שלב ראשון באכיפה פנימית - סקר סיכונים

כמו בסיפור על השדכן המפליג בפני האברך בשבחי יתרונות הנישואין עם בתו הבכורה של הגביר, עד שזה מסב את תשומת ליבו לכך שעדיין לא ראה את הכלה, כך בשני המאמרים האחרונים התייחסנו בהרחבה לשאלות כמו: מהי תקפותה החוקית של תוכנית אכיפה פנימית, מהי מחויבות החברה בנושא, כיצד אמור דירקטור לפעול בכדי להביא למיקסום הפוטנציאל הגלום בה - עד שלרגע שכחנו להציג לכם כיצד נראית תוכנית אכיפה פנימית.

הכנה, ביצוע וחתזוקה

ובכן, בכדי לפשט את הנושא (אל תדאגו - לאחר מכן נסבך אותו מחדש...) אפשר לומר שכמו כל דבר בחיים, גם תוכנית אכיפה פנימית נחלקת לשלושה שלבים: הכנה, ביצוע ותחזוקה:

- שלב ההכנה מאופיין בביצוע סקר סיכונים שמטרתו לאתר ולאפיין את החשיפות והכשלים האפשריים בפעילות החברה בנושאים רלוונטיים לתוכנית האכיפה הפנימית.

- שלב הביצוע כולל כתיבת נהלים המתעדים את התהליכים הרלוונטיים לנושא ובכלל זה

- והכי חשוב - קביעת אחריות הגורמים הניהוליים בחברה ליישום התהליכים והבקרות הנגזרות מהם.

- שלב התחזוקה כולל בחינה תקופתית של התאמת הנהלים לצורכי החברה, ביצוע הדרכות בנושא וביצוע ביקורות בכדי לאמת כי התהליכים מתנהלים באופן נאות ובהתאם לציפיות שהוגדרו.

הסקר - אינו ביקורת

השבוע ננסה לקבל קצת מושג, מהו סקר סיכונים. לצורך כך נסתייע במר אשר מתתיהו, מבקר פנים ויו"ר ועדת ביקורת בשורה של חברות ציבוריות (פלסאון, משאבי טבע), פרטיות (פרי גת, אבשלום), עמותות (מכללת רמת גן, הרשות למלחמה בסמים) וארגונים אחרים שתחת הדרכתו עבדתי לאורך השנים. הסיבה שבחרתי להסתייע באשר דווקא במאמר זה, היא שבניגוד אלי ורבים מחברי בתחום, אשר הוא מהנדס ולא רואה חשבון וידוע במקומותינו שלבוגרי הנדסה יש לא פעם ראייה שונה משלנו בנושאי ביקורת.

"שים לב", אומר לי אשר. "ראשית על החברה להבין שסקר אינו ביקורת ולכן הוא רק השלב הראשון בתוכנית. סקר מאופיין באיתור תהליכים, הגדרתם, מיפויים אבל הוא אינו כולל ביצוע ביקורת עליהם ואינו מהווה תחליף לביצוע ביקורת."

הבנתם? לא? אז תשננו את המשפט הזה בפני הדירקטוריון פעם אחר פעם בכדי למנוע אי הבנות. "נכון" אומר אשר. "אבל השתדל נא לא לקטוע אותי באמצע, כדי שאוכל להסביר כי הכנת הסקר הלכה למעשה, כוללת מספר שלבים , אותם נמספר אותם לפי סדר רץ:

- בשלב הראשון יש להתמקד בהגדרת הנושאים הרלוונטיים שיכסה הסקר כגון : עסקות עם צדדים קשורים, דיווח לרשויות, תנאי העסקה של נושאי משרה, ניהול מידע פנים.

- בשלב השני עלינו לאפיין את כל התהליכים ותהליכי המשנה הרלוונטיים לנושאים אלה.

- בשלב השלישי יש לקבוע מהם אותות האזהרה שיתריעו על כשלים בתהליכים ולוודא שקיימות בקרות שנועדו למנוע היווצרותם.

