נגיף הקורנה מזמן מבחן לביקורת הפנימית

התפרצות נגיף הקורונה (COVID-19) הנה אחד הסיכונים העולמיים הגדולים ביותר בעשורים האחרונים. הופעתה המהירה ונפיצותה מעמידים בסכנת את בריאותם של אנשים רבים והיא אף מאיימת לפגוע בכלכלה העולמית, בפעילותם של עסקים ושווקים רבים, בכושר היצור וכן גורמת עקב כך להוצאות רבות. המצב הוא כה רע שיש כלכלנים החוזים כי הקורונה תביא כבר ב-2020 למיתון עולמי.

העולם שנחשף להתפרצויות נגיפיות ממשפחת הקורונה (SARS בשנת 2003 ו-MERS בשנת 2012) ראה את המגפה הזו כאיום גלובלי דינאמי רק לאחר שמספר הנדבקים עבר את ה-100,000 איש והנגיף התפשט לכ-90 מדינות.

הסיכונים הללו אינם רק נחלתם של מדינות, אלא נגיף הקורונה משפיע ועתיד אף לפגוע באופן דרסטי בארגונים ובחברות. הדוגמאות לכך רבות, ודי אם נזכיר את ההשפעה של המגפה הזו על חברות התעופה ובה חברת אל-על שפיטרה 1,000 איש. ואכן, COVID-19 מהווה סכנה ברורה, לא רק לבריאותם ורווחתה של אוכלוסיית העולם, אלא גם עבור ארגונים רבים ברחבי העולם.

ובכן, כיצד יכולים ארגונים לדעת שהחלטות שהם מקבלים הולמות למידת חשיפתם לסיכונים, והרי ברובם לא מונה קצין ניהול סיכונים (פונקציה שקיימת, על-פי רוב, עקב רגולציה, בבנקים ובגופים מוסדיים/ביטוח)?

כפי שנראה בהמשך, התשובה לכך צריכה להיות - 'מבקר הפנים', פונקציה שקיימת בכל גוף ציבורי (לרבות בחברות ציבוריות), זאת לאור הגדרת הביקורת הפנימית (לסייע "לארגון... הערכה... אפקטיביות של תהליכי ניהול סיכונים...") ומשימת הביקורת הפנימית ("מתן הבטחה ייעוץ ותובנה מבוססי סיכון"), והתקנים המקצועיים שמחייבים מבקרי פנים "להעריך את האפקטיביות, ולתרום לשיפור תהליכי ניהול סיכונים" (תקן 2120).

ומה באשר לנגיף הקורונה? ב-3.2.2020 פרסם נשיא לשכת המבקרים העולמית (IIA) רשימה לפיה על מבקרי פנים לפעול, על-מנת להבטיח כי הארגון בו הם עובדים נוקט צעדים הולמים לרמת החשיפה לסיכון, באופן הבא:

א. מבקרי פנים צריכים לבחון ולהעריך האם ההנהלה זיהתה את מכלול הסיכונים - הישירים והעקיפים - וכן את מגוון הפעולות שנקטה ההנהלה כדי לצמצם את ההשפעות הפוטנציאליות הללו, ובהם: הערכת הסיכונים הנוגעים לנסיעות עסקיות, וליכולותיהם של עובדים לעבוד מרחוק במשך תקופות ארוכות. כמו-כן לבחון האם ניתן להעביר פעולות עסקיות קריטיות למקומות שונים, לשקול הפרעות בשרשראות האספקה ולהבטיח תקשורת דו-כיוונית יעילה עם הצוות, ולבחון שיבושים פוטנציאליים בשירותי אחסון נתונים, וכיצד כל אלה יכולים להשפיע על התנהגות הצרכנים/לקוחות וכן על יכולת הארגון לספק ללקוחות תמיכה ושירות טכני.

ב. מבקרי פנים צריכים להעריך את האפקטיביות של תוכניות ניהול המשברים וההמשכיות העסקית הקיימות בארגון, וכן לעקוב אחר יישום תוכניות אלה כדי להבטיח שהתוכניות מתאימות.

