‫המבקר הפנימי – חובות‪ ,‬איסורים והמלצות‬ ‫בראי התקינה המקצועית והפרקטיקה‬ ‫‪1‬‬ ‫רו"ח אורן שחר ‪ CIA,CISA‬הביקורת הפנימית אינטל‬ ‫דירקטור‪ ,‬חבר ועדת מידע ופרסומים והועדה המקצועית‬ ‫‪ IIA‬ישראל – איגוד מבקרים פנימיים בישראל‬ ‫תוכן העניינים‬ ‫‪2‬‬ ‫‪ ‬חובות המבקר הפנימי‬ ‫‪ ‬איסורים החלים על המבקר הפנימי‬ ‫‪ ‬ציפיות בעלי העניין מהמבקר הפנימי‬ ‫‪ ‬תובנות המבקר הפנימי‬ ‫‪ ‬המבקר הפנימי כיועץ בראי התקנים‬ ‫‪ ‬תפקיד המבקר הפנימי בתהליך ניהול הסיכונים בארגון‬ ‫חובות המבקר הפנימי‬ ‫‪3‬‬ ‫‪ ‬עמידה בדרישות החוק והתקנות‬ ‫‪ ‬עריכת הביקורת על פי כללים מקצועיים מקובלים (סעיף ‪(4‬ב)‬ ‫לחוק הביקורת הפנימית)‬ ‫‪‬‬ ‫דרישות התקנים הבינלאומיים של לשכת המבקרים הפנימיים העולמית‬ ‫ה‪IIA-‬‬ ‫‪ ‬עמידה בכללי ההתנהגות ובעקרונות הקוד האתי של לשכת‬ ‫המבקרים הפנימיים העולמית ה‪IIA-‬‬ ‫התקנים המקצועיים הבינלאומיים של‬ ‫לשכת המבקרים הפנימיים העולמית ‪IIA‬‬ ‫‪4‬‬ ‫‪ ‬מטרות התקנים‪:‬‬ ‫‪ ‬להתוות עקרונות בסיסיים של פרקטיקת הביקורת הפנימית‬ ‫‪ ‬לספק מידע לביצוע וקידום היקף רחב של פעילות ביקורת פנימית‬ ‫מוסיפת ערך‬ ‫‪ ‬לייסד בסיס להערכת ביצועי הביקורת הפנימית‬ ‫‪ ‬לטפח פעולות ותהליכים ארגוניים משופרים‬ ‫‪ ‬משמשים כ – ‪175‬אלף מבקרים פנימיים ברחבי העולם בכ‪165-‬‬ ‫מדינות‬ ‫‪ ‬אומצו ע"י ה ‪ OECD‬בו ישראל חברה ‪ ,‬ע"י ה‪ EU‬בו ישראל‬ ‫נספחת וע"י ‪ - INTOSAI‬איגוד מבקרי המדינה העולמי בו חבר‬ ‫משרד מבקר המדינה הישראלי‬ ‫עמידה בדרישות התקנים‬ ‫‪5‬‬ ‫‪ ‬התקנים נחלקים ל‪:‬‬ ‫‪ ‬תקני תכונות ("תקני ה‪- )"1000‬העוסקים בתכונות הנדרשות‬ ‫מהמבצעים ביקורת פנימית‬ ‫‪ ‬תקני ביצוע (תקני ה"‪ - )"2000‬המתארים את אופי הביקורת‬ ‫הפנימית ומספקים קריטריונים לאיכותה‬ ‫‪ ‬תקני יישום – פירוט לגבי הנ"ל תוך הבחנה בין שירותי ייעוץ (‪)C‬‬ ‫לשרותי הבטחה (‪)A‬‬ ‫‪ ‬דרישות חובה בלתי מותנות מצוינות בתקנים ע"י‬ ‫השימוש במילה " ‪"( "Must‬חייב" או "חובה" בתרגומם‬ ‫לעברית)‬ ‫‪ ‬התקנים כוללים מעל ל ‪ 100‬דרישות חובה !!