנימיים, מדברים רבות עם לקוחותינו – הארגון, יחידותיו העסקיות, מנהלי הסיכונים, ההנהלה, לקוחות חיצוניים – על ניהול סיכונים, על מקרי כשל, על משברים.

אנחנו משוחחים רבות אודות תרחישי קיצון שיכולים לשבש את פעילות הארגון, ובמקרים לא מועטים במהלך שיחות אלה, המבוקרים מרימים גבה. אנחנו שומעים תכופות כי "נכון שצריך תוכנית מגירה, ואכן נדרשת תוכנית המשכיות עסקית", אולם לרוב, דברים אלה מתמקדים, מתחילים ומסתיימים בגיבויים של מערכות המידע ו/או פעולות נקודתיות כאלה ואחרות. בתרבות הישראלית, תרחיש תיאורטי של משבר אמיתי מוערך לפי גורמים רבים כבעל הסתברות נמוכה.

ואז אנחנו שולפים דוגמאות – "קודאק" שלא התקדמה עם השינויים העולמיים ונמחקה, 9-11 בארה"ב, מדברים על מחלות מסוגים שונים, כמו האנטרקס, קדחת הנילוס, הסארס, שפעת העופות, שפעת החזירים, האבולה, ומזכירים מעת לעת שיש גם "ברבורים שחורים".

מספר רגולטורים בישראל קבעו, כי על הארגון, המפוקח על ידם, להכין תוכניות להמשכיות עסקית והתאוששות מאסון, הקובעות, בין היתר, חובת תרגולים ודיווח על ביצועם.

אבל אז באה הקורונה, "ברבור שחור" של ממש. לא רבים מאתנו העלו על דעתם משהו בקנה מידה שכזה. נראה שהנושא תפס את כל העולם בהפתעה די גמורה, והוגדר מגרש משחקים חדש, שבו כל אחד נדרש לנהל את עצמו ואת ארגונו תוך כדי תנועה, כאשר כללי המשחק משתנים כל העת. סיכון זה שייך לקבוצת "הסיכונים הפורצים" (emerging risks).

אירוע זה מהווה אתגר משמעותי לכלל הארגונים, ורק ימים יגידו אלו מהארגונים צלחו אותו בהצלחה, אלו ניזוקו בצורה משמעותית, ואלו לא צלחו את המשבר.

בכל הכאוס ואי הבהירות, כאשר הנהלות הארגונים ממוקדות בניהול המשבר המתגלגל, עלינו לחדד ולהגדיר מחדש את תפקידנו, תוך מתן משקל גם לנושא ה"חיוניות" של המבקר הפנימי בעת הזו.

ברור לכולנו שאין בכוונתנו להפריע, בעת מצוקה זו, להתנהלות העסקית השוטפת. היחידות העסקיות עובדות ב-היקף מוגבל, בצוותים מצומצמים ותחת משתנים רבים של אי וודאות.

במקרה מסוג זה – יש לנו הזדמנות נדירה לחזות באיכות תפקוד הארגון בזמן אמת. ככל הנראה, כל התרגולים בעולם לא יצליחו לקחת בחשבון מכלול כה רחב של אילוצים, שינויים, התאמות, מגבלות, שיש להגיב להם בזמן אמת. באזעקת אמת זו, אין לארגון אפשרויות רבות, אם בכלל, לחזור אל ה-drawing board, אלא לתקן תוך כדי תנועה. נדרש מערך אמיץ של קבלת החלטות.

בקרב המבקרים הפנימיים, מתעוררות שאלות רבות לגבי תפקידנו בשעה מאתגרת זו. אנו ננסה להשיב על חלק מהשאלות במסמך זה, ולספק קווים מנחים להתנהלות הביקורת הפנימית בעת הזו.

תחת מטריית "ניהול הסיכונים", התקנים המקצועיים הבינלאומיים של ה- IIA מתייחסים במספר מקומות להיבטים אלה:  ב"משימת הביקורת הפנימית", ב"עקרונות הליבה", ב"הגדרת מקצוע הביקורת הפנימית", ובתקן 2120 שקובע כי עלינו "להעריך את האפקטיביות, ולתרום לשיפור תהליכי ניהול הסיכונים". קיים גם מדריך משלים בנושא Business Continuity Management, המתייחס לכללים מנחים לבדיקת עולם סיכונים זה, אשר הינו העולם בתוכו מוכלת מגיפת הקורונה. חוק הביקורת הפנימית קובע, כי על המבקר הפנימי לבדוק, בין היתר, את תקינותן של פעולות הארגון "מבחינת השמירה על החוק" ו"על הניהול התקין", וקיימות הוראות נוספות. לכאורה, אין מניעה שנפשיל את שרוולינו ונחֵל בבדיקת הנושא.

 האמנם?

סוגיית העיתוי ומידת המעורבות של המבקר הפנימי לא הוגדרה בתקנים ובדיונים שהוזכרו, אם כי צוין שעליו לבצע בדיקות אלה.

ככל הנראה, רק בדיעבד (לאחר סיום המשבר), ניתן יהיה לאמוד (במדויק) היבטים מסוימים ובכללם- את המוכנות, את הנזק, ואת היכולת האמִתית להשתקם. תפקידנו יהיה לבחון את תהליכי הפקת הלקחים ואת הגדרות תוכניות הטיפול והמוכנות הארגונית למשבר הבא. בהמשך, נוכל לאתגר, להעיר ולהפנות זרקורים למכלול ההשלכות.

אז מה עלינו לעשות עכשיו?

