כיצד מבקרי פנים יכולים לסייע בהתמודדות עם הקורונה 

למן פרוץ משבר הקורונה נדרשו מבקרים פנימיים, כפי שנשיא לשכת המבקרי הפנימים (IIA) הציע (אלון קוחלני, נגיף הקורונה מזמן מבחן לביקורת הפנימית, News1, 16.3.2020), לפעול, כדלקמן:

• להבין ולהעריך את כלל ההשפעות הסיכונים המיידים אליהם חשוף הארגון עקב COVID-19.
• להעריך את ניהול המשבר ואת ההמשכיות העסקים של הארגון .
• לייעץ להנהלה על ההשלכות הקיימות, זאת אף מעבר לסיכונים המיידים.
• להמשיך במעקב ולעדכן בהתאם את הערכות והמלצות הביקורת להנהלה.

ואכן סקר שנערך ב 27.3.2020 על-ידי חברת היעוץ Gartner  בארה"ב וכלל 900 מבקרים פנימיים ומנהלי סיכונים הראה כי הרוב המכריע של אלה בחר לבחון את השפעת COVID-19 על התפעול ומערך הבקרה, ולשנות בהתאם לכך את תוכניות הביקורת שלהן (פורסם ב www.continuitycentral.com). ומעבר לכך, הסקר גם הראה כי רוב המשיבים טענו כי COVID-19 שינה באופן דרמטי את מפת הסיכונים, וגרם להם לעדכן את הערכותיהם בדבר השפעת הקורונה על הארגון, כגון: מעבר לעבודה מהבית, שינוי בהתנהגות צרכנים, ירידה בהכנסות, פגיעה בשרשרת האספקה, חשיפה לסיכוני צד ג' ועוד. אם כן, רוב מבקרי הפנים ע"פ הסקר, פעלו כדי לאור האמור, כדלקמן:

• עדכנו את הערכת הסיכונים, בדגש על סיכוני צד ג', שרשרת אספקה, סיכוני סייבר והיכולת לעבוד מרחוק.
• סיפקו להנהלה הבכירה משוב הבוחן את אפקטיביות הצעדים שנקט בהם הארגון כדי לצמצם את הסיכונים.
• הגישו להנהלה הבכירה דוחות הבטחה (statement of assurance) כדי להבטיח שהחלטות המתקבלות ביחס לסיכונים עומדות במבחני עלות תועלת.
• סקרו את העדכונים והדיווחים על השינויים במפת הסיכונים בארגון (הנמסרים להנהלה הבכירה), והעלו לאורם תובנות והמלצות לצמצום הסיכונים.

מסגרת מנחה לביקורת

אם כן, משבר הקורונה מחייב מבקרי פנים להתמקד בתכוניות הארגון להמשכיות עסקים (BCP) ובניהול בחירום (CMP). בעניין זה פרסמה הלשכה העולמית עוד ב 8/2014 הנחיה מקצועית בנושא 'ניהול המשכיות עסקית'. הנחיה זו מגדירה, בין היתר, מה תפקידי מבקר הפנים לפני, תוך ואחרי מצב חירום. ע"פ הנחיה, תפקיד המבקר הפנימי בזמן משבר הוא:

• עקוב והערך את תגובת הארגון לאירועים, ותהיה גורם פעיל בצוות ניהול המשבר.
• עקוב אחר האירועים לצורך ביקורת לאחר אירוע החירום.
• על המבקר להיות נוכח בדיוני ועדה לשעת חירום כדי להבטיח שהסיכונים במצב בו הארגון מצוי מובנים, וכדי להמליץ להנהלה על דרכי פעולה חלופיות, כאשר נדרש.
• על המבקר להיות נוכח בתהליכי ניהול משבר/חירום ובתהליכי התאוששות מאסון בארגון.
• יש לקחת בחשבון כי מעורבות הביקורת הפנימית יכולה להיות גבוהה בתחילת מצב החירום, כאשר הסיוע העומד לרשות הארגון מוגבל, וקיים מחסור במשאבים (עקב מחסור במשק).

לאחר שהמשבר הסתיים והמשק חזר לשגרה המבקר הפנימי נדרש:

• להעריך ולדווח על אפקטיביות מאמצי השיקום של הארגון.
• להמשיך להעריך סיכונים, ולהמליץ על דרכי פעולה ולסייע להנהלה (על-ידי מתן משוב) לקבוע דרכים לשיפור הפעילות העסקית/ארגונית.
• לערוך ביקורת כדי להעריך את מאמצי הארגון להתאוששות מאסון.
• לספק דיווח הבטחה (assurance) שיצביע האם הצעדים בהם נקטה ההנהלה כדי להבטיח שתכנית המשכיות עסקית ותוכניות לניהול בחירום הינם אופטימליים ועדכנים.

