רשות מקרקעי ישראל/ניהול מערכות המידע - מינהל מקרקעי ישראל

 ♦ . .מבוא .על פי חוק יסוד: מקרקעי ישראל, חוק מקרקעי ישראל, התש"ך-1960 (להלן- חוק מקרקעי ישראל), חוק מינהל מקרקעי ישראל, הת ש"ך-1960 , שתוקן באוגוסט 2009 לחוק רשות מקרקעי ישראל (להלן - חוק רשות מקרקעי ישראל), והאמנה שבין מדינת ישראל לקרן קיימת לישראל, התשכ"ב-1961 , מופקד מינהל מקרקעי ישראל (להלן - המינהל) על ניהול מקרקעי ישראל השייכים למדינה, לרשות הפיתוח ולקרן הקיימת לישראל - שהם כ-93% מהקרקעות שבשטח מדינת ישראל (כ-22 )מיליון דונם. לפי חוק רשות מקרקעי ישראל, מועצת מקרקעי ישראל קובעת את המדיניות הקרקעית שלפיה ינוהלו מקרקעי ישראל, מפקחת על פעולתו של המינהל ומאשרת את תקציבו. לפי חוק רשות מקרקעי ישראל, האחריות למועצת מקרקעי ישראל ולביצוע חוק מקרקעי ישראל היא של שר הבינוי והשיכון. במהלך השנים עברה, לפי החלטות ממשלה, האחריות להם ממשרד ממשלתי אחד לאחר. ביוני 1996 התקבלה החלטת ממשלה למנות את שר התשתיות הלאומיות דאז, אריאל שרון, ליו"ר מועצת מקרקעי ישראל ולשר הממונה על ביצוע חוק מקרקעי ישראל. בספטמבר 2002 הוחלט למנות את ראש הממשלה דאז, אריאל שרון, ליו"ר מועצת מקרקעי ישראל ולשר הממונה על ביצוע חוק מקרקעי ישראל. במרס 2003 הוחלט למנות את שר התעשייה והמסחר דאז, אהוד אולמרט, ליו"ר מועצת מקרקעי ישראל ולשר הממונה על ביצוע חוק מקרקעי ישראל. ביולי 2007 הוחלט למנות את שר הבינוי והשיכון דאז, מר זאב בוים, ליו"ר מועצת מקרקעי ישראל ולשר הממונה על ביצוע חוק מקרקעי ישראל. בראש המועצה במועד הביקורת עמד שר הבינוי והשיכון, מר אריאל אטיאס, המכהן בתפקידו ממרס 2009 . מנהל המינהל הוא מר ירון ביבי שמכהן בתפקידו מאוגוסט 2008 . קדם לו מר יעקב אפרתי שהיה מנהל המינהל מאוקטובר 2001. בתיקון לחוק רשות מקרקעי ישראל נקבע שהמינהל יהפוך לרשות מקרקעי ישראל (להלן - הרשות), אשר תבוא במקום המינהל. על פי חוק רשות מקרקעי ישראל, מועד הקמת הרשות נקבע ל-1.1.10 , ואולם נקבע בחוק כי "רשות מקרקעי ישראל לא תחל לפעול אלא לאחר שנחתם הסכם קיבוצי המסדיר את זכויותיהם של עובדי משרד הבינוי והשיכון 713 .מינהל מקרקעי ישראל". עד מועד סיום הביקורת טרם נחתם הסכם קיבוצי עם העובדים, והרשות עדיין לא הוקמה ולא החלה לפעול. אלה תחומי הפעילות המרכזיים של המינהל: ניהול מלאי המקרקעין, יצירת עתודות לקרקע בבעלות ציבורית למטרות לאומיות , שיווק קרקעות והקצאתן לייעודים שונים, טיפול בחוכרים ובמשתכנים ופיקוח על שימושי הקרקע. במינהל 12 אגפי מטה ושבעה מחוזות בכל חלקי הארץ האחראים 714 דוח שנתי61ב .