להלן מספר קווים מנחים עבור הביקורת הפנימית, לאור נקודות ודילמות שהועלו בימים האחרונים. קווים מנחים אלה אינם מחייבים, ומוצע כי כל מבקר ישקול, לפי שיקול דעתו, ובהתייחס לנסיבותיו של הארגון בו הוא מכהן, את התנהלות יחידתו במצב המורכב שבו ניצבים כולנו:

• תצפיות על ניהול המשבר ועל ההתנהלות הארגונית – השתתפות בוועדות ניהול המשבר כמשקיפים, סקירת מסמכים, סיוע במבט כולל על היבטי ניהול הסיכונים הכרוכים בכך, בחינה שדברים אינם נופלים בין הכיסאות בהיבט של נטילת אחריות ו-ownership על התהליך. מתפקידנו להבין ולהעריך את המגוון הרחב של הסיכונים המיידיים, ובתוך כך להסיק- האם הנהלת הארגון זיהתה את הסיכונים הישירים והעקיפים והחליטה באשר לטיפול הנדרש בסיכונים אלה.
• בד בבד, צמצום עבודת השטח – בתקופה זו, בה הקֶשֶב הארגוני לביקורת נמוך עד אפסי, ראוי לבחון את היקף עבודת השטח שניתן לבצע, ולשקול להתמקד בהיבטים הבאים, "עד יעבור זעם":
  • התמקדות בעבודת כתיבת טיוטת הדוחות, גיבוש תוכניות ביקורת, שליפות וניתוחי נתונים ונושאים שאינם מצריכים תשומות מבוקרים.
  • קיום הכשרות, הסמכות והדרכות מקצועיות (מקוונות) ליחידת הביקורת בנושאי ביקורת ובנושאים נוספים שיכולים לתרום לשיפור רמת המקצועיות שלהם (כגון: סייבר, מערכות מידע, מעילות והונאות, המשכיות עסקית, ועוד).
  • קידום נושאי האיכות בעבודת הביקורת הפנימית, כולל תזמון Self-assessment.
• ככלל ובשגרה, יש להימנע מכניסה לנעלי בעלי תפקידים המבצעים בקרה, בשם כוונה טובה לסיוע לארגון. זאת לאור היעדר אפשרות לכך בחקיקה ובתקנים, ומכיוון שהמבקר עלול להימצא במצב של ניגוד עניינים עתידי, העלול לפגום באי תלותו. עם זאת, במצב חירום כגון זה, יהיו מבקרים שייאותו לבצע זאת, ולכן עליהם לקבל אישור מראש של ועדת ביקורת/ הדירקטוריון, לפי העניין.
• בנוגע להתאמה של תכנית העבודה – מומלץ שהמבקר הפנימי יבחן את התכנית שאושרה וישקול לערוך שינויים והתאמות לנוכח הסיטואציה שנוצרה. להלן מספר דוגמאות:
  • הגברת החשיפה לסיכוני מעילות – עלולים להיווצר או להעמיק קשיים כלכליים של עובדים (למשל עקב הפסקת עבודה של בן/בת הזוג, שחיקה מהותית של תיקי השקעות וכיו"ב) ולהגביר את החשיפה למעילות. המבקר הפנימי יכול לבצע בדיקות ממוקדות לסיכונים אלה, למשל בנקודות כניסת הכספים ויציאתם מהארגון (בנושאי תשלומים, שכר, חישובי הכנסות, ועוד).
  • התאמת הבקרות לשינויים בתהליכי העבודה – ההתמודדות עם המשבר כרוכה במקרים רבים בביצוע שינויים בתהליכי העבודה. שינויים אלה עשויים לחייב התאמה של הבקרות ואמצעי הבקרה. יש מקום שהמבקר הפנימי יסיט משאבים לטובת ליווי השינויים ומתן יעוץ בנושאי בקרה, ו/או ביצוע ביקורות מלוות תוך מתן משוב מהיר לארגון בנוגע לחשיפות והמלצות לגידורן.
  • התרשלות בביצוע בקרות מהותיות – למשל כתוצאה מהיעדרות כוח אדם (בידוד, הוצאה לחופשה וכיו"ב) או הסטת תשומת הלב לפעילויות אחרות. יש מקום שהמבקר יבחן שבקרות המפתח המהותיות ממשיכות לפעול כסדרן, ויתריע במקרים בהם איתר חשיפות משמעותיות.
  • סיכוני אבטחת מידע וסייבר – כחלק מהתמודדות עם מניעת התקהלות וצמצום החשיפה לקורונה, ארגונים רבים עוברים לעבודה מהבית. בחלק מהמקרים מדובר בשגרות קיימות ובאמצעים טכנולוגיים קיימים בהם מוגבר השימוש, ובחלק מהמקרים מדובר ביצירת שגרות חדשות ויישום לראשונה של אמצעים טכנולוגיים לעבודה מרחוק. אלה ואלה עשויים להגביר את החשיפה לסיכוני אבטחת מידע וסייבר. המבקר הפנימי עשוי להשתלב בתהליכים אלה כיועץ לבקרה, או לבצע (זמן קצר לאחר יישומם) ביקורות לבחינת טיפול בחשיפות ואפקטיביות אמצעי ההגנה.
