ביקורת פנימית מבוססת סיכונים 

ביקורת פנימית מבוססת סיכונים

מהפכת ניהול הסיכונים שנדמה שאנו עדיין שרויים בראשיתה, השפיעה עמוקות על הביקורת הפנימית, עד כדי כך שנדמה כי עבודתו של מבקר הפנים איננה עוד כתמול שלשום. ברם, בטרם נסקור בקצרה במסגרת רשימה זו את התמורות שחוללה גישה זו בדיסציפלינת הביקורת הפנימית, נציג בקווי מתאר כללים את גישת ניהול סיכונים.

למרות שמה, גישת ניהול סיכונים אינה מתכון לניהול סיכונים [וכי כיצד ניתן לנהל דבר ערטילאי, שלא בהכרח יתקיים?] אלא זוהי פרקטיקה לניהול ארגונים על משאביהם (כוח אדם, חומר גם וכו') בראי הסיכונים אליהם הם חשופים. לשון אחר, גישת ניהול סיכונים, שבאה לעולם לפני למעלה משני עשורים כפרקטיקה של חברות ביטוח שביקשו לאמץ כלי יעיל יותר לקביעת פרמיות, הביאה לכך שארגונים לא רק מביטים על הסיכויים, אלא גם על הסיכונים. היינו, זוהי מעין פרספקטיבה חדשה להתבוננות על ארגונים, לפיה יש לשקלל בתהליכי קבלת החלטות את ההשפעה של אירועים שבאם הללו יתרחשו תפגע יכולת הארגון לעמוד ביעדים.

לאור היקפה, היה ברור שככלי ניהולי גם הביקורת פנימית תושפע מגישת ניהול הסיכונים. ואכן עוד בסוף המאה הקודמת שונתה הגדרת הביקורת הפנימית ונכלל בה התייחסות מפורשת לניהול סיכונים לפיה הביקורת הפנימית "מסייעת לארגון להשיג את מטרותיו בהבאת גישה שיטתית וממוסדת, לשם הערכה ושיפור האפקטיביות של תהליכי ניהול סיכונים, בקרה, פיקוח ושליטה"

תחילה השפיעה גישת ניהול סיכונים על האופן שבו מבקרים פנימיים קובעים "מה" יבוקר, "מתי" ובאיזה היקף. דה פקטו כתוצאה מכך, לראשונה עמד לרשות מבקרי הפנים כלי אפקטיבי לקביעת תוכנית עבודה המבוססת על נתונים אמפיריים (ולא על קביעה שרירותית, כגון כיסוי תחום כל מספר שנים). באמצעות מתודולוגיה לעריכת סקר סיכונים, יכולים מבקרים פנימיים לקבוע את רשימת מטלות הביקורת, עיתוים והיקפם באופן ההולם [בצורה מוכחת] את התחומים המסוכנים ביותר לארגון (Key risk areas). אחד מתוצרי הלוואי לכך, מעבר לעובדה שמתודולוגיה זו מגבירה את אפקטיביות הביקורת הפנימית, הוא שלראשונה עומדת לרשות מבקרי הפנים הגנה יעילה למצבים בהם נשאלת השאלה "היכן היה המבקר". דהיינו, רק כאשר תוכנית העבודה של הביקורת הפנימית נשענת על ממצאי סקר סיכונים, שנערך ע"פ מתודולוגיה מקובלת, ימצא המבקר כאחד שפעל באופן סביר, זאת  לא רק בגלל שכללי המקצוע מחייבים זאת, אלא מכיוון שזאת הדרך היחידה בה יכול המבקר להבטיח כי אכן כל הנושאים המהותיים ביותר לארגון נסקרו על-ידו.

אך לא רק על ה"מה" השפיעה גישת ניהול הסיכונים על הביקורת הפנימית אלא גם על ה"איך". בניגוד לעבר בה גישת הביקורת הפנימית הייתה "לבחון את הבקרות", וככזו היא כונתה "אם הבקרות", גישת ניהול הסיכונים הסיטה את הפוקוס על עבר הסיכונים. בעבר צעדו מבקרים "בנתיב הביקורת" (audit trail) ובחנו את יעילותן והלימותן של הבקרות, ברם בדיקה שכזו לא יכלה בהכרח להעיד על מוכנות הארגון להתמודדות עם תרחישי סיכון אפשריים. לדוגמה, בעבר בדק מבקר הפנים האם הבקרות הקיימות למשל בקופה יעילות, אך הוא לא בחן בהכרח בעבודתו סוגיות נוספות כגון האם מערך הבקרה הקיים יכול לתת מענה הולם לתרחישי סיכון אפשריים כגון: אובדן נתונים (במערכת הקופה הממוחשבת) עקב אסון טבע וכו'.

