לבקר את המבקר

מדידת איכות הביקורת הפנימית

רו"ח יוסי גינוסר, CIA, CFE, CRMA, מנכ"ל פאהן קנה ניהול בקרה בע"מ. סגן נשיא איגוד מבקרים פנימיים בישראל (IIA ישראל)

רו"ח ברק ציפרוט, MBA, מנהל תחום גופים מוסדיים, פאהן קנה ניהול בקרה בע"מ.

זלמן ארן, שר החינוך בממשלת בן־גוריון אמר פעם על “הזקן”: “אני הולך אחרי בן־גוריון בעיניים עצומות, אבל מדי פעם אני פוקח עין אחת כדי לבדוק שהוא הולך בעיניים פקוחות”. בעשור האחרון מושם דגש לאימות שפעילות יחידת הביקורת הפנימית בארגון מבוצעת באופן יעיל ומועיל. ההתייחסות למוסד זה כבר אינה כאל מוסד מקודש, וגורמים שונים רוצים לוודא שאין הארגון הולך אחרי המבקר בעיניים עצומות, מבלי לבדוק את איכות עבודתו.

מאמר זה עוסק בהיבטים הרבים למדידת איכות הביקורת הפנימית ומציע כלים מעשיים לעשות זאת:

הערכת איכות הביקורת הפנימית - לבקר את המבקר

קיימים בישראל שורת חוזרים של רגולטורים שונים המחייבים קיומו של הליך תקופתי להערכת איכות הביקורת הפנימית, וביניהם:

• חוזר 4-4-2014 מיום 22.5.14 של רשות החברות הממשלתיות, אשר דורש ביצוע בדיקת איכות של מערך הביקורת הפנימית על ידי גורם חיצוני מדי 3 שנים.
• חוזר גופים מוסדיים 14-9-2007 של אגף שוק ההון, הקובע כי אחת ל- 5 שנים לפחות תיבחן פעילות מערך הביקורת הפנימית על ידי גורם בלתי תלוי.
• הוראות ניהול בנקאי תקין בנושא פונקציית הביקורת הפנימית, הקובעות כי אחת ל- 5 שנים לפחות תיסקר פונקציית הביקורת הפנימית על ידי גורם בלתי תלוי.
• חוזר סמנכ"ל לפיקוח על קופות חולים ושב"ן, הקובע כי אחת ל- 4 שנים לפחות תיבחן איכות פעילות הביקורת הפנימית על ידי גורם חיצוני.

בנוסף לכך, תקן 1300 של לשכת המבקרים הפנימיים העולמית (IIA) קובע כי יש לערוך סקר הבטחת איכות של מערך הביקורת הפנימית, ע"י גורם חיצוני אחת ל-5 שנים- Quality Assurance Review (QAR), וזאת לצד ביצוע הערכה פנימית על ידי המבקר הפנימי הראשי.

מטרותיה המרכזיות של ההערכה כאמור, היא לבחון את המידה בה מושגות מטרות הביקורת הפנימית, להעריך את מידת האפקטיביות והמועילות של הביקורת הפנימית, לנתח פערי ציפיות בדבר ייעוד הביקורת הפנימית (הסיבות והגורמים לכך) ולתת המלצות לצורך שכלול תפקוד פונקציית הביקורת הפנימית והנוגעים אליה (הדירקטוריון וועדת הביקורת, הנהלת הארגון, המבוקרים ועוד).

הערכה זו בוחנת את תהליכי הביקורת למול התקנים המקצועיים, אך אינה בוחנת את איכות העבודה והתוצרים של הביקורת כגון:

• שיתוף הפעולה עם ההנהלה ושביעות רצונה מהתהליך;
• הערך המוסף שהושג באמצעות התהליך;
• השאת ביצועי צוות הביקורת;
• הערכת איכות התקשורת עם עובדי הארגון;
• מידת פיתוח הצוות, אישית ומקצועית;
• שימוש בטכנולוגיה לשיפור יעילות ומועילות הביקורת.

דהיינו, ה-QAR מתמקד במידת ציות המבקר לתקנים המקצועיים אך פחות בפרמטרים "רכים" של איכות.

