מהי ביקורת פנים ומה תפקידה בתהליכי שינוי והתייעלות?
מאת: אלחנן ורדי, חשב – בקורת פנים (2003) בע”מ
הצילום באדיבות: Images_of_Money
למקצוע הביקורת הפנימית יש יותר מהגדרה אחת: על פי ההגדרה הפורמלית של לשכת המבקרים העולמית, מדובר בפעילות בלתי תלויה ואובייקטיבית של הבטחה (ASSURANCE) ויעוץ, שמטרתה לשפר את איכות פעולות הגוף המבוקר. תכלית הביקורת היא למעשה לסייע לארגון להשיג את מטרותיו באמצעות אימוץ גישה שיטתית וממוסדת של הערכה ושיפור האפקטיביות של תהליכי קבלת החלטות, הערכה וניהול סיכונים, שליטה (GOVERNANCE), פיקוח ובקרה.
במילים אחרות, הביקורת הפנימית הינה סוג של “בקרת על”, הבוחנת את עצם קיומן, שלמותן, אמינותן, הלימותן, עדכנותן והאפקטיביות של הבקרות בארגון.
הביקורת אמורה לסייע למנהלים ולממלאי התפקידים בארגון לבצע טוב יותר את תפקידם, אולם בכך אין די, אלא כדי שהביקורת תוכל אכן לפעול בהתאם להגדרות הללו, היא זקוקה ראשית לאמות מידה להשוואה. בהעדר אמות מידה ברורות ומובהקות, יתקשה המבקר להצביע על חריגה. דבר אחד הוא להצביע על חריגה מהוראה מפורשת של חוק, תקנון, החלטה פורמלית או מנוהל עבודה כתוב ודבר אחר הוא להצביע על חריגה מנורמה, שבעיני המבוקר נתפסת אולי כלגיטימית, אך בעיני המבקר יכולה להיתפס כבלתי לגיטימית, לדוגמא בנושא השקיפות, לגביו יש דעות שונות ונימוקים מגוונים.
לא במקרה נקבעה בחוק הביקורת הפנימית, החובה שהביקורת תעשה על פי: “תקנים מקצועיים מקובלים”. ואכן הלשכה העולמית של המבקרים הפנימיים קבעה תקנים כאלו, העוסקים בשורה של היבטים כגון: השוואת ההתנהלות לחוקים ולתקנות, עמידה בכללי “מנהל תקין”, נורמות סבירות ונהלים, יעילות וחיסכון במשאבים, אפקטיביות, טוהר מידות כיוצא באלה.
הגדרת אמות המידה להשוואה הולכת ומתפתחת, אך כל הצעדים הללו עדיין אינם פוטרים את המבקר מהצורך להציף לדיון כל ענין או נושא שלדעתו חשוב להציפו, גם אם חסרה אמת מידה ברורה ומובהקת ולהניחו על שולחנם של גורמי הניהול בארגון, על מנת שאלו ידונו בו ואף יקבעו נוהל או יקבלו החלטה מחייבת במידת הצורך.
נשאלת כמובן השאלה איזה השכלה, תכונות, כישורים וידע נדרשים ממי שעוסק בביקורת הפנימית? מעבר להשכלה אקדמאית רחבה, יושרה והגינות, נדרש המבקר להיות בעל יכולת לנהל דיאלוגים מקצועיים גם בסביבה אנושית, תרבותית ומקצועית, שבה שיתוף הפעולה אינו מובן מאליו ולא קל לרכוש אותו.
מדובר במקצוע תובעני במיוחד, הדורש מהעוסקים בו להיות לא רק בעלי ידע בתחומים רבים ורחבים, אלא גם מחייב אותם ללמוד ולהתעדכן באופן קבוע ורצוף בנושאים כגון: ניהול, תהליכי קבלת החלטות, כלכלה, תמחור, המחרה, כספים וחשבונאות, מערכות מידע, לוגיסטיקה, רכוש, נכסים ומלאי, רכש, בינוי, יצור, מכירות, שווק ופירסום, בריאות, חינוך, תעשיה, חקלאות, מלונאות, תיירות, מסחר, בטיחות וביטחון ועוד.
ממילא יובן שגם אם המבקר הינו איש אשכולות ומומחה בנושאים רבים, עדיין אין בכך כדי לתת מענה שלם לצרכים. כדי לתת מענה לבעיה זו, אנחנו ב”חשב בקורת פנים” מעסיקים מומחים יעודיים לכל תחום נבדק ועובדים בצוותים. בד”כ מונה הצוות שני מבקרים ולעיתים אף שלושה, תלוי במורכבות הנושא הנבדק.
על מנת להשיג את מטרות הביקורת כפי שהוצגו בהגדרות המקצוע, על המבקר ליצר היכרות עם הסיכונים בארגון. פעולה זו נעשית באמצעות ביצוע סקר סיכונים. ממצאי סקר הסיכונים מאפשרים למבקר לגבש תוכנית עבודה רב שנתית שהיא פונקציה של אינוונטר הסיכונים שזוהו, מופו והוערכו בסקר. סדרי העדיפויות לביצוע הביקורת יקבעו על בסיס הערכת משקלו של כל אחד מהסיכונים.