• להניח לארגון, אולם לא לאבד קשר ותקשורת עם מחזיקי העניין המרכזיים, כולל יו"ר הדירקטוריון, יו"ר ועדת הביקורת והמנכ"ל, בדגש על הנושאים הבאים:
  • קבלת עמדתם בנוגע למטלות שהם מעוניינים שהביקורת תשים עליהן דגש.
  • אישור, במידת הצורך, של ביצוע התאמות בתוכנית העבודה.
  • התאמה/ שינוי, במידת הצורך, של כתב ההאמנה (צ'רטר הביקורת הפנימית), לצורך ביצוע פעילויות ייעוץ והגדלת טווח הפעולה ורמת שיתוף הפעולה עם הביקורת בהווה ובעתיד.
  • עדכון בנוגע לחשיפה לאי-עמידה בתוכניות העבודה. ככלל, נראה שבנקודת זמן זו, מוקדם מדי לקבוע מה תהיינה ההשלכות של אי-עמידה בתוכנית העבודה השנתית, ויתכן שניתן יהיה להתגבר על פיגורים בהמשך השנה (במאמץ מוגבר). בכל מקרה, ראוי לשקול ולהתריע באופן מסויג, ולעשות הערכת מצב טובה יותר לקראת אמצע השנה.
• לא להלאות, אולם כן להפנות את תשומת הלב לסיכונים שעשויים להתפתח כתוצאה ישירה או עקיפה של מגפת הקורונה– לדוגמה:
  • מקרי הדיוג (phishing) ופעילות סייבר שמתגברים – לוודא שמנהל אבטחת המידע מודע, מטפל ומתקשר. הנושא מקבל משנה חשיבות בד בבד עם העברת עובדים לעבודה מהבית (או פיזורם בין מספר אתרים של הארגון), יצירת התקשרות מרחוק, וכאשר אין לארגון מספיק מחשבים ניידים לספק לעובדים- ולכן עובדים נדרשים לעבודה ממחשבם האישי (שאינו מאובטח בהכרח לפי מדיניות האבטחה של הארגון). בנוסף, יש לשים לב גם לפיקוח, בקרה ורישום באשר לרכש חדש של מחשבים ניידים והשאלת מחשבים לעובדים לצורך עבודה מרחוק.
  • פגיעה אפשרית באיכות התקשורת הדו-כיוונית והדיווח בין העובדים להנהלה.
  • הפרעות לאחסון חיצוני של מידע.
  • מפרי בידוד – הארגון לא בהכרח מודע וערוך לאכוף מקרי עבודת שטח של עובדים המפרים בידוד.
  • הפניית תשומת הלב לַצורך בעמידה ברגולציות החלות על הארגון והחשיפות המשפטיות – גם בעת הזו.
  • סיכון תדמיתי לארגון, כתוצאה מתפקוד ומתגובה לקויים בעת משבר, עלול להחריף את הנזק הפוטנציאלי לאחר סיום המשבר: לקוחות שמדירים רגליים, גופים פיננסיים שמסרבים לתת מימון וכד'.
  • האם הנהלת הארגון מתייחסת להשפעות אפשריות לטווח ארוך- השפעת משבר הקורונה על הכלכלה יכולה להימשך חודשים ואף שנים. ראוי לחשוב על תחזיות צמיחה עסקית, תזרים מזומנים ועוד.
  • היערכות הארגון ל"יום שאחרי": חזרה מהירה לייצור או מתן שירותים, מענה לביקוש. הארגון שחוזר ראשון "לרכב על הסוס" הינו ארגון שעשוי לשרוד באופן מיטבי לטווח ארוך.
• בנוגע לביצוע עבודת הביקורת עצמה – לאור דלוּת הקֶשֶב הארגוני וכדי להמשיך להיות רלבנטיים, ראוי במיוחד בעת הזו – לשקול המלצות באשר לצעדי תיקון נחוצים לאזורים המהותיים ביותר, אף מעבר לתקופה "רגילה".
• מעקב תיקון ליקויים – מוצע שהביקורת הפנימית תשקול לעקוב אחר יישום ההמלצות המרכזיות, כך שהארגון לא ישקיע את משאביו בתיקון ליקויים באזורים שלא נדרש לטפל בהם כעת. כמובן שניתן לדחות לעתיד את מעקב היישום לגבי ההמלצות שהינן פחות מהותיות.
• מה עושים ב"יום שאחרי"?
  • ברמת הארגון- מומלץ לבחון שהארגון מבצע בחינה והפקת לקחים מהתנהלותו בעת המשבר, בין אם הכין מראש תוכנית המשכיות עסקית והיערכות לתרחישי קיצון, ובין אם לא הכין תוכנית כזו.
  • ברמת הביקורת הפנימית-
    • מומלץ שהביקורת עצמה תבצע הפקת לקחים, כפי שאנו דורשים מלקוחותינו (המבוקרים), ותבחן האם היו ברשותה תוכניות מגירה מתאימות להתנהלות בעִתות משבר, ובמידת הצורך- תכין/ תשפר/ תעדכן תוכניות אלה.
    • בחינת תוכנית העבודה של הביקורת והתאמתה ל"יום שאחרי"- נוהלי חזרה לשגרת עבודה והכנת תוכנית לתיעדוף משימות הביקורת. חלקן של היחידות העסקיות יתמקד, ללא ספק, ב"ליקוק הפצעים" ובשיקום, ולא יהיה זמין.

