כלי חדש להערכת תפקוד של מבקר פנימי

כידוע, חברות ציבוריות במדינת ישראל חייבות לדווח לציבור האם לדעת דירקטוריון החברה "היקף, אופי ורציפות פעילות המבקר הפנימי ותוכנית עבודתו סבירים בנסיבות העניין, ויש בהם כדי להגשים את מטרות הביקורת הפנימית בתאגיד"¹. כמו-כן, מבקר המדינה ורגולטורים, כמפקח על הבנקים, המפקח על שוק ההון, משרד הפנים, רשות החברות הממשלתיות, המשרד לשירותי דת וכו' שולחים מבקרים לגופים הנתונים למרותם כדי לבדוק, בין היתר, את תפקודו של מבקר הפנים. וגם מבקרים פנימיים נדרשים, על-פי התקנים המקצועיים, לבחון את דרכי עבודתם כדי להבטיח את איכות ושיפור עבודתם.

אם כן גורמים רבים ובהם הנהלות של ארגונים נדרשים לבדוק את תפקודם של מבקרי הפנים. אבל כיצד עושים את זאת? כיצד מעריכים תפקוד של מבקר פנימי, מבלי להראות כפוגעים בעצמאותו ובמרווח שיקול דעת המקצועי שיש לו? לשון אחר, מהן אמות המידה לפיהן ניתן להעריך את הביצוע של מבקר פנימי, ולאפשר לו, אגב כך, לשפר את ביצועיו?

הכלי הלגיטימי היחיד להעריך ביקורת פנימית

הערכת ביצוע של מבקר פנימי, אלה ששומרים על שומרי הסף, הנה מטבע הדברים הליך בעייתי המעלה קשיים. הסיבה העיקרית לכך היא ניגוד העניינים האינהרנטי הנעוץ בעובדה שהגורמים בארגון שנדרשים לכך, הם אותם גורמים שמבקר הפנים מבקר. סיבה מרכזית נוספת לכך היא שביקורת על מבקר פנים מחייבת בידע ובמומחיות שלא מצויים על-פי רוב בידי הגורמים השונים בארגון.

המקור הנורמטיבי להערכת הביקורת

הביקורת הפנימית בעת המודרנית ראשיתה ב-1941. במהלך השנים החלה התורה להתפתח כאשר ב -1978 פרסמה לראשונה לשכת המבקרים הפנימיים העולמית (IIA) תקנים מקצועיים מחייבים לביקורת הפנימית. בין התקנים הללו היו כבר אז הוראות המחייבות מבקרי פנים לערוך "ולקיים תוכנית אבטחת איכות כדי להעריך את פעולות מחלקת הביקורת הפנימית"². עם השנים שכללה הלשכה העולמית את חובה זה שכללה, קיום הערכת איכות פנימית (על-ידי המבקר עצמו) וחיצונית (על-ידי סוקר חיצוני).

מאז פרסם ה IIA הנחיות נוספות שהיו באופיין כלליות³, מודל לניהול ועדת ביקורת המתייחס גם לפיקוח על מבקר הפנים⁴, ואף נקבע נוהל עבודה⁵, ברם, לא היה בכל אלה סט קוהרנטי, שלם ומוסכם של תבחנים לקביעת רמת ביצוע של ביקורת פנימית.

מודל Ambition

ב 25.8.2020 פרסמה לשכת המבקרים הפנימיים העולמית (IIA) דוח המנחה⁶ כיצד ניתן ליישם את מודל Ambition, שאותו פיתוחו ההולנדים ארבע שנים לפניכן. הפיתוח הזה של לשכת המבקרים הפנימיים ההולנדית היווה למעשה סינתזה בין מודל 'יכולת הביקורת הפנימית במגזר הציבורי' מ-2008⁷ למודל Maturity⁸. שנה לאחר מכן ב-2017 השיקו ההולנדים אפליקציה מקוונת של המודל שפישט את ההליך ואפשר הצגת נתונים באמצעים ויזואליים (dashboard), כאשר בשנתיים האחרונות ערכה הלשכה העולמית ניסויים במודל זה במדינות שונות, שאפשרו למבקרים לבחון את עצמם ואף להשוות את ביצועיהם לעמיתיהם.

המודל שהלשכה פרסמה (מודל Ambition) כולל שישה "אספקטים", כאשר על אחד מהם מחולק לשני תתי נושאים, "תחומים" ו"פעילויות חיוניות" (שאותם יש לבדוק). פרמטרים אלה מאפשרים בחינה כוללת של תפקוד הביקורת הפנימית, כאשר הישגי המבקרים הפנימיים בכל אחד מהקטגוריות האלה נמדדים בסולם של 5-1 (כאשר הערך 5 מייצג את הרמה הגבוהה ביותר).