כלים לביקורת

אם כן אירועי הקורונה הביאו לכך שמבקרי הפנים החלו להתמקד בתוכניות היערכות לחירום (BCP) ובאופן שבו הארגון מנהל את מצב החירום (CMP). אם כן כיצד מבקרי פנים יכולים לבחון את התנהלות של הנהלות שלהם בשעת חירום זו?

 ב 10.4.2020 פורסם בהאוורד ביזניס רוויו (HBR) מאמר המציע מודל להיערכות ארגונים למציאות  שלאחר  הקורונה (2020, Ritter & Pedersen). המודל הנשען על הגדרה של הנרי מינצברג לאסטרטגיהPs’ 5 הקובעת כי ארגונים  צריכים, כדי לקבוע את האסטרטגיה בזמן משבר, לאחר שהמשבר הסתיים ובמצב החדש שנוצר לאחר ההתייצבות, לאמץ את הפרמטרים הבאים:

1P. עמדה (position) (לאן ללכת) - הבנת העמדה של הארגון באשר לסביבה בה הוא פועל, כגון: היכן הארגון נמצא ביחס לשוק בו הוא פועל, מי הם המתחרים העיקריים. איזו פוזיציה ניתן יהיה להשיג בשוק לאחר תום המגיפה. האם לדוגמא ניתן יהיה לפתוח מחדש את התפעול לאחר השבתתו, האם ניתן יהיה להשיב את נתח השוק שאבד בתקופת הקורונה, האם הפגיעה בארגון עקב הקורונה תביא לחדלות פירעון, או שהארגון יוכל למנף את המצב ולהפוך למוביל שוק (market leader).

2P - תכנון (plan ) (מה לעשות) - נדרש לתכנן את הצעדים כדי להבטיח שהארגון מצמצם בפועל סיכונים ומוכן ליום המחרת.

3P - פרספקטיבה (perspective) (מה אנו רואים) - כיוון שהקורונה הנה game changer, ארגונים חייבים לבחון האם האופן שבו הם פועלים בסביבה הנו נאות או שמא הדבר מחייב בשינוי (לדוגמא אי הוודאות ותחושת החירום הבאות לידי ביטוי גם בשינוי העדפות הצרכנים ובמצב השוק). לכן הנהלת הארגון חייבת להתאים את עצמה לתמורות הללו ולהבטיח כי הגישה שלה, הן ביחס לסביבה הפנימית (רתימת עובדים למטרות הארגון) והן ביחס לסביבה החיצונית (ספקים ולקוחות) מתאימה למצב.

4P - פרויקטים (projects) (למה אנו נותנים עדיפות) - איזה פרויקטים חדשים הארגון צריך לקדם על מנת להבטיח כי הוא מצמצם את הסיכונים הנובעים מהקורונה

5P - התכוננות (preparedness)  (כיצד להיות מוכן) - איך הארגון מכין את עצמו ליום המחרת. האם הוא עדכן את תכנית המשכיות העסקית שלו לאירועי הקורונה? האם יש להנהלה וודאות שבכוח הארגון להתאים את עצמו לשינויים שיתרחשו בשוק לאחר שהמשבר יסתיים? לדוגמא האם מדיניות המלאי של הארגון מתאימה לתקופת שלאחר משבר הקורונה? האם הארגון נערך למצב שבו יהיה מחסור בחומרי גלם או שיהיה שינוי בעלויות הכרוכות בייצור? וכו'

כפי שניתן לראות, מודל זה והוראות הנחיה מ 2014 מקנים למבקר הפנים מסגרת כללית להתבוננות על ארגונים בעת משבר, והם מגדרים על בסיס זאת, שוב באופן כללי, את האחריות של מבקרי הפנים, אך אין באלה די כדי להמחיש כיצד עורכים בפועל ביקורת על רכיבי תכנית להתאוששות מאסון?

דוגמאות מעשיות לביקורת

לא ניתן לאור השונות הגבוהה מארגון לארגון להציע רשימה שלמה של תחומים שעל הביקורת הפנימית לבדוק בנושא זה, אך כן ניתן להציע רשימה גנרית של תחומים שכיחים בביקורת תוכנית המשכיות עסקית. ברם, לפני שנעשה כן חשוב להבהיר כי היקף התחומים שהביקורת על הליכי התאוששות מאסון צריכה לכסות, מושפע במידה רבה מגודל הארגון, מהפיזור הגיאוגרפי שלו, וממורכבותו. להלן דוגמאות לתחומים שכיחים בביקורת תוכנית המשכיות עסקית (ראה גם Are You Prepared? Internal Auditor (11.1.2008)):