*חלק מהקווים המנחים נשען על הבלוג של Richard Chambers, נשיא ומנכ"ל ה- IIA העולמי.

The post קווים מנחים – התנהלות הביקורת הפנימית בעת משבר (הקורונה) – הוועדה המקצועית appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

רקע…………………………………………………………..2

צידוקים לפרסום דוחות ביקורת הפנימית……………………….. 4

השלכות שליליות על הביקורת הפנימית………………………… 5

פרסום תוצרי הביקורת בראי התקנים המקצועיים…………………9

סיכום ומסקנות………………………………………………. 10

רקע

1. חוק חופש המידע, אשר נחקק בשנת 1998, קובע כי "לכל אזרח ישראלי או תושב הזכות לקבל מידע מרשות ציבורית בהתאם להוראות חוק זה". החוק מורה לכל רשות ציבורית למנות מקרב עובדיה ממונה על העמדת מידע לרשות הציבור, וקובע הסדרים לטיפול בבקשות לקבלת מידע. החוק נועד להגשים מספר אינטרסים עיקריים ובהם האינטרס בדבר חופש הביטוי וזכות הציבור לדעת, לקדם תרבות שלטונית באמצעות פיקוח ציבורי על פעילויות רשויות השלטון ושקיפות פעילותם, מתפישה לפיה הרשות השלטונית מחזיקה במידע בנאמנות עבור הציבור כולו וכיו"ב.
2. מאז חוקק החוק, נעשו פניות לקבלת דוחות ביקורת פנימית במסגרת חוק זה ואף הנושא הובא לפתחו של בית המשפט. עיקרי פסיקת בג"צ ב- עע"מ 6013/04 – משרד התחבורה נ' חברת החדשות מובאת להלן:

" …אין לקבוע, בשום פנים, חיסיון גורף. על המערערת לשקול תמיד גילוי מלא או חלקי של המידע, ועליה הנטל להראות כי מניעת העיון, בכל מקרה ומקרה, מוצדקת היא. ככל שאינטרס הציבור במידע בולט יותר, כך נדרשת המערערת להעמיד נימוק משכנע יותר לחיסויו. מקום בו הדבר אפשרי, על הרשות לסמן ב"עפרון כחול" את החלקים שלא ניתן לגלותם, ולפרסם את היתר. אמצעים חשובים בהקשר זה, שיש לשקלם, הם פרסום תמצית ממצה והשמטת שמות."

3. יצוין שבהתאם לפקודת העיריות, רשויות מקומיות מפרסמות את דוחות מבקר העיריה לאחר שחלפו 7 חודשים מהגשתו לראש העיריה. בתקופה זו ראש העיר מגיב על הדוח והדוח נדון במועצת העיריה ובמועצת הרשות. הדוח מפורסם תוך פרק זמן האמור, גם אם לא התקיימו השלבים המצוינים לעיל. הפרסום מתבצע באתר הרשות המקומית.
4. בשנים האחרונות גוברת תופעה, לפיה מתבצעת פנייה לחברות וגופים ממשלתיים רבים בבקשה לקבל תוצרי ביקורת פנימית, לרבות – דוחות הביקורת הפנימית, תכניות עבודה שנתיות של הביקורת הפנימית, רשימת דוחות ביקורת, פרוטוקולים של דיונים בדוחות הביקורת, פירוט צעדים שננקטו בעקבות דוחות ביקורת וכיו"ב.

יצוין, כי מדובר בבקשות מידע גורפות ולא ממוקדות, לגבי מספר שנים רב (כ-5 שנים בחלק מהפניות).

5. לאור האמור לעיל, פנו מספר מבקרים פנימיים ל- IIA ישראל- איגוד מבקרים פנימיים בישראל, על-מנת שייתן את דעתו לנושא לאור ההשלכות הגורפות על מקצוע הביקורת הפנימית, על עבודת המבקרים הפנימיים ועל יכולתם למלא את תפקידם באופן אפקטיבי לטובת הארגונים אותם הם משרתים.
6. נייר עמדה זה אינו כולל בחינה משפטית של היבט פרסום ותוצרי הביקורת. מיקודו כאמור הוא בהשפעת פרסום כאמור על עבודת המבקרים הפנימיים.

צידוקים לפרסום דוחות ביקורת הפנימית

7. להלן צידוקים עיקריים לפרסום דוחות ותוצרי ביקורת כפי שמופיעים בפסיקות בית המשפט ובמקורות אחרים:

• פרסומם בציבור של ממצאי ביקורת, המתבצעת בגוף שלטוני הוא עניין חיוני כחלק מזכות הציבור לדעת וכנגזר מזכותו לקבל דין וחשבון על אודות מהלכי תפקודו של מוסד ציבורי. ערובה לקיומו של ממשל תקין היא בהעמדתו לביקורת, וכדי שהביקורת תהיה יעילה, על ממצאיה להיות גלויים וחשופים לעיני הציבור ולביקורתו. על כן פרסום דוח הביקורת הוא תנאי הכרחי לאמון הציבור במוסדות השלטון וליעילות הפיקוח הציבורי עליו" (מקור – בג"ץ 7805/00 רוני אלוני נ' מבקרת עירית ירושלים).
• פרסום דוח הביקורת הוא כלי מרתיע ורב עוצמה, אשר עשוי לדרבן בתוך היחידות שבוקרו לפעול לתיקון לאלתר של הליקויים (ועדת קוברסקי לשיפור הביקורת בגופים ציבוריים 1994).
• בגוף ששקיפותו רחבה כגון משרד ממשלתי, ראוי שתימצא דרך לפרסם ממצאי ביקורת מסוימים וזאת בצורה מבוקרת ובלא לפגוע בנושאים שחשיפתם לציבור עלולה לגרום נזק רב מן התועלת שבפרסום. הפרסום כאמור ירים תרומה של ממש לחיזוק מעמדה של הביקורת הפנימית ולשיפור סדרי המינהל בגופים שלציבור עניין בהם (מקור – הצעת לתיקון חוק הביקורת הפנימית מ- 2001 ע"י צוות מרצים בביקורת פנימית כפי שמוזכר בעת"מ 454/02 משרד התחבורה נ' חברת החדשות משנת 2004).
• כנגד טענת המערערת בדבר החשש מפגיעה במעמדו של המבקר הפנימי ניתן להעלות טענה נגדית ולפיה דווקא פרסום הדוח ברבים הוא שיבטיח כי מעמד המבקר יתחזק וישתרש וכי ממצאי הביקורת יילקחו ברצינות הראויה ….. קיימים תימוכין לסברה כי דווקא חשיפה מבוקרת של ממצאי ביקורת פנימית היא אמצעי חשוב לחיזוק מעמדו של המבקר הפנימי ולהבטחת התייחסות הולמת ורצינית לממצאיו (מקור – עע"מ 6013/14 משרד התחבורה נ' חברת החדשות).
• בהתנהלות נכונה של המבקר הפנימי, הממונה על חופש המידע והנהלת החברה עשויה לחזק את הביקורת ומטרת העל שלה (מבקר פנימי של משרד ממשלתי בפורום מבקרים פנימיים ראשיים).