רכיב העל במודל - "האספקטים"

כאמור, המודל כולל ששה אספקטים הכוללים את ההיבטים המרכזיים בעבודת הביקורת הפנימית, הקבועים בתקנים המקצועיים (IPPF), כדלקמן:

אספקט מס' 1 - תפקידי הביקורת פנימית

הביקורת הפנימית מקיימת על-פי התקנים המקצועיים, שני סוגי פעילות: עריכת ביקורת (מתן שירותי הבטחה (assurance) וייעוץ (המבקר מוגדר גם כפונקציית ייעוץ). פעילויות אלה צריכות להיות מבוססות הן על צרכי הארגון והן על סמכויותיה של הביקורת הפנימית. נושאי משנה: שירותי אבטחה, שירותי יעוץ.

אספקט מס' 2 - פרקטיקות מקצועיות

אלו הן הנורמות לפיהן פועלת הביקורת הפנימית (מדיניות, תהליכי עבודה ונהלי העבודה), נורמות שנועדו לאפשר לביקורת לפעול ביעילות, באופן מקצועי תוך שיפור מתמיד (איכות). נושאי משנה: תוכנית ביקורת פנימית, אבטחת איכות ושיפור (QAIP).

אספקט מס' 3 - ניהול ביצועים ואחריותיות (Accountability)

על-מנת להעריך את תפקוד הביקורת הפנימית נדרש גם לבחון את האופן שבו מבקרי הפנים מנהלים את המשאבים העומדים לרשותם (למשל, תוכנית ביקורת פנימית ואמצעי ביצוע מרכזיים). נושאי משנה: תוכנית עסקית של ביקורת פנימית, דיווח.

אספקט מס' 4 - ניהול כוח אדם

הביקורת הפנימית חייבת בלמידה מתמדת, זאת כדי להבטיח שבכוחה לתת מענה לצרכי הארגון. אשר על כן בחינת תפקוד מבקר הפנים מחייבת גם בחינה של האופן שבו הוא פועל להכשיר ולפתח את כוח האדם ביחידת הביקורת הפנימית. נושאי משנה: פיתוח מקצועי, תכנון משאבי אנוש (HR).

אספקט מס' 5 - יחסים ארגוניים

כדי לבחון את יכולת הביקורת הפנימית להוסיף ערך לארגון נדרש לבחון גם האם מיקומה במדרג הארגוני מאפשר לה לפעול באורח אפקטיבי וכן לבחון את מערכת היחסים שהיא מקיימת עם בעלי עניין מרכזיים (key stakeholders). נושאי משנה: יחסים ארגוניים, תרבות.

אספקט מס' 6 - המבנה של הממשל התאגידי

מבקר פנימי לא יהיה אפקטיבי אם התהליכים, המדיניות, המשאבים וערוצי הדיווח לא יתמכו ולא יאפשרו את עצמאות הביקורת. נושאי משנה: ניהול ופיקוח על התנהלות הביקורת הפנימית, גישה ומוּדָעוּת (לצרכי הביקורת).

הדרוג (שנקבע לכל אספקט)

לאחר שזיהנו את התחומים (ששת האספקטים) שבהם ביצועי מבקרי הפנים נבחנים, נדרש עתה לסקור את הרמות השונות וזאת כדי לתת למבקר, בכל הרמות, ציון הערכה (שנע כאמור בין 1-5).

מודל Ambition מציע אם כן, לגבי כל אספקט, חמש רמות לדרוג תפקוד של מבקרי פנים, כאשר בכל רמה ישנם אינדיקטורים (מבחנים) המאפשרים את הזיהוי (מהדרגה הנמוכה ביותר "התחלתי" לרמה הגבוה ביותר "אופטימלי"), כדלקמן:

1 . התחלתי

- שירותי ביקורת פנימית מבוססים בעיקר על בדיקת חוקיות; כאשר תהליכי הביקורת מבוצעים באופן עתי (אד הוק), לא עקבי, והם אינם מתואמים עם התקנים המקצועיים.

- פרקטיקות מקצועיות אינן מיושמות באופן עקבי.

2. בסיסי

- נקבע צ'ארטר (כתב הסמכה) של הביקורת הפנימית ומדיניות על-מנת להבטיח ששיטות ותהליכי ביקורת הפנימית מבוצעים באופן קבוע ושוטף.

- יחידת הביקורת הפנימית יכולה להשיג תאימות חלקית לתקנים המקצועיים המקובלים (IPPF).

3. משולב

- הביקורת הפנימית מבוצעת בצורה מקצועיות.

- מבקר הפנים עומד בתקנים המקצועיים המחייבים (IPPF).

- המדיניות, התהליכים והנהלים הרלוונטיים מוגדרים, מתועדים ומשולבים.

- פעילות הביקורת הפנימית מבוססת היטב כספק עצמאי של הבטחה (assurance) ושירותי ייעוץ המתואמים עם גורמי ביקורת אחרים.

- תפקיד הביקורת הפנימית ומיצובה בארגון מוסכמים ומעוגנים בצ'ארטר (כתב הסמכה) של הביקורת הפנימית.

- מבקר הפנימי הראשי מנהל ומדווח באופן פעיל על פעולות פעילות הביקורת הפנימית ועל הכשרה ופיתוח צוותי ביקורת פנימית.

- מבקרים פנימיים מבינים ומשתמשים בכלי ניתוח מידע ממוחשבים.

