"בעיריית חיפה אין מנגנון התאוששות מאסון סייבר ולא קיימת כל תוכנית בנושא • דו"ח מבקר המדינה

בחודשים אפריל 2021 עד ינואר 2022 בדק משרד מבקר המדינה את הפעולות למניעת מעילות והונאות ב-21 הרשויות המקומיות שמנהלות את התקציבים הגדולים ביותר, ביניהן חיפה. כמו כן נבדקו פעולות משרד הפנים לאסדרת הנושא.

תמונת המצב העולה מהביקורת מראה כי בתחום פעולות המאסדר, לא קבע משרד הפנים הנחיות לנקיטת פעולות כלל-ארגוניות למניעת מעילות והונאות. כמו כן, הביקורות שמתבצעות ע"י משרד הפנים ברשויות המקומיות אינן עוסקות במישרין בהיבטים אלו. 21 הרשויות שנבדקו התבקשו למסור דיווח למשרד מבקר המדינה על מעילות והונאות שהתרחשו אצלן ושנחשפו בתקופה שבין ינואר 2015 למאי 2021.

אין הפקת לקחים

עוד נמצא כי הרשויות המקומיות בישראל אינן מונחות לדווח למשרד הפנים על מקרי מעילה או הונאה שהתגלו ואין למשרד הפנים נוהל פנימי לטיפול בדיווחים, ככל שמועברים אליו כאלו.
עוד נמצא כי ככלל, משרד הפנים אינו מבצע הליך להפקת לקחים ממקרים של מעילה או הונאה אשר התרחשו ברשויות המקומיות ונודעו לו, ואינו מפרסם מידע מרוכז לכלל הרשויות המקומיות על לקחים שהופקו מאותם מקרי מעילה והונאה ואת הפעולות שיש לנקוט.

אין נוהל ארגוני למניעת מעילות והונאות

ל-21 הרשויות המקומיות שנבדקו אין נוהל ייעודי לעיגון מדיניות בנושא מניעת מעילות והונאות, המאגד בתוכו את הפעולות הנדרשות למניעת מעילות והונאות, מנגנוני דיווח ודרכי הטיפול במעילות שהתגלו. בנוסף, ל-21 הרשויות המקומיות שנבדקו אין תוכנית הדרכה כלל-ארגונית וייעודית בנושא מניעת מעילות והונאות ואין אמצעי לדיווח אנונימי (קו חם) להנהלה על חשדות למעילות והונאות.

בעלי תפקידים בזיקה לכספים

בנושא רוטציה בין בעלי תפקידים ובדיקות פתע, עולה כי 20 רשויות מ-21 הרשויות שנבדקו, ביניהן חיפה, אינן מיישמות רוטציה בין עובדים בתפקידים שיש להם זיקה לנושאים כספיים או לניהול משאבי הרשות, בשל קשיים ארגוניים ומגבלות.

בנושא מניעת מעילות והונאות הקשורות בתשלומים לספקים – נמצא כי אין הנחיות של משרד הפנים לניהול תהליך התשלום לספקים ולבקרות הנדרשות למניעה של מעילות והונאות. וכי נמצא כי הרשויות המקומיות שנבדקו לעומק ביניהם חיפה פועלות באמצעים שונים כדי לצמצם את הסיכונים בנושא, אך יש פעולות ובקרות מונעות, מתריעות ומאתרות, שמומלץ ליישם, למשל יישום רוטציות בין בעלי תפקידים, בקרות על מהימנות הזנת הנתונים בפתיחת כרטיס ספק ובעדכונו, הוספת בקרות ממוחשבות על הנתונים של ספקים למניעת כפילות או התקשרויות לא תקינות ויצירת ממשק בין המערכות הכספיות והלוגיסטיות.

מניעת מעילות והונאות הקשורות בניהול ההון האנושי – ככלל ארבע הרשויות שנבדקו לעומק ביניהן חיפה, מיישמות בקרות המאפשרות לצמצם סיכוני מעילות והונאות בניהול ההון האנושי. עם זאת, יש פעולות ובקרות חסרות.

הבקרה מבוצעת ע"י עובדי מחלקת השכר

מניעת מעילות והונאות הקשורות בתשלומי שכר – ברשויות שנבדקו לעומק, בהן חיפה, נמצא כי ככלל, הן מיישמות בקרות המאפשרות למנוע סיכוני מעילות והונאות בתשלומי שכר לעובדים. יחד עם זאת בעיריית חיפה אין מחלקת בקרת שכר נפרדת, והבקרה מבוצעת על ידי עובדים במחלקת השכר. בעיריית חיפה חשבי שכר יכולים גם להזין זכאויות לעצמם ולקרובי משפחתם העובדים בעירייה. כמו כן, לא מבוצעות בקרות לאיתור שינויים לא תקינים שנעשו בקובצי-האב של נתוני העובדים המופקים במחלקת משאבי אנוש.