השלכות שליליות על הביקורת הפנימית

8. עיקרי ההשלכות השליליות של פרסום דוחות תוצרי ביקורת  כפי שהופיעו בטיעוני המדינה והממונה על העמדת מידע לציבור במשרד התחבורה בעת"מ 454/02 משרד התחבורה נגד חברת החדשות:

• מסירת דוחות ביקורת פנימית של הרשות, עלולה לשבש את תפקודה התקין של הרשות או את יכולתה לבצע את תפקידה וזאת לאור היות מכשיר הביקורת הפנימית חלק מהליך הניהול הפנימי ובקרת איכות שנועד לשמש ככלי עזר ניהולי של הגוף המבוקר בלבד.
• כוחו ומעמדו של המבקר הפנימי ייפגעו, אם תהיה חובה למסור את הדוחות לעיתונאים על פי חוק חופש המידע. יש גם חשש כי מוסרי אינפורמציה למבקר הפנימי יחששו לעשות כן, אם ידעו שהדוח יפורסם, וכך תסוכל מטרת הביקורת הפנימית.
• הליך הביקורת הפנימית נועד לאפשר לעומדים בראש הגוף המבקר לעמוד על כשלי הגוף, מתוך תכלית לשפר את איכות תפקודו. על הליך הביקורת הפנימית להתנהל בחופשיות, כך שיענה ביעילות על צרכי הביקורת הראויים של הגוף המבוקר ויתרום במידה המירבית לשיפור תפקודו. הליך הביקורת הפנימית הוא הליך חיוני לגוף המבוקר ועליו להיעשות ללא כחל וסרק תוך הקפדה והחמרה עצמית, חשיפה ללא פשרות והתמודדות חסרת פניות.
• שמירת סודיות הדוחות חיונית, כדי להבטיח, כי בקביעת תכנית העבודה של המבקר לא יירתע הגוף המבוקר מלטפל בכל נושא שהוא, בשל החשש מתוצאותיו האפשריות של פרסום דוח הביקורת, והן כדי להבטיח שיתוף פעולה החיוני מצד העובדים. לפיכך, ועל מנת שלא להעמיד את הגוף המבוקר במצב שכזה, יש להבטיח את פנימיות ההליך ולא לאפשר את פרסום הדוחות.
• ההיגיון המנחה למניעת פרסום הדוחות הוא אותו הגיון הנעוץ בהטלת חובת סודיות של המבקר הפנימי במסגרת חוק הביקורת הפנימית, התשנ"ב – 1992.
• דוח ביקורת פנימית נחשב כדיון פנימי, שאין חובה למוסרו על פי חוק חופש המידע.
• מאזן הכולל הגנה על תפקוד מוסד המבקר הפנימי, מחייב אי חשיפת דוחותיו.
• עמדת לשכת המבקרים הפנימיים שהובאה בפסק דין זה הייתה, כי יש למנוע את פרסום דוח הביקורת הפנימית. אסור לפגוע במעמדו המיוחד של המבקר הפנימי, שכן הדבר יפגע בארגון הציבורי עצמו. כל כוחו של המבקר הפנימי, נובע מכך שהוא חלק מן הארגון ואינו חושף את הליקויים לכל העולם אלא רק להנהלת הגוף המבוקר, כדי שזה יפעל בהתאם לדוח וישפר את הארגון, הפרסום יכול שיביא למצב שבו ההתנכלות לביקורת הפנימית תתגבר, עד כדי חשש להריסתה, למרות חיוניותה של הביקורת הפנימית לתפקוד התקין והמלא של הארגון.

דעתו של נשיא לשכת המבקרים הפנימיים העולמית

9. מר ריצ'רד צ'יימברס – נשיא לשכת המבקרים הפנימיים העולמית (IIA), מתייחס לסוגיה בבלוג שלו שפורסם ביולי 2019  Exposing Internal Audit's Work: Too Much of a Good Thing?,
10. מר צ'יימברס מצין, כי מבקר פנימי כשמו כן הוא "פנימי" – אחריותו העיקרית של המבקר הפנימי וחובת האמונים שלו היא לארגון אותו הוא משרת, חובה המלווה בשמירת חשאיות הממצאים ובשיתוף הגורמים הרלוונטים בארגון. אופן הטיפול בממצאי המבקר הפנימי מצוין בתקנים המקצועיים של הביקורת הפנימית.
11. כמו כן, הוא מוסיף, כי דוחות הביקורת כוללים בתוכם לעיתים סודות מסחריים, חולשות של הארגון בתחומים מגוונים; כגון, חולשות סייבר, ומידע לגבי אסטרטגית ההתרחבות של הארגון, או מידע אחר שאם ייחשף- עשוי להעמיד בסכנה את הצלחת הארגון ולפגוע במוניטין שלו בעיני המשקיעים.
12. בנוסף, מציין מר צ'יימברס, כי יחסי הביקורת הפנימית עם ההנהלה עשויים להיפגע וכך גם שיתוף הפעולה של ההנהלה ונכונותה לחשוף בפני הביקורת היבטים בעייתיים. הוא מביא דוגמה מעברו כמבקר פנימי ראשי (מפקח כללי) בארגון ציבורי בארה"ב אשר הדוחות שהפיק פורסמו באופן שגרתי- דבר שפגם לדבריו ברצון ההנהלה להיות פתוחה ושקופה עמו. מנהל בארגון, באותה עת, פעם אמר לו "יש מספר תחומים שאני חושש שיש לנו בעיות לגבם, אך לעולם לא אבקש ממך לבחון אותם, מכיוון שדוחותיך חשופים לציבור הרחב".