בנקודה זו ראוי לציין ולהדגיש שזיהוי הסיכונים לא אמור להצטמצם רק להיבטים הפיננסיים של פעילות הארגון. על הסקר להתייחס לשורה ארוכה של סיכונים נוספים גם כאלה שאין להם ביטוי כספי ישיר אך הם בעלי פוטנציאל לגרום לנזקים ובכלל זה גם כאלה שאין להם שיעור, כגון נזקים למוניטין, ראה מקרה רמדיה.
ביצוע סקר סיכונים אינו פעולה חד פעמית, את הסקר יש לערוך שוב ושוב מידי כמה שנים, שכן סביבת העבודה משתנית כל הזמן ועמה: החוקים, הרגולציה, הטכנולוגיה, השווקים, מערכות המימון וכו’.
אנו חיים בסביבת עבודה שהשינויים בה מהירים ונדרשים לגלות זריזות רבה יותר בכל מה שקשור לזיהוי השינויים ולפוטנציאל הסיכונים המשתנה / מתחדש בשל כך.
על בסיס תכנית העבודה שנקבעה, אמור המבקר לבצע את הביקורת. בכל נושא ונושא. עליו להתייחס לשורה של מבחנים שיאפשרו לו להעריך את הלימותה ויעילותה של מערכת הבקרה הפנימית. במסגרת זו עליו לבצע, בין היתר, את הבדיקות הבאות:
- בדיקת הציות לחוקים ולתקנות
- בדיקת הציות לתקנון, לנהלים, להחלטות ולהנחיות של הגורמים המוסמכים
- בדיקת אפקטיביות הבקרה הכספית והתקציבית- את בקרת נהלי התקצוב, את מידת הציות ואת בקרת החריגים
- בדיקת אמינות מערכות הבקרה וההגנה מפני נזקים והפסדים
- בדיקת אמינות הרישומים והדיווחים
- בדיקת תהליכי קבלת ההחלטות וישומן
- קיומם של נהלי בקרה פנימית נאותים וסדרי עבודה שמטרתם להבטיח איתור חוסרים, אי התאמות, הפרשים, פערים וליקויים
- הקפת מכלול הפעילויות הכלכליות, העסקיות, התפעוליות והנורמטיביות של הנושאים הנבדקים
דוח הביקורת הינו אמצעי התקשורת הפורמלי שבין המבקר לבין המשתתפים בתהליך התיקון של הליקויים, ויישום ההמלצות.
באמצעות דו”ח הביקורת, מציג המבקר את הערכתו בדבר תקינות הפעולות ועוצמת הליקויים שנחשפו במהלך הביקורת. הדו”ח מציג בפני גורמי הניהול הן את הליקויים התפעוליים / טכניים, ברמת העובד והן את הליקויים המערכתיים ברמת המערכת, כפי שנחשפו במהלך הביקורת, כאשר מדובר בליקויים המחייבים ידיעה, התערבות, התייחסות וטיפול של ההנהלה. כך, ממקד למעשה הדו”ח את תשומת הלב של המבוקרים וההנהלה לאותם חלקים מפעילות הארגון שנבדקו ומהווה הזדמנות לרכז מאמץ לתיקון הליקויים וליישום ההמלצות ככל שתאומצנה.
על דו”ח הביקורת חלה המחויבות לשכנע את הקורא כי הליקויים הכלולים בו אכן מסכנים את הארגון וגורמים לפגיעה בחוק, בתקנון, בהחלטות, בחיסכון, בסדרי מנהל תקין או במדיניות ההנהלה וכי תיקונם של הליקויים ואימוץ ההמלצות, אכן חיוני והכרחי. הוא אינו נועד לתאר תהליך תקין אלא אם כן נתגלו בו חריגים. יחד עם זאת יש להבטיח כי לחריג ניתן המשקל הסגולי בתוך סל הפעילויות, במטרה להבטיח הצגה מאוזנת של הממצאים.
טרם העברת הדו”ח לעיון גורמי הניהול, מועברת הטיוטה שלו למבוקרים, לצורך קבלת תגובות בכתב ובעל פה. לא בכל עניין ודבר קיימת הסכמה בין המבקרים לבין המבוקרים. בכל מקרה בו השתכנע המבקר בצורך לתקן או לשנות את הנאמר בטיוטה, עליו לעשות זאת. באותם מקרים בהם יוותרו חילוקי דעות. חלה על המבקר החובה להציג גם את עמדת המבוקר.
להלן כמה מהאמצעים המשמשים את המבקר בעבודתו:
- עיון במסמכים – פרוטוקולים של גופי הניהול, תכתובות, פניות ודוחות של גופים חיצוניים, ניירות עמדה ועבודה וכו’.
- ראיונות אישיים ושאלונים – ראיונות עם עובדים, אנשי מקצוע ומנהלים בדרגים שונים והפצת שאלונים.
- סיורים ותצפיות – ביצוע סיורים ותצפיות לגבי הפעילות המתבצעת בשטח.
- בדיקת נהלים וסדרי עבודה – בדיקת קיומם של נהלי עבודה כתובים וסדרי עבודה והתנהלות בהתאמה.
- השוואות והצלבות – עריכת השוואות והצלבות בין סוגי מידע ממקורות שונים.
- בדיקת מערכות מידע – בדיקת התאמתן של מערכות מידע לצרכי הארגון. הגנה על המידע, בכלל. ועל מידע רגיש, בפרט וכו’ (הגנות פיזיות ולוגיות).