מניעת מעילות והונאות הקשורות בחיוב ארנונה ובגבייתה – ככלל, הרשויות שנבדקו לעומק מיישמות בקרות המאפשרות למנוע סיכוני מעילות והונאות בנושאי ארנונה. כך למשל, כולן דיווחו כי הן בוחנות מדי תקופה את ההתאמה בין קודי הסיווג המופיעים במערכות המחשוב ובין הקבוע בצו הארנונה שלהן ומחייבות כי שני בעלי תפקידים שונים לפחות יהיו מעורבים בשינוי סיווג הנכס, מחיקת חובות או השבת כספים שנגבו ביתר. עם זאת, במקצת התהליכים הבקרות אינן מספקות: עיריית חיפה, אינה מבצעות בקרות אנליטיות על מספר השינויים שנעשו בנכסים בעיר כדי לאתר פעולות חריגות וחשדות למעילות.

מניעת מעילות והונאות בניהול המצאי העירוני – עיריית חיפה אינה יכולה לשייך במערכות המחשוב הייעודיות את פריטי המצאי לעובדים שקיבלו אותם. הדבר חשוב במיוחד בתקופת מגפת הקורונה שכן לחלק ניכר מהעובדים הושאלו מחשבים ניידים משום שהם עברו לעבוד מרחוק. כמו כן נמצא כי עיריית חיפה אינה מיישמות בקרות אנליטיות על אובדנים של מצאי.

עיקרי המלצות הביקורת

פעולות המאסדר – מומלץ למשרד הפנים לבחון את הסוגיות המערכתיות והארגוניות הנוגעות למניעת מעילות והונאות ברשויות המקומיות, בהתאם להתפתחות הידע בנושא ובתוך כך לקבוע הנחיות בדבר מאפייני סביבת בקרה, הערכת סיכונים, פעולות בקרה, מידע ותקשורת בתוך הארגון ופעולות ניטור וכן להנחות את רואי החשבון מטעמו לערוך ביקורות בנושא זה בתדירות שתקבע על ידו. במסגרת הבחינה מומלץ להתייחס לידע ולעקרונות שהתפתחו בתחום ולניסיון הבין-לאומי.

ביצוע סקר סיכונים על ידי מבקרי הרשויות והנהלות הרשויות – על מבקרי הרשויות המקומיות של הרשויות המקומיות ביניהם חיפה, שטרם ערכו סקר סיכונים – לעשות כן, כנדרש בחוזר מנכ"ל משרד הפנים. כמו כן, מומלץ לעדכן סקרים שנערכו לפני למעלה מחמש משנים. מומלץ למשרד הפנים לקבוע לרשויות המקומיות הנחיות בדבר עדכון הסקרים. בנוסף, מומלץ גם להנהלות של הרשויות המקומיות לערוך סקרי סיכונים ולגזור מהם תוכניות עבודה רב-שנתיות לצמצום הסיכונים אשר עולים מהם.

היערכות כלל-ארגונית למניעת מעילות והונאות – מומלץ ל-21 הרשויות המקומיות שנבדקו לפעול לביצוע פעולות כלל-ארגוניות למניעת מעילות והונאות וכך לצמצם את הסיכונים בתחום זה. בין הפעולות הנדרשות: מינוי גורם אחראי לנושא, כתיבת נוהל ייעודי לעיגון מדיניות בנושא, גיבוש תוכנית הדרכה כלל-ארגונית וייעודית בנושא, הפעלת אמצעי לדיווח אנונימי (קו חם) להנהלת הרשות על חשדות למעילות והונאות ויידוע העובדים על כך, יישום, ככל הניתן, של מנגנוני רוטציה בתפקידים שליבת עיסוקם היא ניהול כספים, משאבים ונכסים של הרשות המקומית וביצוע ביקורות פתע בנושאים מהותיים.

מניעת מעילות והונאות הקשורות בתשלומים לספקים – מומלץ כי משרד הפנים יפרסם הנחיות בנושא תהליך התשלום לספקים והבקרות הנדרשות למניעה של מעילות והונאות. עוד מומלץ כי משרד הפנים יכלול בביקורות שהוא עושה ברשויות המקומיות היבטים נוספים מלבד אי עריכת התאמת חשבונות עם בנקים, חברות כרטיסי אשראי וספקים עיקריים.

מומלץ כי עיריית חיפה תמפה את כלל הבקרות שמתבצעות בתחום התשלום לספקים ותפעל לתיקון הליקויים שנמצאו בביקורת, כמו למשל דרישה לבקרה של שני בעלי תפקידים על הזנת נתונים בפתיחת כרטיס ספק, הוספת בקרות ממוחשבות על נתוני הספקים לאיתור כפילויות ולמניעה של התקשרויות לא תקינות ויצירת ממשק בין המערכות הכספיות והלוגיסטיות.

מניעת מעילות והונאות הקשורות בניהול ההון האנושי – מומלץ כי הרשויות המקומיות שנבדקו לעומק, בהן חיפה, יגבשו נהלים פנימיים או הנחיות בנוגע לבקרות החסרות בתהליכי ליבה וישמרו על עקרון הפרדת התפקידים באמצעות צמצום ההרשאות הגורפות של עובדים; כמו כן מומלץ להנהיג חובת יציאה לחופשה רציפה לעובדים בתפקידים רגישים ולשפר את הבקרות על תהליך פתיחת כרטיס עובד.

