בעיות בביקורת חשבונות בסביבת מערכת מידע ממוחשבת 

פתח-דבר

ביום 25 בספטמבר 1996 פרסמה נציבות מס הכנסה הוראת ביצוע (מס' 11/96) בנושא "ביקורת מערכות ממוחשבות לצורכי מס"(1).

בינואר 1997 אישרה לשכת רואי חשבון בישראל גילוי דעת (מס' 66) בנושא "הנחיות ליישום תקני ביקורת בסביבה של מערכת מידע ממוחשבת" [להלן - "ממ"מ"](2).

 גילוי הדעת כולל, בין היתר, נספחים המאגדים, בעיקר, את הנחיות הביקורת של (INTERNATIONAL FEDERATION OF ACCOUNTING) "IFAC".

השאלה הנדרשת

אנו נדרשים לשאלה - מה הן הבעיות בביקורת חשבונות, אשר נעשית באמצעות מערכת מידע ממוחשבת ?

דיון

סביבה של ממ"מ

סביבה של ממ"מ קיימת, כאשר מחשב מעורב בתהליך העיבוד של נתונים כספיים של המבוקר, אשר להם יש משמעות לצורכי ביקורת, בין שהמחשב מופעל בידי הגוף המבוקר, ובין שהמחשב מופעל בידי צד שלישי (כגון: לשכת שירות).

מטרות הביקורת והיקפה אינם משתנים בסביבה של ממ"מ. עם זאת, השימוש במחשב משנה את צורת עיבוד הנתונים הכספיים, את אחסונם, את ניהולם ואת העברתם, ועשוי להשפיע על מערכת החשבונות ועל מערכת הבקרה הפנימית של המבוקר.

הסביבה המיחשובית -

מערכות אצווה - BATCH;

לעומת הסביבה המקוונת - ON-LINE

מערכות המחשב של שנות ה-60 ושל שנות ה-70 היו מערכות BATCH. מערכות BATCH אלה התאפיינו בשלושה רכיבים:

•  קלט -
פעולה, המתבצעת במנותק מהמשתמש (יוצר האירוע) ובמנותק מתהליך העבודה שהיה ידני במהותו.
•  עיבוד -
פעולה, המתבצעת באורח תקופתי במנותק מתהליך הקלט. דוגמה לכך אפשר לראות בחלק מהבנקים, שם תנועות שנוצרו במהלך היום אינן חלק ממצב החשבון של הלקוח. התנועות יתווספו למצב החשבון בלילה בעת ביצוע מהלך יזום לשילוב כל תנועות היום בתוך בסיס הנתונים.
•  פלט -
פעולה, המתבצעת בצורה מרוכזת והיא הפקת דוחות, אשר נשלחים למשתמשים לפי לוחות תפוצה. 

שנות ה-80 פתחו לפנינו סביבת עבודה חדשה - הסביבה המקוונת (ON-LINE) - סביבה, שבה שלושת הרכיבים שצוינו לעיל ("קלט", "עיבוד" ו"פלט") מתבצעים מידית.

----------------------------------

מערכת מקוונת מאפשרת למשתמשים ליזום מגוון של פעולות בצורה ישירה, לדוגמה:

•  קליטת תנועות (כגון: עסקאות מכירה בקמעונות, משיכת מזומנים בבנק, ומשלוח סחורות במפעל).
•  בקשת שאילתות (כגון: חשבון שוטף של לקוח או מידע מאזני).
•  הפקת דוחות (כגון: רשימת פריטי מלאי שכמותם שלילית).
•  עדכון קובצי אב (כגון: חשבון ושינויי מספרי חשבון בספר הראשי).

----------------------------------

השוני בין שתי הסביבות התבטא מבחינת המבקר בשני היבטים:

היבט א':

בקרות שונות - היה צורך להתאים את הבקרות הפנימיות במחשב, ובמיוחד את בקרות הקלט של המשתמש.

היבט ב':

נוצרו בעיות אבטחת מידע, שלא היו קיימות בעת שלא היו מסופים בידי המשתמשים.