ג. מבקרי פנים צריכים לייעץ להנהלת הארגון לא רק לגבי הסיכונים המיידיים אליהם חשוף הארגון אלא גם לגבי הסיכונים העקיפים שהארגון ייחשף אליהן בעתיד, כגון סיכוני מוניטין.

ד. מבקרי פנים צריכים לייעץ להנהלת הארגון על ההשלכות ארוכות הטווח. ההשפעה של COVID-19 עשויה להימשך חודשים ואף שנים. ארגונים צריכים לבדוק כיצד פגיעה זו יכולה להשפיע על שרשראות האספקה, על הפרודוקטיביות, על תחזיות הצמיחה העסקית, על תזרים המזומנים, על ציפיות הרווחים ועוד. ארגונים גם צריכים לחשוב כיצד הם ינהלו תרחישים לאחר שהמגיפה תעצר (האם לדוגמה יש להאיץ במהירות את הייצור או לנקוט בטקטיקה אחרת?).

ה. מבקרי פנים צריכים לקיים מעקב בנושאים אלה ולתת להנהלה משוב על ההשלכות וההתפתחויות. יש לזכור כי סיכונים באופן טבעי אינם בהכרח ניתנים לחיזוי. ההנהלה והביקורת הפנימית נדרשות לפקח ללא הרף על המתרחש בתוך הארגון ומחוצה לו, ולפעול בהתאם.

האם יש לצפות שגם בישראל מבקרי פנים יתנו ערך מוסף בתחום ההיערכות לנגיף הקורונה? ככלל התשובה לכך אמורה להיות חיובית, אולם דווקא לאור העובדה שבישראל הביקורת הפנימית מעוגנת בחקיקה, ייתכן שהתשובה לכך אינה חד-משמעית.

ב-9.4.1992, ימים ספורים לאחר שחוקקו חוק יסוד כבוד האדם וחירותו וחוק יסוד חופש העיסוק, שהביאו למהפכה החוקתית של השופט אהרן ברק (פס"ד מזרחי), חוקק חוק הביקורת הפנימית, התשנ"ב-1992 שבאבחה אחת הציב את מדינת ישראל בחזית העולמית של מדינות שהסדירו בחקיקה ראשית של מעמד הביקורת הפנימית. החקיקה שלוותה בניסיונות שכשלו להיווצרות גילדה, עיגנה את עקרונות המקצוע, מבלי להגדיר את הפרופיל של העוסקים בכך (החוק כונה בכוונת מכוון 'חוק הביקורת הפנימית' ולא 'חוק מבקרי הפנים').

חוק זה שללא ספק חולל מהפכה בתחום הביקורת הפנימית, בכך שהציע מסגרת נורמטיבית אחידה המסדירה את עקרונות היסוד של המקצוע, נשען על תפיסת הביקורת שהייתה קיימת באותם שנים. דא עקא כי כעשור לאחר כניסת החוק לתוקף התחוללה מהפכה בתחום הביקורת הפנימית שאותותיה לא ניכרים בחוק (ולא בחוקים השונים ששאבו מחוק הביקורת הפנימית את העקרונות האמורים).

לאור השינוי בהגדרת הביקורת הפנימית, כפי שמודגם במקרה של נגיף הקורונה, יש לתקן את החוק ולהטיל בו על מבקר הפנים גם את האחריות לקיום ביקורת פנימית מבוססת סיכונים. כך, בין היתר, לקבוע בחוק כי על מבקרי הפנים לבחון ולהעריך את האופן שבו הנהלה מנהלת את הסיכונים. יש להניח כי תיקון שכזה יעלה את קרנו של מבקר הפנים ויחייבו אותו להתמחות בתחום ניהול הסיכונים מחד-גיסא, ויצור מציאות בה הנהלות יפנימו כי יש בכוחה של פונקציה זו לסייע לה להיערך נכונה לסיכונים ולאתגרים שבפתח.