מניעת מעילות והונאות הקשורות תשלומי שכר – מומלץ כי עיריית חיפה תפעל לשמירה על עקרון הפרדת התפקידים, כך שחשבי שכר לא יוכלו להזין זכאויות שכר לעמיתיהם בחשבות או לשנות פרטים לעובדים שהעסקתם ברשות הסתיימה. לעיריית חיפה אף מומלץ כי חשבים לא יוכלו להזין זכאויות לעצמם ולקרובי משפחתם העובדים ברשות. עוד מומלץ כי הרשויות יישמו בקרות לאיתור שינויים לא תקינים שנעשו בקובצי-האב המופקים במחלקת משאבי אנוש.

מניעת מעילות והונאות הקשורות בחיובי ארנונה ובגבייתה – מומלץ כי עירית חיפה תיישם בקרות אנליטיות על מספר השינויים שנעשו בנכסים.

מניעת מעילות והונאות בניהול המצאי העירוני – מומלץ לעיריית חיפה לשייך במערכות המחשוב את פריטי המצאי לעובדים שקיבלו אותם. כמו כן, מומלץ לעיריית חיפה ליישם בקרות אנליטיות על אובדנים של מצאי.

בדו"ח מוסבר כי סיכון מעילות והונאות הוא סיכון מובנה בפעילותו של כל ארגון. בעשורים האחרונים התפתח בעולם הידע המקצועי בנושא מניעת מעילות והונאות, התגבשו עקרונות לאסדרתו וקווים מנחים לשיפור סביבת הבקרה וניהול הסיכונים. ואולם, בביקורת נמצאו ליקויים באסדרה של משרד הפנים. הדבר בא לידי ביטוי בהיעדר הנחיות פעולה במכלול ההיבטים הנוגעים למניעת מעילות והונאות בנוגע לרמה הכלל-ארגונית ובנוגע לסביבת הבקרה, בחוסר בדיווח והפקות לקחים ובמיעוט של ביקורות הממוקדות בתחום זה.

הביקורת ב-21 הרשויות הגדולות ביותר מבחינת היקף התקציבים שהן מנהלות, העלתה כי לא מיושמות אצלן פעולות כלל-ארגוניות רבות שהתקנים הבין-לאומיים והספרות המקצועית מצאו אפקטיביות לצמצום הנזק ממעילות והונאות ולחשיפתן המהירה. בביקורת בארבע העיריות שנבדקו לעומק נמצאו ליקויים כמו מיעוט ביקורות של משרד הפנים ושל מבקרי הרשויות בנוגע למניעת מעילות והונאות. כמו כן נמצא כי ככלל, העיריות שנבדקו לעומק מיישמות בקרות מונעות ומאתרות בתחומים שנבדקו, אולם יש תהליכי עבודה פרטניים שנדרש לשפרם, להוסיף בקרות פרטניות ולהדק כמה מהבקרות.

לשמור על כספי הציבור

כנאמנות של הציבור, הרשויות המקומיות מחויבות לנהל את ענייניהן הכספיים ואת נכסיהן בזהירות ולפעול לשמור על שלמות הנכסים ועל כספי הציבור. על משרד הפנים לפעול לאסדרה כוללת של הנושא ועל הרשויות המקומיות לגבש מדיניות בנושא וליישם פעולות ובקרות למניעת מעילות והונאות ולשמירה על כספי הציבור.

עיריית חיפה גיבשה תוכניות אסטרטגיות בנושא מערכות המידע אך לא תקצבה אותן והן לא יושמו

בחודשים יולי-נובמבר 2021 בדק משרד מבקר המדינה את נושא ניהול מערכות המידע ברשויות המקומיות. הבדיקה נעשתה בשמונה רשויות מקומיות שנבחרו, תוך מתן ביטוי למחוזות המינהליים שבהם שוכנות הרשויות, למעמדן המוניציפלי ולמדד החברתי-כלכלי שאליו הן משויכות, למדד הפריפריאליות שאליו הן משויכות, למגזר שאליו רוב תושביהן משתייכים ולמספר התושבים המתגוררים בתחום שיפוטן.

בנושא תוכניות עבודה בנושא מערכות מידע – עולה כי עיריית חיפה אשר גיבשה תוכניות אסטרטגיות בנושא מערכות המידע, לא תקצבה אותן ומשכך התוכניות לא יושמו.

תוכנית להתאוששות מאסון בהתרחש אירוע סייבר – בנושא קיום תוכנית להתאוששות מאסון נמצא כי אין בעיריית חיפה מנגנון מוסדר להמשכיות של פעילות המחשוב ברשות בהתרחש אירוע סייבר ולא הוכנו כלל תוכניות להתאוששות מאסון.

נוכח החשיבות של הכנת תוכנית להתאוששות מאסון, משרד מבקר המדינה ממליץ לכלל הרשויות המקומיות, ובהן הרשויות שנבדקו בהן עיריית חיפה, כאמור, לפעול להכנת תוכנית להתאוששות מאסון המתאימה לצורכי הרשות, בהתאם להנחיות מערך הסייבר.