‬ ‫חובות המבקר הפנימי – תקני תכונות (רשימה חלקית)‬ ‫‪6‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫הגדרת כתב אמנה ואחריות (צ'רטר) בכתב‬ ‫אי תלות ואובייקטיביות לרבות אי תלות ארגונית‪ ,‬דיווח על פגיעה באי‬ ‫התלות‬ ‫אינטראקציה וקשרי גומלין עם הדירקטוריון‬ ‫מקצועיות – יחידת הביקורת הפנימית צריכה להיות בעלת ידע ‪,‬‬ ‫מיומנות ויכולות הדרושים לביצוע הפעילויות‬ ‫זהירות מקצועית ראויה‬ ‫פיתוח מקצועי מתמשך‬ ‫פיתוח וקיום תוכנית להבטחת איכות ושיפור‬ ‫הערכות איכות פנימיות וחיצוניות‬ ‫גילוי על אי עמידה בתקנים‬ ‫חובות המבקר הפנימי‪-‬תקני ביצוע (רשימה חלקית)‬ ‫‪7‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫ניהול אפקטיבי – עמידה בכתב האמנה ‪ ,‬עמידה בקוד אתי‬ ‫ובתקנים ‪ ,‬הוספת ערך לארגון‬ ‫הכנת תוכנית עבודה מבוססת סיכונים ‪ ,‬דיווח להנהלה הבכירה‬ ‫והדירקטוריון ‪ +‬דיווח תקופתי על סטטוס תוכנית העבודה‬ ‫וידוא משאבים מספקים‬ ‫מיסוד מדיניות ונהלים לפעילות הב"פ‬ ‫הערכה ותרומה לשיפור הממשל התאגידי‬ ‫הערכת האפקטיביות ותרומה לשיפור תהליכי ניהול הסיכונים‬ ‫הערכת האפקטיביות והיעילות ותרומה לשיפור הבקרות‬ ‫חובות המבקר ‪-‬תקני ביצוע המשך‬ ‫‪8‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫פיתוח ותיעוד "תוכנית ביקורת" לכל מטלת ביקורת‬ ‫תוכנית הביקורת תכלול מטרות הנגזרות מביצוע סקר מוקדם לרבות‬ ‫שקילת טעויות משמעותיות והונאות‬ ‫היקף מטלות הביקורת חייב להיות מספק כדי לעמוד במטרות הביקורת‬ ‫זיהוי ניתוח והערכה של מידע רלוונטי ‪ ,‬מספק ואמין לצורך הסקת‬ ‫מסקנות‬ ‫פיקוח כראוי על מטלות הביקורת‬ ‫דיווח על תוצאות מטלת הביקורת והפצה לגורמים המתאימים‬ ‫דווחי הב"פ חייבים להיות מדויקים‪ ,‬אובייקטיבים‪ ,‬ברורים‪ ,‬תמציתיים‪,‬‬ ‫בונים‪ ,‬שלמים ובמועד‪.‬‬ ‫הקמה ותחזוק מערכת מעקב אחר התקדמות היישום של התוצאות‬ ‫שדווחו להנהלה‬ ‫דיווח לדירקטוריון על מחלוקת עם ההנהלה לגבי השלמה עם סיכון שיורי‬ ‫עמידה בכללי ההתנהגות ובעקרונות הקוד האתי‬ ‫‪9‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫הקוד האתי חל על ישויות ועל יחידים‬ ‫יושרה ‪ :‬פעילות ביושר ‪ ,‬קיום החוק‬ ‫אובייקטיביות ‪ :‬הימנעות מניגוד עניינים וממצבים הנראים כניגוד‬ ‫עניינים ‪ ,‬חשיפה נאותה של מידע נדרש על פעילויות הנמצאות בבדיקה‬ ‫חיסיון ‪ :‬זהירות בשימוש במידע ‪ ,‬אי הפקת טובה אישית מהמידע או‬ ‫שימוש בו בדרך המנוגדת לחוק או פוגעת במטרות האתיות של הארגון‬ ‫יכולת‪ -‬יעסקו רק בתחומים בהם יש להם ידע מיומנות ויכולת ‪ ,‬שיפור‬ ‫מתמיד של היכולות‬ ‫עמידה בתקנים המקצועיים‬ ‫איסורים החלים על המבקר הפנימי‬ ‫‪10‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫איסורים מפורשים מוזכרים בעיקר בקוד האתי אך גם בתקנים‬ ‫עצמם‬ ‫חלק מחובות המבקר כוללים במשתמע גם איסורים‬ ‫הימנעות מפעילות בלתי הולמות לארגון ולמקצוע (ק"א)‬ ‫הימנעות מניגוד עניינים וממצבים הנראים כניגוד עניינים (ק"א‪+‬‬ ‫תקן ‪)1120‬‬ ‫הפקת טובה אישית מהמידע המובא לידיעתם ‪ ,‬שימוש בניגוד לחוק‬ ‫או בדרך הפוגעת במטרות האתיות והלגיטימיות של הארגון (ק"א)‬ ‫מתן שרותי הבטחה לתחום מסוים שהיה בעבר (שנה שחלפה) תחת‬ ‫אחריותם (תקן ‪)1130‬‬ ‫לקיחת אחריות ניהולית על ניהול הסיכונים בפועל (תקן ‪)2120‬‬ ‫ציפיות בעלי העניין מהמבקר הפנימי‬ ‫‪Value Proposition for Key Stakeholders‬‬ ‫‪Internal Auditing:‬‬ ‫‪• Assurance‬‬ ‫‪• Insight‬‬ ‫‪• Objectivity‬‬ ‫גופי הממשל התאגידי וההנהלה הבכירה נשענים על הביקורת הפנימית שתספק הבטחה‬ ‫אובייקטיבית ותובנות לגבי אפקטיביות והיעילות של הממשל התאגידי ‪ ,‬ניהול הסיכונים‬ ‫‪.‬ותהליכי הבקרה‬ ‫הגדרת ה ‪ IIA‬ל"תובנה" )‪(Insight‬‬ ‫‪12‬‬ ‫‪ ‬הביקורת הפנימית הינה זרז לשיפור אפקטיביות ויעילות‬ ‫התהליכים הארגונים באמצעות מתן המלצות ותובנות המבוססים‬ ‫על הערכה וניתוח של תהליכים ונתונים‪.‬‬ ‫‪ ‬תוצר סופי של שרותי ההבטחה והייעוץ של הביקורת הפנימית ‪,‬‬ ‫יכול לכלול "חיבור הנקודות" (דוגמא – הבנת שורש הבעיה לליקוי‬ ‫בקרות בארגון ‪ ,‬זיהוי סיכונים חדשים והזדמנויות לשיפורים‬ ‫בממשל התאגידי לצורך הוספת ערך לבעלי העניין של הביקורת‬ ‫הפנימית)‬ ‫תוצאות סקר‬ ‫‪ - IIARF‬על תובנות הביקורת הפנימית‬ ‫צריכה לספק‬ ‫באופן כללי מספקת‬ ‫מספקת בארגוני‬ ‫מסופקת בתדירות‬ ‫תפקיד‬ ‫מ‪/‬ממ‬ ‫מ‪/‬ממ‬ ‫מ‪/‬ממ‬ ‫ת‪/‬ת‬ ‫‪90%‬‬ ‫‪72%‬‬ ‫‪81%‬‬ ‫‪66%‬‬ ‫דירקטורים‬ ‫‪86%‬‬ ‫‪77%‬‬ ‫‪79%‬‬ ‫‪61%‬‬ ‫הנהלה בכירה‬ ‫‪89%‬‬ ‫‪57%‬‬ ‫‪56%‬‬ ‫‪38%‬‬ ‫תוצאות כלליות‬ ‫‪89%‬‬ ‫‪71%‬‬ ‫‪76%‬‬ ‫‪60%‬‬ ‫מבקרי פנים‬ ‫מ‪/‬ממ – מסכימים או מסכימים מאד ת‪/‬ת – תמיד או תכוף‬ ‫קונצנזוס בין בעלי העניין למבקרים פנימיים שהב"פ אמורה לספק תובנות‬ ‫פער בינם האם היא אכן עושה כך בפועל‬ ‫גורמים מסייעים למתן תובנות ע"י הביקורת הפנימית‬ ‫‪14‬‬ ‫פקטור‬ ‫סביבת בקרה חזקה בארגון –‬ ‫דוגמא אישית מההנהלה‬ ‫אחוז‬ ‫‪62%‬‬ ‫דוגמא‬ ‫תובנות הב"פ (גם אם שליליות