4. מנוהל

- פעילות הביקורת הפנימית מהווה חלק בלתי נפרד מהממשל התאגידי וניהול הסיכונים של הארגון, כולל ייעוץ בנושאים אסטרטגים.

- ההתאמה בין תוכנית הביקורת הפנימית לבין ניהול הסיכון הארגוני ברורה ומדווחת להנהלה הבכירה.

- מבקר הפנים הטמיע מערכת ממוחשבת לניהול ביקורת המאפשרת תכנון, ביצוע, ניטור, סקירה ודווח על עבודות ביקורת פנימית.

- הפעילות הפנימיות ביחידת הביקורת הפנימית מבוצעת לאור חזון ותוכנית התואמים את יעדי הארגון.

- פעילות הביקורת הפנימית משלבת נתונים כמותיים ואיכותיים שיעזרו לה להשיג גם הבטחה על היעדים האסטרטגים ושיפור מתמיד של ביצועיה.

- שירותי הביקורת מתואמים ומקיפים באופן המאפשר מתן הבטחה על פעילות הארגון.

- ועדת הביקורת בארגון מעורבת באופן אקטיבי בפעילות הביקורת הפנימית, ובהערכת החיצוניות של רואה חשבון.

5. אופטימלי

- מבנה יחידת הביקורת הפנימית מותאם לצרכי הארגון, והביקורת פועלת באופן בלתי תלוי, מוסמכת לקבוע את היקפה, לבצע את עבודתה, ולדווח על תוצאותיה.

- הביקורת שפועלת ביציבות ובעצמאות מתמקדת בכיוונים עתידיים, תוך שיפור עצמי מתמשך.

- מבקר הפנימי הראשי מעריך ומשפר ללא הרף את יעילות הביקורת הפנימית.

- הבקרות נבחנות בתוכנית הביקורת ובתוכניות העבודה, והביקורת בוחנת מעת לעת בצורה מובנית את יעילותן.

- פעילות הביקורת הפנימית כוללת אנשי מקצוע מהשורה הראשונה בעלי כישורים מיוחדים ובעלי יכולות לספק ראייה מערכתית ולשמש זרז להשיג שינוי חיובי בארגון.

- מבקר הפנים מבין את הכיוון האסטרטגי של הארגון ואת הבעיות והסיכונים המתעוררים.

- עבודת הביקורת הפנימית מבוססת דיו כדי לתקף את קביעותיה ביחס לאופן שבו הארגון מקיים ממשל תאגידי, מנהל סיכונים ומקיים בקרות.

סיכום

למן המאה השנייה לספירה, עת דקימוס יוניוס יובנאליס פרסם את ספרי הסטירות שלו ובה התהיה "מי ישמור על השומרים"? ועד היום נדמה כי שאלה זו לא רק נותרה רלוונטית אלא היא גם נותרה ללא מענה, לפחות לא בעולם התאגידי. ביטוי מוחשי לכך נמצא בביקורת הפנימית, כלי שנועד לסייע למקבלי החלטות על-ידי מתן משוב על מידת חשיפת הארגון לסיכונים. ואכן, במודל שלושת קווי הגנה (עליה כתבתי ב-News1), ניתן לראות כי הביקורת הפנימית הנה "השומר" המשמעותי ביותר בארגון. היא מספקת להנהלה הבכירה משוב על תפקודם של יתר שומרי הסף, הבקרות, וכל פונקציות המטה (כגון קצין ניהול סיכונים וקצין ציות) בארגון. לכן ברי כי הנהלות יהיו מעוניינות להבטיח כי פונקציה זו מתפקדת באורח אפקטיבי. והרי ביקורת פנימית אפקטיבית משמעה הוא שיש בידי הנהלה מידע מהימן ושלם/מקיף על יעילות הבקרה וניהול הסיכונים.

מצד שני, ברור כי "לבקר את המבקרים" זו מטלה בעייתית, מחד היא מצריכה בידע רב שעד לאחרונה לא היה קונצנזוס לגבי היקפו, ומאידך הגורמים בארגון הנם מבוקרים, וביקורת שלהם על המבקר עלולה לפגוע באי תלות הביקורת.

אם כן כיצד מבקרים את המבקרים?

מענה לקושיה זו ניתן לראות בפרסום של לשכת המבקרים הפנימיים העולמית (IIA) מסוף 7/2020 המציג יישום של מודל Ambition, לבחינת תפקוד יחידת ביקורת פנימית. לראשונה אם כן יש בידנו כלי, שנבחן ותוקף אמפירית במדינות שונות, המציג כיצד יש לבחון תפקוד של יחידת הביקורת הפנימית. עתה הנהלות יכולת, באמצעות יועץ חיצוני (כדי להבטיח שמירה על עצמאות הביקורת), לבחון את תפקוד הביקורת הפנימית, באותה מידה שמבקרי פנים יכולים לעשות שימוש עצמי במודל זה כדי לבחון את תפקודם. אם כן, הן על מבקרי פנים והן על ועדות ביקורת והנהלות להכיר כלי זה ולהשכיל לעשות בו שימוש כדי להבטיח שמערך הביקורת הפנימית בארגון שלהם אפקטיבי.