- בשלב האחרון (לעת עתה) יש לקבוע מהי רמת הסיכון הקיימת ובעיקר להצביע על האחראי למניעת הסיכון".

"מסובך, מר אשר", אני רוטן בפניו. "מסובך מאוד ואנחנו רק בתחילת הדרך. אולי לשם הפשטות ניתן בהם סימנים?". ובכדי למקד את הדברים אני מקשה: "אחד התהליכים המהותיים בנושא הוא שינוי בתנאי העסקת נושאי משרה. ברור מאליו שכשל בתהליך זה, אם באופן אישור תנאי ההעסקה או בנאותות הדיווח הוא חמור ביותר. אם כך, כיצד מתייחסים לתהליך זה בעת ביצוע הסקר"?

ובכן, עונה אשר, "ראשית, יש להגדיר מיהם נושאי המשרה בחברה. פשוט? לאו-דווקא... אין דין אישור העסקת נושא משרה שאינו קשור לבעל השליטה לאישור העסקת נושא משרה שהוא בנו של בעל השליטה. ומה דינו של עובד בכיר שחוק החברות או תקנות ניירות ערך לא הגדירו בדיוק את תפקידו? וכאשר נושא המשרה הוא מנכ"ל או דירקטור, הרי שחוק החברות הקדיש לו סעיף מיוחד. ומה מעמדו של אדם אם הוא עובד בכיר של תאגיד שנשלט על-ידי החברה בשליטה מלאה? בשליטה חלקית"?

"כעת שים לב", ממשיך אשר, "לאחר שהגדרנו את נושאי המשרה, עלינו לוודא כי קיים בחברה גורם בכיר שיכול לזהות את השינויים בתנאי ההעסקה. לכך יש להקדיש תשומת לב מרובה: שינוי בתנאי ההעסקה אינו כולל רק העלאת שכר ב-30% שגלויה לעיני כול. השינוי יכול לכלול גם עידכון אופן חישוב מענקים, הצמדת רכב, שיפור בתנאים סוציאליים, עידכון בהיקפי משרה ואפילו שינוי במועד מתן הודעה על הפסקת עבודה. משום כך עלינו לוודא כי הגורם האחראי נוקט בפעולות נאותות שתכליתן לאתר מקרים כאמור - בכלל זה הטמעת בקרות שתמנענה שינויים כלאה ללא ידיעת הגורמים המוסמכים לכך (אם מחוסר תשומת לב, או גרוע מכך – מחוסר תום לב...").

"לאחר מכן", ממשיך אשר בקצב שמתחיל להיות קצת מהיר בשבילי, " עלינו לוודא כי קיימת בחברה סמכות משפטית אשר תבהיר את ההליכים שיש לנקוט בכדי שהתנאים שסוכמו יאושרו כנדרש בחוק ובתקנות. במרבית המקרים יש להניח שהנושא יחויב להיות מובא לאישור ועדת הביקורת אולם קיימים מקרים שמחייבים גם אישור של האסיפה (וגם באסיפה יש מקרים שיחייבו רוב רגיל ויש שיחייבו רוב אחר").

"וכיצד מגדירים את רמת הסיכון ?" אני שואל ומתנדב לענות: " רמת הסיכון הנגזרת שונה מחברה לחברה. הרי ברור שאין דין חברה שמועסקים בה ארבעה נושאי משרה ככזו שמועסקים בה ארבעים נושאי משרה". אולם דווקא ברגע שאני ממלמל לעצמי שאולי זה לא כל כך מורכב, אני נזכר שיש עוד עשרות תהליכים למפות: שינוי באחזקות בעלי עניין, עסקות עם צדדים קשורים, גמול דירקטורים, דיווחים על עסקות, ניהול מידע פנים, כינוס מוסדות החברה ועוד ועוד...

לסיכום, מרצין אשר, תמיד זכור את דבריו של וורן באפט: "קיימים נושאים שעדיף לא לנסות להיות יותר מתוחכם בהם מאשר חברות אחרות, אלא פשוט כדאי להיות ממושמע יותר מהן".