----------------------------------

מושגים נוספים בהקשר זה
                                                                                             
עיבוד באצווה (BATCH)

במערכת, שבה יש עיבוד אצווה - מוקלדות תנועות יחידות  במסוף, מנותבות לפעולות אימות אחדות, ומתוספות לקובץ תנועות (= מנה), אשר מכיל תנועות אחרות, שנכנסו למערכת במשך התקופה. כעבור זמן, במשך מחזור העיבוד, נבדק קובץ התנועות בדיקות תקפות נוספות; ואז - הוא משמש לעדכון קובצי האב הרלוונטיים.

דוגמה לכך: פעולות יומן יכולות להיות מוקלדות ולהיבדק בדיקות תקפות ולהישמר בקובץ תנועות, וקובצי האב (של הספר הראשי) יעודכנו אחת לחודש. שאילתות או דוחות, שמופקים מקובץ האב, לא יכללו את התנועות שהוקלדו לאחר העדכון האחרון שנעשה בקובץ האב.

עיבוד בזמן אמיתי (REAL TIME)

בעיבוד בזמן אמיתי - מוקלדות תנועות יחידות   למסוף, מאומתות ומעדכנות את קובצי המחשב מיד.

דוגמה לכך:  תקבולים במזומן, שמשויכים ישירות לחשבון הלקוח. עיבוד בזמן אמיתי מאפשר זמינות מידית לשאילתות ולדוחות.

הגדרת הבעיות בממ"מ

סעיף ב"גילוי דעת 66" מציג את הבעיות בממ"מ - ואת הדוגמאות להן - והן מובאות להלן.

היעדר אסמכתאות בכתב

הבעיות

מערכות יישום ממוחשבות יוצרות לעתים פעולות חישוב או רישומים חשבוניים בלי התבססות על אסמכתאות בכתב.  

מכך - עלול להיווצר, לעתים, קושי באיתור האסמכתאות לרישומים במערכת החשבונות.

הדוגמאות

מהלכי סוף שנה, כגון: תיקוני ערך מלאי, שהם תוצאה מהחלטות בדבר "מלאי איטי" ו"מלאי מת". למעשה, כל תנועה במערכת הכספים, מערכת אשר מנוהלת במטבעות אחדים, מוזנת בדרך כלל במטבע אחד ומתורגמת למטבעות נוספים. הרישום במטבעות האחרים אינו נובע מאסמכתה ידנית אלא מטבלת תרגום.

נוסף על כך, הרישומים נוצרים לעתים בעקבות נתונים המגיעים בדיסק או בדיסקט.

חוסר בנתיבי ביקורת

הבעיות

נתיבי תנועה מלאים, שהם שימושיים לצורכי ביקורת, עשויים להישמר במערכת המידע הממוחשבת לתקופה קצרה, או להיות נגישים רק באמצעים ממוחשבים. כאשר מערכת יישום מורכבת מבצעת מספר רב של שלבי עיבוד, עלול לא להישמר נתיב ביקורת מלא.

כתוצאה מכך, יהיה קשה לאתר בעיתוי המתאים, באמצעות נהלים ידניים, שגיאות שקיימות בלוגיקה של תוכנית מחשב.

הדוגמאות

טבלת שערי החליפין בהנהלת חשבונות כוללת, בדרך כלל, שער חליפין יומי לכל מטבע. אם שער החליפין השתנה (בזדון או בשוגג) פעמים אחדות ביום, לא יבוטא הדבר בטבלאות, אף על פי שהדבר השפיע על הרישומים החשבוניים במערכת המידע.

זאת ועוד. הנתונים ממוינים ומקובצים במהלך העבודה באופנים שונים; וכך - אי אפשר להגיע ממאזן הבוחן אל המיון הראשוני. דוגמה בולטת לכך היא: עלות שכר העבודה, אשר במערכת השכר, מחושבת פרטנית לכל עובד. לעומת זאת - במערכת הנהלת החשבונות מרוכזת עלות זו. במצב כזה נתיב הביקורת אינו ברור, ויש לבצע ביקורת של תהליך העבודה במחשב.   

עיבוד אחיד של תנועות

הבעיות

המחשב מבצע באופן אחיד עיבודים, שהוראות העיבוד בהן הן זהות. לפיכך - שגיאות אנוש, המתלוות בדרך כלל לעיבודים ידניים, כמעט אינן קיימות.

מאידך, שגיאות תכנות (או שגיאות שיטתיות בחומרה או בתוכנה) יגרמו בדרך כלל  לשגיאות בכל התנועות, אשר מאפייניהן זהים.