כיצד ניתן למדוד את איכות הביקורת הפנימית

חברות בתנאי תחרות חייבות להשתפר כל העת על מנת לשרוד.  קיימת גישה ניהולית, הגורסת כי אם כל יחידה בארגון תשפר את ביצועיה באופן מתמיד, הארגון כולו ישתפר. מכיוון שהנהלות של חברות נמדדות לפי ביצועיהן (לדוגמא - רווח, מחיר מנייה), מצפים אותם מנהלים כי גם המבקר הפנימי יימדד לפי כלים כמותיים, ויוכיח השתפרות.

מדידת יעילות יחידה ארגונית נעשית מורכבת יותר כאשר בודקים יחידות המספקות שירות שהוא בחלקו איכותי, ולא רק כמותי. לדוגמה, כיצד מודדים את טיב עבודת מנהל הפרסום בחברה? אולי על פי הגידול במכירות? אך האם הגידול במכירות נבע בהכרח מיעילות הפרסום? ואולי הוא נובע ממבצעי מכירות יעילים או חולשה בפעילות המתחרים או גידול בפעילות הכלכלית במשק?

ואכן, בתחומי פעילות אשר הינם יותר איכותיים ופחות כמותיים, ניתן למדוד מאפיינים מסוימים של השירות, אך קשה יותר למדוד אחרים.

בבחירת פרמטרים לצורך הערכת טיב הביקורת הפנימית יש להפעיל שיקול דעת וזהירות, כיוון שפרמטרים אשר נראים רלבנטיים ומלהיבים במבט ראשון, עלולים להתגלות דו משמעיים ובעייתיים במבט שני. להלן מספר דוגמאות לפרמטרים כאלו:

• עמידה בתקציב שעות - היקף עבודת המבקר הפנימי ועומקה שונים ממבקר למבקר. אם יידרש המבקר הפנימי להצטמצם בהיקף שעותיו, ביכולתו לעשות זאת ללא כל מאמץ, אולם טיב עבודתו עלול להיפגע. המבקר יכול להקטין את גודל המדגמים שהוא נוטל, אולם אז עלול יפגע טיב המדגם. הוא יכול להשמיט תת נושאים מהבדיקה, אולם אז עלול להיפגע היקף כיסוי הנושא, וכן הלאה. נניח שלביקורת נקבע תקציב שעות והמבקר חרג ממנו. האם בהכרח הדבר מצביע על חוסר יעילות? הערכת התקציב הנדרש לביקורת מבוצעת עוד לפני שהחלה הביקורת, ועל סמך נתונים חלקיים לגבי מורכבותה העתידית. פעמים רבות מתגלה תוך כדי ביצוע הביקורת, כי הנושא מורכב ויש להעמיק בבדיקתו. לעיתים נוצרת חריגה בתקציב ללא שליטת המבקר, כאשר לדוגמה, מתארכת הביקורת עקב דיונים מתמשכים עם מבוקר מסוים - דבר שלא ניתן היה לצפותו מראש.

יחד עם זאת, אין המבקר יכול לפטור את עצמו בטענות הנ"ל מביצוע מעקב תקציבי עצמי. עליו לקבוע תקציב לביצוע כל עבודה, לעקוב אחר שעות המושקעות בביצועה, ולנתח חריגות תקציביות עם תומה. הדבר חשוב הן ככלי שליטה על כוח האדם שברשות המבקר, והן כבקרה על אי בזבוז כספי החברה.

• סכום החיסכון הכספי כתוצאה מעבודת המבקר - גם אם המבקר הפנימי מתאמץ שכל ביקורת שביצע תחסוך לחברה כסף, לא תמיד ניתן לכמת את סכום החיסכון. לעתים דווקא הממצאים השוליים בביקורת הינם ברי כימות, והמהותיים - לא. לדוגמה, כיצד ניתן לכמת את החיסכון של הממצא הבא "במחסן חומרים יקרים ודליקים לא הותקנו אמצעי כיבוי אש מתאימים"? אם לא תפרוץ שריפה במחסן, המלצת המבקר עלתה לחברה כסף מיותר (של התקנת אמצעי הכיבוי); ואם פרצה, הרי חסך המבקר לחברה את ערך המלאי שהיה נשרף ללא ביטוח. יחד עם זאת, יש מבקרים פנימיים החוטאים בחוסר התייחסות לנושא תפוקתם, והתועלת שמפיקה החברה מעבודתם. למשל: מבקרים אשר משקיעים זמן רב בנושאים אזוטריים שתועלתם לארגון דלה. על המבקר הפנימי לזכור כי הינו משמש בחברה ככלי ניהולי ובדומה לכלי ניהול אחרים שבידי ההנהלה, עליו לספק תמורה הולמת לעלותו.