השלכות שליליות נוספות

13. כאמור בפרק המבוא, בשנים האחרונות גוברת תופעה, לפיה מתבצעת פנייה לחברות וגופים ממשלתיים רבים, בבקשה לקבל תוצרי ביקורת פנימית לרבות – דוחות הביקורת הפנימית, תכניות עבודה שנתיות של הביקורת הפנימית, רשימת דוחות ביקורת, פרוטוקולים של דיונים בדוחות הביקורת, פירוט צעדים שננקטו בעקבות דוחות ביקורת וכיו"ב. מדובר בדרישות גורפות ולא ממוקדות (בניגוד

לדרישה ממשרד התחבורה בזמנו שנגעה לנושא תאונות אוויריות) המגבירות את החשש, כי מידע זה עשוי לשמש גורמים עוינים/מתחרים לארגון לאיסוף מודיעין עסקי על פעילות הארגון, תהליכיו, כשליו, חשיפות משפטיות וכיו"ב, ולאו דווקא לצרכי טובת הציבור.

14. בהקשר לנקודה זו ולנקודה המוזכרת בסעיף 11 לעיל, מתוך מאמרו של נשיא לשכת המבקרים הפנימיים העולמית (IIA), יש לציין, כי לחלק מהגופים הכפופים לחוק חופש המידע (למשל חברות ממשלתיות), קיימים מתחרים שלא כפופים לחוק זה, כך שחובת הגלוי כאמור עשויה להוות פגיעה ממשית ביכולת של הגופים הכפופים לחוק חופש המידע למלא את יעודם בהצלחה.
15. בדיון במסגרת פורום מבקרים פנימיים ראשיים, שנערך בחודש ספטמבר 2019, ציינו מבקרים פנימיים, כי מידע כאמור שיוצא מהארגון סביר שיתפרסם תוך נטייה לפיקנטריה ולהוצאת הדברים מהקשרם; וכתוצאה עלול לפגוע בתדמית הביקורת הפנימית ובמעמדה.
16. יצוין, כי בדיון זה נערך בסיומו משאל בין המשתתפים בשאלה- האם פרסום תוצרים הביקורת מועיל או מזיק לביקורת הפנימית, למעמדה ולאפקטיביות שלה, ורובם המכריע של המשתתפים סבר כי הוא מזיק.
17. החוק מאפשר לעיתים לסנן ולצמצם את המידע שנמסר לפונים לבקשת המידע, אולם הידיעה, כי הדוח יתפרסם (ברשויות מקומיות למשל) או עשוי להתפרסם אם תהיה בקשה לקבלו מתוקף חוק חופש המידע, מסרבל ומאט משמעותית את תהליך הביקורת. סרבול זה נובע ממתן זכות עיון וזכות טיעון לגורמים המבוקרים, לרבות לצדדים שלישים, עירוב גופים משפטיים וכיו"ב. כתוצאה מכך, מיקוד עבודת המבקר הפנימי מופנית להיבט הפרסום וזאת על-חשבון תפקידו העיקרי לקדם שיפור ארגוני; שיפור אשר לעיתים חשוב מאוד לבצע בהקדם האפשרי. סרבול כזה אף עשוי לעיתים להפוך את דוחות הביקורות ללא רלוונטיים, לאור פרסומם המאוחר.
18. פרסום צפוי כאמור של דוחות הביקורת עלול להשפיע על ההנהלה ועל הביקורת הפנימית בבחירת הנושאים שיבוקרו, כמו גם על האופן בו מנוסחים הממצאים וההמלצות לשיפור ע"י המבקר הפנימי. עובדות אלה יוצרות למעשה לחצים מיותרים על המבקר הפנימי הן לגבי הממצאים שיכללו (ובמיוחד- ממצאים שלא יכללו) בדוח הביקורת, והן לגבי אופן ניסוח הממצאים עצמם.
19. השלכות היבטים אלה משמעותן הלכה למעשה פגיעה באפקטיביות הביקורת הפנימית.

20. הפניות לבקשת פרסום תוצרי הביקורת בהיקפים כה רחבים[1], כמצוין לעיל, דורשות מהביקורת הפנימית, מהממונה על העמדת מידע לציבור ומהנהלת הארגון משאבים רבים בסינון החומר המועבר, לרבות סימון ב"עט כחול" של החלקים בדוח אותם לא ניתן לפרסם. לעיתים אף נדרשים הארגונים להסתייע ביועצים משפטיים, על מנת להתגונן מבקשות מידע אשר לדעת חושפות את הארגונים; בכך מוסט הדוח ממטרתו הניהולית (כלי עזר בניהול הארגון) למסמך משפטי דה-פקטו (למרות שאינו אמור להיות כזה דה-יורה).