או סותרות את‬ ‫עמדת ההנהלה) ניתנות בפתיחות‬ ‫ציפיות הדירקטוריון‬ ‫מהביקורת הפנימית להוספת‬ ‫ערך‬ ‫‪59%‬‬ ‫ציפיות הדירקטוריון ניתנות בבירור ונמדדות‬ ‫מבנה ארגוני התומך באי‬ ‫תלות המבקר הפנימי‬ ‫‪55%‬‬ ‫דיווח של המבקר הפנימי לדירקטוריון ‪,‬‬ ‫הדירקטוריון מאשר את תוכניות העבודה ואת‬ ‫מינוי או פיטורי המבקר הפנימי הראשי‬ ‫כישורי המבקר הפנימי‬ ‫הראשי‬ ‫‪50%‬‬ ‫מנהיגות ‪ ,‬חזון ‪ ,‬ויכולת מתן תובנות הכרוכה‬ ‫לעיתים בעימותים עם גורמים בכירים בארגון ‪,‬‬ ‫הבנה עסקית וארגונית‬ ‫עמוקה של צוות הביקורת‬ ‫הפנימית‬ ‫‪46%‬‬ ‫אין להסתפק ב"תשובות בית ספר" לאתגרי‬ ‫החברה אלא להתאימם לסביבה העסקית בו היא‬ ‫פועלת‪.‬‬ ‫גישות לשיפור מתן תובנות ע"י הביקורת הפנימית‬ ‫‪15‬‬ ‫גישה ‪/‬פעולה‬ ‫הביקורת הפנימית כוללת מבקרים‬ ‫בכירים ומומחי תוכן (דוג' ‪ -‬מבקרי‬ ‫מערכות מידע)‬ ‫אחוז‬ ‫‪70%‬‬ ‫דיווחי הביקורת הפנימית כוללים את‬ ‫חוות דעת ונקודת הראות של הב"פ‬ ‫‪44%‬‬ ‫הכללת שרותי ייעוץ בהיקף משמעותי‬ ‫מסך שעות התוכנית השנתית‬ ‫‪42%‬‬ ‫שימוש בניתוח נתונים בהערכות‬ ‫ובדיווחי הביקורת הפנימית (דוג' ‪-‬‬ ‫ביקורת מתמשכת)‬ ‫‪42%‬‬ ‫הכללת בנצ'מרק בהערכות ובדיווחיי‬ ‫הביקורת הפנימית‬ ‫‪42%‬‬ Ascending to the Level of A Trusted Advisor Trusted advisor Compliance function Engaged but not strategic Relationships 2012 ‫מקור – הרצאת ריצרד צמברס נשיא לשכת המבקרים העולמית – כנס פברואר‬ ‫המבקר כיועץ בראי התקנים המקצועיים‬ ‫‪17‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫שרותי ייעוץ הינם חלק מהגדרת הביקורת הפנימית‬ ‫‪" ‬פעילות בלתי תלוויה ואובייקטיבית של הבטחה (‪ )assurance services‬וייעוץ‬ ‫( ‪" ( consulting services‬‬ ‫‪ ‬מבוצעים לרוב לבקשה ספציפית של לקוח מטלת הייעוץ‪ ,‬אופי והיקף המטלה‬ ‫כפופים לרוב להסכם עמו‪ .‬במטלות משמעותיות – חובה לתעד הסכמה זו‬ ‫שרותי הייעוץ חייבים להיות מוגדרים בצ'רטר הב"פ‬ ‫מבקרים פנימיים רשאים לתת שרותי ייעוץ הנוגעים לפעולות שהיו אחראים‬ ‫עליהן בעבר‬ ‫מבקר פנימי חייב לסרב לקבל מטלת ייעוץ אם אין לב"פ הכישורים לבצעה או‬ ‫להשיג סיוע מתאים לצורך ביצועה‬ ‫ראוי שהמבקר הפנימי ישקול לבצע מטלת ייעוץ על בסיס הפוטנציאל לשיפור‬ ‫ניהול הסיכונים להוספת ערך לארגון ולשיפור פעולתו‬ ‫המבקר כיועץ בראי התקנים המקצועיים המשך‪.