אם כך, מהם הפרמטרים הרלוונטיים לבחינת איכות הביקורת הפנימית?

בשנים האחרונות נערכו בעולם מחקרים רבים אשר עסקו בשאלה זו והצביעו על הפרמטרים העיקריים לבחינת איכות הביקורת הפנימית. להלן סקירה של כמה מחקרים מובילים:

בינואר 2015 בוצע מחקר בנושא אפקטיביות הביקורת הפנימית ברשויות המקומיות על ידי ד"ר גבי סייג, המנהל האקדמי של תכנית מבקרים פנימיים ביחידה ללימודי המשך ולימודי חוץ, ועמית הוראה בבית הספר למדעי המדינה באוניברסיטת חיפה. המחקר מדד את איכות פונקציית הביקורת הפנימית ברשויות מקומיות שונות לפי הפרמטרים הבאים:

• סביבת הביקורת: איכות תמהיל צוות הביקורת, תכנון הביקורת, שביעות רצון של ההנהלה, הבטחת איכות, הערכת עבודתה של הביקורת.
• תשומת הביקורת: הבאה לידי ביטוי במספר דוחות הביקורת, ומשאבי הביקורת.
• תהליך הביקורת: ביצוע עבודת הביקורת על פי התקנים.
• מדד תפוקת הביקורת: מתייחס בעיקר לאיכות הממצאים, עיתוי דוחות הביקורת ודייקנותם.

ביוני 2016  פרסמה הוועדה המקצועית של ה IIA בהולנד מחקר הקובע כי  אפקטיביות ויעילות הביקורת הפנימית יכולה להימדד באופן כמותי ואיכותי, זאת בנוסף לעמידת הביקורת בסטנדרטים הבינלאומיים של ה- IIA. להלן הפרמטרים שנקבעו:

• רמת התרומה לשיפור ניהול הסיכונים, הבקרה והממשל התאגידי.
• רמת התרומה של הביקורת להשגת מטרות ויעדים מרכזיים.
• רמת העמידה בתכנית העבודה של הביקורת.
• מידת תרומת הביקורת לשיפור בפריון העובדים.
• מספר התכניות לשיפור תהליכים שהותחלו בעקבות הביקורת.
• איכות התקשורת עם המבוקר והדירקטוריון.

בשנת 2016 פרסמה אוניברסיטת בוקרשט מחקר בנושא "מדידת איכות הביקורת בתחום הבנקאות". המחקר קבע כי הפרמטרים הטובים ביותר על מנת למדוד את פונקציית הביקורת הפנימית הינם:

• שביעות רצון ועדת הביקורת או בעלי העניין.
• מעקב אחר עמידה בתוכנית העבודה.
• עמידת הביקורת הפנימית בתקנים מקצועיים ואתיים.
• מעקב אחת תרומתה של הביקורת הפנימית לארגון/ יצירת ערך לביצועים הכוללים של הארגון.

באפריל 2013 פורסם מחקר בנושא "מדידת ביצועי הביקורת הפנימית וטיפים ליישום מוצלח בטורקיה" על ידי האוניברסיטה לכלכלה וטכנולוגיה, אגף עסקים באנקרה, טורקיה בשיתוף עם שירותי הייעוץ של פירמת רואי החשבון Grant Thornton באיזמיר, טורקיה. המחקר קבע כי הרכיבים החשובים ביותר במדידת איכות הביקורת הפנימית הם:

• שביעות רצון של בעלי העניין.
• יישום תקני ה- IIA, קוד אתי ותרבות ארגונית, הבטחת איכות, מתודולוגיה ושיטות עבודה.
• מיומנות ויכולות החדשנות של הביקורת הפנימית.