פרסום תוצרי הביקורת בראי התקנים המקצועיים

21. פרסום דוחות הביקורת הפנימית עשוי לגרום לביקורת הפנימית שלא לעמוד בדרישות התקנים המקצועיים הבינלאומיים של לשכת המבקרים הפנימיים העולמית IIA – המהווים את הכללים המקצועיים המקובלים, בהיבטים המצוינים  להלן:

• אי עמידה במשימת הביקורת הפנימית – לחזק ולהגן על ערך הארגון על ידי מתן הבטחה עצה ותובנה אובייקטיביים מבוססי סיכון . כפי שצוין לעיל, פרסום תוצרי ביקורת עשוי במקרים רבים להחליש ולחשוף את הארגון, במקום לחזקו ולהגן עליו.
• אי עמידה בדרישת אחד מעקרונות הליבה של הביקורת הפנימית הדורשת מהמבקרים הפנימיים להיות "אובייקטיבים ומשוחררים מכל השפעה בלתי הולמת"; כפי שהוסבר לעיל, היבט פרסום הדוחות הוא גורם אותו המבקרים חייבים לקחת בחשבון, למשל בעת בחירת נושאי הביקורת בתוכנית העבודה השנתית שלהם, אופן ניסוח דוחות הביקורת וכיו"ב.
• עקרון ליבה נוסף הוא, כי על המבקרים "לתקשר באופן אפקטיבי"; כפי שהוסבר לעיל, פרסום דוחות הביקורת יקשה על המבקרים הפנימיים לתקשר עם הנהלת ועובדי הארגון ולזכות בשיתוף הפעולה והאמון שלהם.
• אי עמידה אפשרית בדרישות תקן מס' 2440 – הפצת התוצאות. תקן זה מחייב את המבקר להפיץ את תוצאות הביקורת להפיץ את תוצאות הביקורת ל"גורמים המתאימים"; גורמים היכולים להבטיח, כי תינתן התייחסות ראויה לתוצאות. כמו כן, תקן זה דורש מהמבקר, כי בכפוף לכל דין או דרישה חוקית או רגולטורית, ולפני ההפצה לגורמים מחוץ לארגון

על המבקר הפנימי להעריך את פוטנציאל הסיכון לארגון ולפקח על ההפצה באמצעות הגבלה על השימוש בתוצאות. חובת הפרסום החלה על הארגונים מתוקף חוק חופש המידע מוציאה משליטת המבקר היבטים הקשורים לפרסום הדוח מחוץ לארגון.

יודגש, כי בסעיף 4 לחוק הביקורת הפנימית נקבע, כי "המבקר הפנימי יערוך את הביקורת בהתאם לכללים מקצועיים מקובלים".

סיכום ומסקנות

22. חוק חופש המידע והפרשנות לה נתן בית המשפט לגבי יישומו, לא מצאו, לדעת איגוד המבקרים הפנימיים, את האיזון הראוי בין האינטרס הציבורי של זכות הציבור לדעת מול האינטרס של שמירה על ביקורת פנימית אפקטיבית. הגם שיש הסוברים שפרסום דוחות הביקורת עשוי לעיתים לחזק את הביקורת הפנימית, הרי שלדעת האיגוד, פרסום כאמור פוגע באפקטיביות שלה ובמעמדה וזאת מכיוון שפרסום כאמור עשוי לשבש את פעילות הארגון, לסייע למתחרים ולגורמים אחרים המעוניינים ברעתו, לפגוע במעמדו של המבקר הפנימי בארגון ובשיתוף הפעולה לה הוא זוכה מהנהלת ועובדי הארגון. פרסום כזה משפיע על עבודת הביקורת הן בהיבט הנושאים הנבחרים לביקורת, אופן ביצוע הביקורת וניסוח הממצאים (הן זהירות הניסוח, והן החלטה – אלו ממצאים ימצאו את מקומם בדוח הביקורת ואלו ממצאים ימצאו את מקומם מחוץ לדוח הביקורת). הפרסום הצפוי מסרבל ומאט משמעותית את תהליך הביקורת, משבש את תכליתו הניהולית והופך אותה לתהליך סמי-משפטי, ובכך פוגם באפשרות הביקורת לקדם שיפור ארגוני. בנוסף, הטיפול בדרישות הגורפות והלא ממוקדות לגבי אורך/היקף התקופה (שנים רבות) צורך מהארגון משאבים רבים לטיפול ולסינון המידע ולהתדיינות משפטית. מן המקובץ לעיל, עולה, כי הפרשנות לחוק חופש המידע באשר לדוחות ביקורת פנימית, פוגעת בביקורת פנימית אפקטיבית וגורמת לה להחטיא את מטרתה הראויה.
23. לדעת האיגוד, ראוי לבחון את שינוי חוק חופש המידע או למתן את הפרשנות הרחבה לאופן יישומו ; זאת ניתן לעשות בין היתר באמצעים הבאים:

• הוועדה הציבורית לבחינת חוק הביקורת הפנימית (ועדת זילר), אשר מסקנותיה פורסמו בשנת 2006 וכללו את ההתייחסות להלן –

"נראה לנו שלצורך השגת המטרה הרצויה חשוב שהחוק יכלול נורמת גילוי מחייבת שתחייב כל גוף מבוקר להוציא אחת לשנה מעין "גילוי דעת" שיכלול פרטים על מסגרת הביקורת הפנימית כפי שהתקיימה אצלו בשנה הקודמת; אין מדובר בדיווח על תוכנה ותוכה של הביקורת אלא על קליפתה בלבד", האיגוד תומך בגישה זו. בבלוג של מר ריצ'רד צ'יימברס, נשיא לשכת המבקרים הפנימיים העולמית (IIA), המוזכר לעיל, מצוין, כי פרסום פרטים המצביעים על מעמדה החזק של הביקורת הפנימית בארגון הוא צעד חיובי שעשוי לחזק את מעמד הארגון בקרב המשקיעים.