‬‬ ‫‪18‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫חובה להתייחס לסיכונים הקשורים למטלת הייעוץ ולהיות ערניים לקיומם‬ ‫של סיכונים משמעותיים נוספים‬ ‫חובה לשלב ידע שהושג במהלך מטלת הייעוץ‬ ‫חובה להתייחס לתהליכי הממשל התאגידי ‪ ,‬ניהול הסיכונים והבקרה‬ ‫במידה המוסכמת עם הלקוח‪ ,‬מטרות מטלת הייעוץ חייבות להיות עקביות‬ ‫עם מטרות הארגון‬ ‫דיווח על מטלת הייעוץ ישתנה בתוכנו ובצורתו בהתאם לאופי המטלה‬ ‫וצרכי הלקוח‪ .‬המבקר אחראי לדווח את תוצאות מטלת הייעוץ ללקוחות‬ ‫חובה לדווח לדירקטוריון על סוגיות משמעותיות בממשל התאגידי בניהול‬ ‫הסיכונים ובבקרות שזוהו במהלך מטלת הייעוץ‬ ‫מעקב אחרי תוצאות היישום של תוצאות מטלת הייעוץ במידה המוסכמת‬ ‫עם הלקוח‬ ‫תפקיד הביקורת הפנימית בניהול הסיכונים הארגוני‬ 19 IIA position paper – the role of Internal auditing in Enterprise Wide Risk Management - 2009 – ‫מקור‬ CRMA ‫תרגום – עו"ד אלון קוחלני‬ ‫סיכום‬ ‫‪20‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫‪‬‬ ‫פעילות בהתאם לתקנים המקצועיים ‪ -‬אתגר לא פשוט הכרוך בחובות מרובות‬ ‫בנוסף‪ ,‬לדירקטוריון ולהנהלה הבכירה ציפיות מהביקורת הפנימית להוספת‬ ‫ערך‬ ‫פער בין המבקרים לבעלי העניין לגבי התובנות שהב"פ מספקת‬ ‫מחקר ה‪ IIA‬מציג מספר גורמים וגישות יישומיות לשיפור‬ ‫‪‬‬ ‫כולל מתן שרותי ייעוץ בהיקף משמעותי‬ ‫‪ ‬התקנים מעודדים ומתווים קוויים למתן שרותי ייעוץ‬ ‫‪ ‬שיפור ניהול סיכונים בארגון הינו תחום בו מצופה מהביקורת הפנימית לפעול‬ ‫הן במתן שרותי הבטחה והן במתן שרותי ייעוץ תוך ניצול הידע הרב והייחודי‬ ‫שלה בתחום‬ ‫‪ ‬מודל "המניפה" מציג תפקידים רצויים ובלתי רצויים של הביקורת הפנימית‬ ‫בניהול הסיכונים הארגוני‬ ‫מקורות‬ 21 ‫התקנים המקצועיים הבינלאומיים של לשכת המבקרים הפנימיים העולמית תרגום‬ ‫ איגוד מבקרים פנימיים בישראל‬- ‫ ישראל‬IIA Insight: Delivering Value to Stakeholders -The Institute of Internal Auditors Research Foundation - 2011 IIA position paper – The Role of Internal Auditing in Enterprise Wide Risk Management - 2009 “Trends and Outlook for the Global Profession" IIA ‫ כנס‬-‫הרצאת ריצרד צ'מברס נשיא לשכת המבקרים העולמי‬ 2012 ‫ פברואר‬- ‫ איגוד מבקרים פנימיים בישראל‬- ‫ישראל‬ -