במחקר שנערך בשנת 2010 בפקולטה למדעי הכלכלה ומנהל עסקים באוניברסיטת סוצ'בה ברומניה, נותחו פונקציות ביקורת פנימית בחברות בינלאומיות, על מנת לקבוע את השיטות העיקריות להערכתן. להלן הפרמטרים שקבע המחקר למדידת תרומתה של הביקורת הפנימית לחברה:

• האם האסטרטגיה של הביקורת הפנימית מוכוונת ליצירת ערך מוסף עבור החברה.
• האם ההנהלה הבכירה וועדת הביקורת מכירות את שיטות העבודה של הביקורת הפנימית.
• האם הביקורת פנימית בוחרת בשיטת וטכניקת הביקורת הרלוונטית ביותר להשגת המטרה
• האם קיימות דרכים לשיפור אסטרטגיית הביקורת שיביאו לשיפור האפקטיביות הביקורת.

מחקר שנערך בשנת 2001 באוניברסיטה הבינלאומית במיאמי פלורידה, עסק בפרמטרים למדידת יעילות הביקורת הפנימית. המחקר קבע כי יעילות הביקורת הפנימית תיקבע לפי מספר אירועי הכשל שהתגלו בחברה שלא על ידי הביקורת הפנימית. למשל:

• טעויות בדיווח הכספי אשר התגלו על ידי המבקרים החיצוניים/ מחלקת הכספים.
• אירועי כשל שמקורם בנהלי עבודה/ תהליכי עבודה/ אי עמידה בהוראות החוק.
• אבדן משאבים בתחומים כגון: מלאי, השקעות, מזומנים וכד'.
• הארגון לא השיג את היעדים שהציבה ההנהלה/ הדירקטוריון.

מחקר נוסף שנערך על ידי המחלקה לחשבונאות וממשל תאגידי, באוניברסיטת סידני אוסטרליה בשנת 2011 מצביע על כך שעל אף התרחבות משמעותית של קונספט הביקורת הפנימית ומיקוד מחדש של תפקיד המבקר הפנימי, מנגנוני הערכת הביצועים של המבקר הפנימי לא התפתחו במקביל. הדבר מעורר קושי בהערכת המידה שבה מבקרי הפנים עומדים בציפיות בעלי העניין.

כפי שהיה ניתן להתרשם מהמחקרים לעיל, ישנם שלושה סוגי פרמטרים עליהם המחקרים ממליצים לניתוח האפקטיביות של הביקורת הפנימית:

• פרמטרים של ציות הביקורת הפנימית לתקנים (עמידה בתקני ה-(IIA ונהלים
• פרמטרים המתייחסים לאיכות תהליך הביקורת הפנימית (עמידה בתכנית עבודה, האסטרטגיה של הביקורת הפנימית וכו'); 9
• פרמטרים המתייחסים לטיב תוצר הביקורת הפנימית (טעויות בדיווח הכספי אשר יתגלו על ידי המבקרים החיצוניים, שביעות רצון של בעלי העניין, יצירת ערך ע"י הביקורת הפנימית ועוד).

מהמחקרים לעייל ומניסיוננו, להלן מספר פרמטרים מדידים (המשלבים את שלושת סוגי הפרמטרים) שיכולים לסייע למבקר הפנימי להעריך את טיב עבודתו ואף להשוות את תוצאת המדידה שביצע לתוצאה בארגונים אחרים:

1. תקנים מקצועיים (שיעור העמידה בכל תקני ה- IIA)- מידת העמידה בתקני ה – IIA מצביעה על תהליך עבודה מתודולוגי ונכון.