הדוגמאות

למעשה, אין תוכנה ללא "באגים" - שגיאות משגיאות שונות. מובן הוא, כי "באג" גורם לביצוע לקוי של כל אירוע הכרוך בו [ב"באג"] עד לחיסול הבאג; ולאחר חיסולו - חוזרת הפעילות לת?קנה. 

היעדר מערך מבדק פנימי נאות

הבעיות

נוהלי בקרה רבים, אשר מבוצעים במערכות ידניות בידי עובדים הנפרדים זה מזה, עשויים להיות מאוחדים במערכת מידע ממוחשבת.  מכך עולה, כי אדם שיש לו גישה לתוכניות מחשב, לעיבודי מחשב או לנתוני מחשב, עשוי להיות במצב, שבו  הוא  יוכל לבצע  פונקציות אחדות, שהשילוב ביניהן אינו עולה בקנה אחד עם העיקרון של הפרדת תפקידים.

הדוגמאות

ככל שהולך ועולה מיחשוב התהליכים בארגון, כן  הולך ופוחת מספר העובדים המופקדים על כל  תהליך ותהליך.

מאידך - אנו, כמבקרים, רוצים  לשמור על העיקרון של הפרדת התפקידים. משמעות הדבר: התנגשות מסוימת בין הטכנולוגיה לבין צורכי הביקורת.     

השלכות של שגיאות ושל אי סדרים

הבעיות

ההשלכות של שגיאות אנוש בשלבי הפיתוח, התחזוקה והתפעול של מערכת מידע ממוחשבת עשויות להיות גדולות יותר מבמערכות ידניות. ובאותו ההקשר: יכולת משתמשים להשיג גישה לא מורשה לנתונים, או יכולתם לשנות נתונים ללא ראיות הנראות לעין, עלולות להיות גדולות יותר במערכת מידע ממוחשבת מבמערכת ידנית.

הדוגמאות

ככל שרב יותר היקף הפרוצדורות המצויות במוצר, כן עשויות להיות גדולות יותר שגיאות האנוש בשלבי הפיתוח, התחזוקה והתפעול של מערכת מידע ממוחשבת.

הפחתה במעורבות הגורם האנושי

הבעיות

טיפול בתנועות המעובדות בממ"מ עלול להפחית את היכולת להבחין בשגיאות ובאי סדרים.

שגיאות ואי סדרים, המתרחשים במהלך התכנון, או שינויים לא מתוכננים בתוכניות מחשב - עלולים להיות לא מאותרים במשך תקופה ארוכה.

הדוגמאות

ככל שרב יותר היקף הפרוצדורות המצויות במוצר, כן פחותה יותר המעורבות של הגורם האנושי.

ייזום או ביצוע של תנועות

הבעיות

מערכת מידע ממוחשבת עשויה לכלול את היכולת ליזום או לבצע באופן אוטומטי סוגי תנועות מסוימים.

האישור על התנועות האלה עשוי להיות מתועד באופן שונה מבמערכות ידניות. אישור ההנהלה לתנועות אלה עשוי להינתן בשלב התכנון של מערכת המידע הממוחשבת ובעת ביצוע שינויים במערכת, אך לא באופן שוטף.

הדוגמאות

במערכת ידנית וגם במערכת הפועלת במלואה, BATCH, אפשר ליצור מצב, שלפיו כל תנועה תאושר בשתי חתימות לפני הקלדתה למחשב. המעבר למערכות ON-LINE וכן יצירת תנועות אוטומטית במחשב ביטלו את היכולת לאשר כל תנועה בשתי חתימות לפני רישומה במערכת הכספים. לכן, יש לוודא את קיומן של בקרות חלופיות התורמות לביטול הסיכון.

אמצעי חשוב, בהקשר זה, הוא פיתוח מערכת הרשאות ממוחשבת, הקובעת כללי הרשאת גישה  לייזום  פעולות או לביצוען.     

ביקורת ממ"מ

בספרות המקצועית מתוארים שלושה סוגים של ביקורת ממ"מ:

ביקורת סוג א':
ביקורת "מסביב למחשב"

ביקורת, שבה מתייחס המבקר אל המחשב כאל "קופסה שחורה"; ומכך - עיקר שימוש של המחשב: הפקת פלט נייר המתקבל מהמחשב (כרטסת, מאזן בוחן וכד') והשוואתו אל הקלטים (מסמכי מקור, פקודות יומן וכיו"ב).