• הגבלת הדרישות מתוקף חוק חופש המידע (למשל למספר שנים מסוים)
• הוספת הצורך לנמק לצורך מה נדרשים דוחות ותוצרי הביקורת הפנימית[2]
• צמצום המידע לנושאים ספציפיים שמתבקשים (בניגוד ל"דיג" כללי ונרחב)
• להשאיר בידי הארגון את ההחלטה – האם לפרסם את תוצרי עבודת המבקר הפנימי ובאלו מידה ואופן.

רו"ח דורון רונן, CIA

משנה לנשיא ויו"ר הועדה המקצועית IIA ישראל-איגוד מבקרים פנימיים בישראל

רו"ח אורן שחר, CIA

דירקטור ויו"ר הוועדה למענה לשאלות מקצועיות של חבריםIIA  ישראל איגוד מבקרים פנימיים בישראל

[1] יצוין כי תקנות חופש המידע (אגרות) תשנ"ט 1999 כוללות מנגנון להשתת עלויות הפקת המידע על מבקש המידע, במקרים בהם הטיפול בבקשה צורך משאבים משמעותיים מהממונה על חופש המידע בארגון.

בהתאם לסעיף 7 לחוק חופש המידע –אין על מבקש המידע לנמק את בקשתו   [2]

The post נייר עמדה – פרסום דוחות ביקורת חוק חופש המידע appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.

במענה לפנייתך אלינו מיום 31 ביולי  2019 בו הפנית את השאלה הבאה:

האם המבקר הפנימי הראשי יכול לשמש גם כממונה על האתיקה בארגון? (מדובר בתפקיד חדש בארגון. גורם אליו יועברו דילמות אתיות או בעיות הקשורות לאתיקה והוא ידווח לדירקטוריון במידת הצורך)

ראשית אציין, כי המידע המצוין בשאלה לגבי מהות התפקיד הוא מוגבל, ציינת כי את/ה משמש/ת כמבקר/מבקרת פנימית בגוף פיננסי; לאור זאת, המענה הר"מ יתייחס להיבט העקרוני.

בסעיף 8 בחוק הביקורת הפנימית בדבר ייחוד פעולות מצוין, כי " מבקר פנימי לא ימלא, בגוף שבו הוא משמש מבקר, תפקיד נוסף על הביקורת הפנימית, זולת תפקיד הממונה על תלונות הציבור או הממונה על תלונות העובדים, ואף זאת – אם מילוי תפקיד נוסף כאמור לא יהיה בו כדי לפגוע במילוי תפקידו העיקרי."

הוראות ברוח זאת קיימת בהוראה ניהול בנקאי תקין מספר 307 [1]

בגופים מוסדיים, המבקר הפנימי יכול לשמש כממונה על תלונות עובדים בלבד[2]

בתקנים המקצועיים הבינלאומיים של ה IIA, תקן 1112 – תפקידי המבקר הפנימי הראשי מעבר לביקורת פנימית מצוין, כי "כאשר למבקר הפנימי הראשי יש תפקידים או מצופה ממנו לבצע תפקידים ו/או אחריות מחוץ לביקורת פנימית, חייבים לנקוט אמצעי זהירות כדי להגביל פגיעות באי התלות או באובייקטיביות".

לדעת חברי הוועדה למענה לשאלות מקצועיות של חברים, על המבקר הפנימי להימנע מלשמש כממונה על האתיקה בארגון, לאור זאת שמדובר בתפקיד מעין ביצועי הכרוך בקבלת החלטות, התוויית נהלים ודרכי עבודה אשר הינם תפקיד ההנהלה. מילוי תפקיד זה עשוי לגרום לניגוד עניינים, פגיעה באי תלותו והקצאת משאבים שיפגעו במילוי תפקידו העיקרי של המבקר הפנימי.

יחד עם זאת, על המבקר הפנימי לתרום לקידום האתיקה בארגון בהתאם לתקן מקצועי בינלאומי 2110 של ה- IIA -ממשל תאגידי בו מצוין, כי  "הביקורת הפנימית חייבת להעריך את תהליכי הממשל התאגידי של הארגון, וליתן המלצות מתאימות לשיפורם, בין היתר לצורך קידום אתיקה וערכים נאותים בארגון.

פעולות אותן יכול לבצע המבקר במסגרת זו כוללות, בין היתר, וידוא שיש גוף שאליו מובאות השאלות בסוגיות אתיות ושגוף זה דן בהן ומקבל החלטות. עליו לוודא שיש דרכי פעולה לטיפול במקרים של התנהגות עובד שמהווה הפרה של כללי האתיקה. כמו כן, המבקר הוא גורם רצוי וחשוב להתייעצות בהיבטים אתיים.

חוות דעת זו אינה מהווה חוות דעת משפטית.

בברכה,

רו"ח אורן שחר CIA

דירקטור ויו"ר הוועדה למענה לשאלות מקצועיות של חברים

IIA ישראל-איגוד מבקרים פנימיים בישראל

העתק:

רו"ח דורון רונן, CIA – משנה לנשיא ויו"ר הוועדה המקצועיתIIA  ישראל איגוד מבקרים פנימיים בישראל

[1] הוראה 307 – ניהול בנקאי תקין בבנקים פונקציית ביקורת הפנימית סעיף 12

[2] פרק 8 בקודקס הרגולציה – חוזר הממונה מס 2007-9-14 בנושא מערך הביקורת הפנימית בגוף מוסדי

The post חוות דעת – מבקר פנימי כממונה אתיקה בארגון appeared first on IIA ישראל - לשכת המבקרים הפנימיים בישראל.