• בדיקת אופן הכיסוי של תוכנית המשכיות עסקית - אילו פונקציות/מערכות נכללות בתכנית.
• בדיקת התרחישים שעל בסיסם נקבעה התכנית המשכיות עסקית.
• עריכת תרחישי 'מה-עם' (what-if scenarios) על מנת לזהות פגיעותיו ופערים בתוכנית.
• בחינת המלאים והציוד המיועד לחירום (לרבות מחשוב).
• בדיקת תהליכי קבלת החלטות בחירום והתיעוד שלהם.
• בדיקת תהליכי גיבוי ושחזור נתונים.
• בדיקת אספקת חשמל, מים ומוצרים חיוניים אחרים.
• בדיקה האם אמצעי אחסון ותדירות גיבוי נתונים, מקיפים את כל האמצעים, לרבות מכשירים ניידים וכן אמצעי מחשוב המופעלים מרחוק (כגון בבתי העובדים).
• יש לבחון את תקינות מערכות הגיבוי, בכדי לוודא שניתן לשחזר נתונים (עריכת TEST).
• יש לבחון האם הכיסוי ביטוחי של הארגון עונה גם לסיכונים במצב שנותר (לדוגמא: האם הארגון עבר לטכנולוגית ענן באה לידי בביטוח צד ג'?)
• יש לבחון האם התכנית מתייחסת לסיכונים המשפטיים.
• יש לבחון האם התכנית המשכיות עסקית תואמת להוראות רגולציה (ככל שישנן).
• יש לבדוק האם הארגון יכול לעמוד בהתחייבויותיו החוזיות שעה שהוא שרוי במצב חירום, ומהן ההשלכות לכך, והאם הללו נלקחו בחשבון בעת הערכת הסיכונים (כגון יכולת הארגון לעמוד בהסכמים כגון רמת השירות).
• יש לבחון האם האחריות של ספקים לארגון בשעת חירום מוגדרת בבירור בחוזי ההתקשרות (בדגש ל SLA), ומהן ההשלכות לכך על יכולת הארגון לתפקד בעת חירום, והאם דבר זה נלקח בחשבון בתכנית.
• האם הארגון התאים את שיטת העבודה ותנאי העבודה כדי להבטיח מניעת הדבקה במקום העבודה? כגון: יצירת סביבת עבודה בטוחה (שמירה על מרחק בין עובד לעובד), פרסום הוראות בטיחות מתאימות, סופק ציוד בטיחות מתאים (מסכות, אלכוג'ל וכו').
• האם הארגון בחן את יכולתו לעמוד בשעת חירום בהתחייבויותיו החוזיות ללקוחותיו/צרכנים שלו (לדוגמא מה קורה כאשר מצב החירום לא מאפשר סיכול חוזה)? והאם הוא נקט בצעדים כלשהן כדי לצמצם את הסיכונים המשפטים וסיכוני מוניטין?
• יש לבחון את סיכוני ה IT/סייבר, במסגרתם לבחון האם הארגון התאים את מדיניות ה IT של הארגון למצב הקיים? בדיקת הרשאות גישה למערכת וכו'. יש לזכור כי מעבר לעבודה מרחוק בפרק זמן קצר (ללא תכנית/בחינה) יכול ליצור חשיפה לסיכונים.

כיצד מבקרים יכולים לעבוד מרחוק

מעבר לכל אלא, הגבלת פעילות בחקיקה (העסקה חלקית של עובדים, איסור התניידות וכו') יצרה מציאות בה הביקורת הפנימית לא יכולה להתבצע במתוכנת הרגילה (עובדים מהבית, השבתה של אתרי עבודה וכו'). על מנת להקל בהתמודדות עם אתגרים אלה פרסמה באפריל 2020 לשכת המבקרים הפנימיים העולמית (IIA) הנחיה "ביקורת מרחוק עבור COVID-19 ומעבר לכך". הנחיה מציעה דרכים כיצד לערוך ביקורת כאשר לא ניתן לעבוד פנים מול פנים ואף לא ניתן 'לרדת שטח'.

סוף דבר

ללא ספק COVID-19 הנו שעת אתגר למבקרי פנים, הקוראת  להם להתמקד על כשלים שיכולים לקרות בבקרה, כאשר האופרציה מבוצעת מרחוק או ממקומות חלופיים ואף מבתים פרטיים של העובדים. המפתח הוא לחזק את הבקרות כדי לצמצם את הסיכוי לשגיאה/טעות ואף מהונאה. חיוני שהביקורת תבטיח כי החריגה מהכללים, לאור שעת החירום, תעשה רק מקום שהדבר נדרש על מנת שהארגון יוכל להגיב וכן להתאושש בפרק הזמן הקצר ביותר האפשרי. אשר על כן, הביקורת הפנימית צריכה לסייע להנהלה להבין מהן הסיכונים אליהם הארגון חשוף, מהן ההשלכות עקב כך על הארגון, על התלות של הארגון בצדדים עמם הוא קשור (צד ג', כגון ספקים ויועצים שהארגון שוכר), וכן במתן משוב על תכוניות לשעת חירום לרבות המשכיות העסקית וישומן. גם בישראל, בכוחם של מבקרי הפנים להוסיף ערך ולסייע במוכנות להתמודדות עם הקורונה, ויש לקוות כי אלה המופקדים על ניהול גופי ציבור במדינה ישכילו בעת הזו, בה המשק כולו מצוי באי וודאות, לעשות שימוש בכלי זה.