שיטת ביקורת זו, גם אם בדרך כלל היא מיושמת בידי אנשי הביקורת, היא מיושנת, ואפשר להשתמש בה בביקורת של מערכות פשוטות ביותר, שבהן מצויים נתונים מעטים; מערכות הנהלת חשבונות אינן יכולות להיחשב, על הרוב, למערכות פשוטות.

ביקורת סוג ב':
ביקורת "באמצעות המחשב"

ביקורת, אשר בה משתמש המבקר בתוכנית מחשב לשליפת נתונים.

ביקורת סוג ג':
ביקורת "דרך המחשב"

ביקורת,  אשר בה בודק המבקר את נתיבי הביקורת והבקרות הקיימות בממ"מ. המחשב מוזן בנתונים, שעיבודם אמור להניב תוצאה צפויה וידועה מראש (TEST DATA).

בתום עיבוד המחשב את נתוני המבחן האלה מעומתות התוצאות שהופקו עם התוצאה המצופה, ובכך נבדקת ההתאמה.

----------------------------------

סוג ביקורת א' הוא ביקורת ידנית. סוג ביקורת ב' וסוג ביקורת ג' הם סוגים של ביקורת ממ"מ.

המבקר חייב לבצע את הביקורת באופן אשר יהווה בסיס מהימן לחוות דעתו. לשם כך עליו לאסוף ראיות מספיקות באמצעות נוהלי ביקורת מקובלים. הנהלים לאיסוף ראיות ביקורת בסביבה של ממ"מ עשויים להיות מושפעים משיטות עיבוד הנתונים.

המבקר יכול להשתמש בנוהלי ביקורת ידניים, בנוהלי ביקורת הנעזרים במחשב או בשילוב של שניהם.

----------------------------------

במצבים המתוארים להלן, מחובתו של המבקר לשקול את איסוף הראיות באמצעות שימוש בטכניקות ביקורת הנעזרות במחשב, ולא להסתפק בבדיקות ידניות:

מצב א':
בהיעדר אסמכתות בכתב, או כאשר תוכניות המחשב מייצרות תנועות חשבוניות באופן אוטומטי.

מצב ב':
בהיעדר נתיבי ביקורת נראים לעין - נמנע ממבקר החשבונות לעקוב אחר תנועות ועסקאות, המתבצעות במערכת החשבונות הממוחשבת.

מצב ג':
בהיעדר פלט חזותי, וכאשר נתונים חשבוניים נשמרים בקבצים, שקריאתם אפשרית באמצעות תוכניות מחשב.

----------------------------------

טכניקות, אשר משתמשות במחשב ככלי ביקורת, ידועות בשם CAAT'S (קיצור של - COMPUTER ASSISTED AUDIT TECHNIQUES). CAAT'S משמש בביצוע נוהלי ביקורת שונים; ואלה דוגמאות לנוהלי הביקורת:

א. בדיקת פרטי תנועות ויתרות -
למשל: שימוש בתוכנת ביקורת, כדי לבדוק באופן מדגמי, או כדי לבדוק את כל התנועות בתוך קובץ המחשב.

ב. נוהלי סקירה אנליטית -
למשל: שימוש בתוכנת ביקורת, כדי לאתר סטיות או פריטים חריגים.

ג. בדיקות התאמה לבקרות כלליות של ממ"מ -
למשל: שימוש בנתוני מבחן לצורך בדיקת אפשרויות גישה לספריות של התוכנה.

ד. בדיקות התאמה לבקרות יישום של ממ"מ -
למשל: שימוש בנתוני מבחן לבדיקת אופן תיפקוד תהליכים מתוכנתים.