הנדבך האחרון בו השפיעה גישת ניהול הסיכונים על הביקורת הפנימית הוא מחד גיסא קיומה של ביקורת על הליך ניהול הסיכונים הארגוני (ERM), ומאידך גיסא היכולת לתרום לארגון ידע בנושאים אלה מבלי להסתכן בהפרת עקרונות העצמאות ואי התלות של הביקורת הפנימית. בנייר עמדה שפרסמה לשכת המבקרים הפנימיים העולמית, ה IIA, נקבעה נוסחה למידת יכולתו של מבקר הפנימי לסייע למקבלי החלטות בארגון להטמיע ולקיים פרקטיקות של ניהול סיכונים.

במודל הנורמטיבי הנ"ל לקביעת מידת מערבותו המותרת של מבקר הפנים בניהול סיכונים, המכונה בישראל גם "מודל האבטיח"(לתרשים ראה קישור בסוף המאמר), נקבע כי ככל שמבקר הפנים מייעץ לארגון בנושאים כלליים שעניינם הצגת עיקרי המתודולוגיה, אין הוא מסתכן בהפרת העקרונות הנזכרים, ומכיוון שכך אין הוא מנוע מלקיים על כך ביקורת.

מאידך גיסא, על המבקר הפנימי לוודא שאינו עוסק בנושאים שאל לו לעסוק בהם, כגון:  קביעת מידת התיאבון לסיכון ולקיחת אחריות על תהליך ניהול הסיכונים הכולל.

מעבר לכל האמור לעיל, היינו מעבר לשימוש במתודולוגיות ניהול סיכונים לצורך קביעת תוכנית עבודה למבקר פנימי, עריכת ביקורת בפרספקטיבה של סיכונים, וייעוץ להנהלה בתחומים אלה, נדמה כי האתגר הגדול ביותר שמעמידה גישה זו לפתחם של מבקרי הפנים הוא קיומה של ביקורת על הליך ניהול הסיכונים הארגוני. ניהול סיכונים הנו תהליך מבין החשובים, אם לא החשוב ביותר, שמתקיימים בארגון. היכולת לקיים ביקורת על הליך זה, לא זו בלבד שהוא הביטוי האולטימטיבי ליכולת הביקורת הפנימית להוסיף ערך לארגון, אלא הוא אף עדות לכך הפנימית שהעוסקים בך נמצאים בחזית הידע והם מצוידים במיטב הכלים שלא רק יודעים "איך" ו"מה" אלא גם "למה". על מבקרי פנימיים לרכוש ידע ומקצועיות בגישת ביקורת פנימית מבוססת סיכונים כדי להמשיך ולהיות רלוונטיים וכדי שיכולו להוסיף ערך לארגון.

לאיור המציג את מודל האבטיח הקלק עלי

מקורות

לשכת המבקרים הפנימיים אוגדן תקנים מקצועיים, מהדורה שנייה, תל-אביב 2002.

קוחלני, א', ביקורת פנימית מבוססת סיכונים – ניהול סיכונים ככלי לעריכת ביקורת פנימית, הוצאת ג'י.אר.סי יועצים 2012.

קוחלני, א'. מודל ניהול הסיכונים של  COSO, המבקר הפנימי, לשכת המבקרים הפנימיים, גיליון 97, מאי 2007.

קוחלני, א'. CoCo, COSO ומה שבניהן- על חובת המבקר הפנימי לבחון את הבקרה הפנימית, המבקר הפנימי, לשכת המבקרים הפנימיים, גיליון 98, נוב' 2008.

Internal Auditing's Role in Risk Management, The IIA Research Foundation, March 2011 

המחבר פרסם לאחרונה ספר בתחום "ביקורת פנימית מבוססת סיכונים – ניהול סיכונים ככלי לעריכת ביקורת פנימית" בהוצאת חברת ג'י.אר.סי יועצים (www.grc-c.co.il)

המאמר פורסם ב 10.7.2012 בניוזלטר של IIA ישראל - איגוד מבקרים פנימיים בישראל