2. איכות תהליך הביקורת הפנימית:

   פיתוח המשאב האנושי במחלקת הביקורת הפנימית- שיעור התארים המקצועיים בצוות (CIA, CFE, CISA, רו"ח, תואר שני בביקורת פנימית, מהנדס וכו') והיקף ההכשרה הפנימית והחיצונית לצוות הביקורת.
   1. עד כמה מכיר צוות הביקורת את העסק והטכנולוגיה שלו - שנות ניסיון לצוות הביקורת בחברה/ בענף, הסתייעות במבקרים שבעברם שמשו כבכירים במחלקות אחרות בחברה.
   2. הסתמכות על מומחים - ביקורת פנימית אפקטיבית, דורשת הבנה ומומחיות של התחום הנבדק. במידה ומחלקת הביקורת הפנימית מכילה את ההתמחות הנדרשת, מה טוב. במידה ולא, יש לרכוש מומחיות זו מבחוץ: מהנדסים, מומחי סייבר, מבקרי מעילות, מומחי שרשרת אספקה.
   3. עבודה משולבת עם שומרי סף אחרים בארגון - רק בעבודה משולבת עם שומרי הסף האחרים בארגון, יכול המבקר הפנימי להשיא את אפקטיביות עבודתו. חשוב שהמבקר יקיים תאום עם מנהל הסיכונים הראשי, מנהל ה-SOX, מנהל האכיפה הפנימית ומחלקת הבקרה הפנימית.
   4. מספר הביקורות הראשוניות במהלך השנה האחרונה – האם המבקר רק ממחזר ביקורות שביצעת בעבר, או שגם מבצע ביקורות חדשות של מוצרים וטכנולוגיות חדשות בארגון?
   5. אורך תהליך ביקורת מתחילתו ועד סופו - במידה ומתמשך תהליך הביקורת, תפגע אפקטיביות הדוח. סטנדרט של כ-3 חודשים מקובל כסביר.
   6. עמידה בתכנית העבודה השנתית - עד כמה מחלקת הביקורת הפנימית עומדת לאורך זמן בתכניות העבודה ובתקציבים.
   7. האם מבוצע תהליך QAR בארגון- ביצוע הליך QAR בארגון מצביע על מחויבות הביקורת הפנימית להליך מתמשך של שיפור והתייעלות.
   8. שימוש בטכנולוגיה - מה מידת שליטת המבקר בכלים טכנולוגיים אשר עשויים לשפר את יעילות הביקורת הפנימית כגון שימוש בכלי CAAT, ביקורת בזמן אמיתי באמצעות המחשב, שימוש בדוחות חריגים ואי סבירויות, שימוש בכלי BI, שימוש בכלי Data analytics.

3. טיב תוצר הביקורת הפנימית:

   1. שביעות רצון ההנהלה מהביקורת הפנימית- מבקר אשר יוצר דחייה בקרב עובדי החברה לעבודתו, מגביל את אפקטיביות עבודתו. אובייקטיביות, שקיפות, כנות ומקצועיות מסייעים בשיפור הערכת ההנהלה את המבקר.
   2. מספר וחומרת אירועי הכשל שהתגלו בחברה שלא על ידי הביקורת הפנימית- במידה ואירועי כשל רבים בחברה מתגלים שלא על ידי הביקורת הפנימית הדבר עלול להצביע על אי התמקדות בסיכונים המהותיים.
   3. שיעור יישום ההמלצות - מבקר פנימי טוב אינו נמדד רק בדוחות ביקורת עבי כרס וגדושי ממצאים. חלק חשוב מעבודת המבקר הינו לשכנע את המבוקרים שכדאי ליישם את ההמלצות. שיעור גבוה של יישום המלצות המבקר, יכול להצביע על תועלת רבה המופקת מעבודת המבקר.

לסיכום

יחידת הביקורת הפנימית בארגון אינה יכולה להימדד על פי פרמטרים כמותיים בלבד. כמו כן, סקר הבטחת איכות הביקורת הפנימית (QAR) בוחן את תהליכי הביקורת למול התקנים המקצועיים, אך אינו בוחן את איכות העבודה והתוצרים. על כן נוצר הצורך לפתח שיטות אפקטיביות למדידת איכות הביקורת הפנימית. במאמר זה הצגנו מחקרים שנעשו בתחום והמלצנו את פרמטרים למדידת הביקורת הפנימית בהתבסס על מאמרים אלו ונסיוננו.