תמצית הוראות מס הכנסה  לניהול ספרים בסביבה ממוחשבת(3)

פרק א: כללי

סעיף 1 - הגדרות

"מערכת חשבונות" -

... לרבות מערכת חשבונות ממוחשבת;

"מערכת חשבונות ממוחשבת" -

מערכת חשבונות, או חלק ממנה, המנוהלת באמצעות מחשב בהתאם לכללים שנקבעו ... לרבות תוכנה, טבלאות עזר ואמצעי אחסון ממוחשבים ולמעט קובץ זמני;

"ספר" -

פנקס שבו נרשמות פעולות, לרבות כרטסת, קובץ קבוע או פלט שהופק מקובץ קבוע;

 "קובץ" -

קבוצת רשומות של מערכת חשבונות ממוחשבת;

"קובץ קבוע" -

קובץ אשר מתקיימים בו כל אלה:

(1) אין אפשרות למחוק רשומה בו;

(2) הרשומות בו מוספרו באופן אוטומטי במספור עוקב, כשרצף המספרים העוקבים נשמר מעיבוד לעיבוד במשך שנת המס;

(3) אינו קובץ זמני;

"קובץ זמני" -

קובץ המשמש כטיוטה בלבד;

"ספר כרוך" -

(א) ...

(ב) ...

(ג) קובץ קבוע, לרבות פלט שהופק מקובץ קבוע באופן רציף;

פרק ד: נוהלי רישום במערכת החשבונות ושמירתה

סעיף 18 - נוהלי רישום בתיעוד פנים

(א) ...

(ב) תיעוד פנים ייערך -

 (1) ...

 (2) במערכת חשבונות ממוחשבת - באופן המאפשר הפקה זמינה של העתק קריא, הזהה במהותו למקור בציון   המלה "העתק".

(ג) בוטל תיעוד המפורט בסעיף זה - יישמר ההעתק; ואם טרם הוצא המקור מרשות הנישום - יישמר גם המקור.

סעיף 23 - נוהלי רישום

(א) תיקון, שינוי  או ביטול ייעשה -

 (1) ...

 (2) במערכת חשבונות ממוחשבת, להוציא תיעוד פנים - באופן שהרישום המקורי והרישום המתוקן של הנתונים   המחויבים ... יישמרו בספר כרוך;

  ובלבד ששינוי בספרי חשבון של זיהוי החשבון, סכום הפעולה וסימן הפעולה ייעשה על ידי פעולה נוספת.

(ב) במערכת חשבונות ממוחשבת אין לתקן או לשנות תיעוד פנים, אלא באמצעות תיעוד נוסף.

סעיף 25 - נוהלי רישום

(ו) ניתן לשמור מערכת חשבונות או חלק ממנה על גבי אמצעי אחסון ממוחשבים ובלבד שתתאפשר הפקה זמינה של פלט  מודפס של מערכת החשבונות או כל חלק ממנה.

סעיף 36 - נספח ה'

["כללים לניהול מערכת חשבונות ממוחשבת"]

(א) התוכנה לניהול מערכת חשבונות ממוחשבת תענה על דרישות ההוראות לניהול פנקסי חשבונות, כפי שיחולו מזמן לזמן  ותבצע בין היתר:

 (1) הפקה זמינה של פלט חזותי, לרבות הדפסה, של כל רשומות הקובץ הקבוע או חלק מהן, לפי סדר רישומן, תוך   ציון המספר העוקב של כל רשומה;

 (2) ציון שם הנישום על גבי כל פלט חזותי, התקופה שאליה מתייחס הפלט, מהות הפלט, תאריך הפקת הפלט,   מספר סידורי של כל דף וכן סימן סיום הפלט;

 (3) ציון בצורה בולטת של המלה "טיוטה" על גבי פלט חזותי המופק מקובץ זמני;

 (4) הפקת פלט מודפס של תיעוד פנים ... מקובץ קבוע בלבד, בציון המילה "מקור" על גבי עותק אחד בלבד והמלה   "העתק" על גבי העותקים האחרים;

 (5) בדיקת רצף המספרים העוקבים של תיעוד פנים.

הפניות:חשב שכר בכיר

(1) ראה: "הוראת ביצוע מס' 11/96 [שומה], מ-25 בספטמבר 1996, בנידון: "ביקורת מערכות ממוחשבות לצורכי מס".

(2) ראה: "גילוי דעת 66 בדבר הנחיות ליישום תקני ביקורת בסביבה של מערכת מידע ממוחשבת", מאת לשכת רואי חשבון בישראל.

(3) ראה: "הוראות מס הכנסה (ניהול פנקסי חשבונות) (מס' 2), התשל"ג-1973".