למימוש מדיניות המינהל; האגפים ויחידות המטה מכוונים ומדריכים את פעולת המחוזות. במינהל כ-780 עובדים וכ-100 .עובדים חיצוניים פעולות הניהול כרוכות בטיפול בעסקות עתירות כספים, ויש להן השפעה מכרעת על קביעת שווי המקרקעין המוחכר; על גביית דמי חכירה, דמי היוון ודמי היתר; על חתימה על הסכמים, על קיום מכרזים, על רישום ועל גבייה של חובות, על מתן הנחות לפי הנחיות מועצת מקרקעי ישראל ועוד. במינהל מבוצעות בין 8,000 ל- 8,500 .עסקות בשנה אגף מידע, שליטה, בקרה ואו"ש (ארגון ושיטות; להלן - אגף מידע) מספק שירותים ליחידות המקצועיות והארגוניות של המינהל. המערכות הממוחשבות של המינהל אמורות להבטיח טיפול יעיל, סדור, אחיד, מקצועי ומתועד כהלכה ולתרום לקיצור משך הטיפול בפניות אליו ובקבלת השירותים. כמו כן הן אמורות לשמש כלי לקיום פעולות הבקרה. כיוון שתהליך הניהול במינהל כרוך בחישובים רבים ומורכבים, תרומתן של המערכות הממוחשבות חשובה לא רק לקיצור התהליכים, אלא גם להגברת אמינות הפעולות ולבקרה שוטפת על תהליכים והחלטות. המערכות הממוחשבות הן גם כלי להפקת נתונים ולהצגתם בחתכים שונים, לפי צרכים משתנים. באגף מידע יש 94 עובדים- 26 עובדי תקן ו-68 עובדים חיצוניים. כמו כן עובדים באגף מידע כ-14 מפעילים שהם עובדי חברהפרטית אשר נותנת למינהל שירותי הפעלה. האגף כפוף למנהל המינהל. אלה מערכות המידע במינהל: מערכות לניהול מקרקעין; מערכות מינהליות; מערכת מידע גאוגרפית (ממ״ג) המאפשרת ניהול מידע גאוגרפי, אחזורו וניתוחו והפקת תרשימי עסקות; מערכת "הדמיה" המכילה כ-1.2 מיליון תיקיםסרוקים ומערכת לניהול תוכן. בשנים 1996 ,1997 ו-1998 עשה משרד מבקר המדינה ביקורות במינהל במגוון נושאים הקשורים למערכות המידע שלו ומצא ליקויים רבים7 . אלהמערכות המינהל לניהול המקרקעין: 1. מערכת עסקות, כספים, ארכיב (להלן - עכ"א) - מערכת ש מטפלת בכ- 1,370,000 נכסים ומחולקת לארבע תת-מערכות: עסקות, כספים, ארכיב וחוכרים (או משתכנים). 2. מערכת שמאות (משולבת ממ״ג) - מערכת לרישום ולניהול של בקשות לשומה הכוללת את הערכותיהם של השמאים הפרטיים והממשלתיים. 3. מערכת חוזים - מערכת לעריכת חוזים בהתאם לנתוני תיק הנכס. .__________________ .7 1 . הנהלת המינהל לא הכינה תכנית-אב למחשוב משנת 1993 ואף לא מינתה ועדת היגוי למחשוב - מבקר המדינה, דוח שנתי 46 (1996 '), עמ194 .ואילך2 . במינהל לא היו הוראות בכתב המנחות את הממונים המתאימים לבדוק את הפעולות הנרשמות במערכת "בקרת פעילויות", וממילא לא נבדקו; לא מונה אחראי לאבטחת המידע במאגרי המידע שבבעלותו; המינהל לא קבע נוהלי אבטחת מידע נאותים כנדרש; ניהול הרשאות הגישה של המשתמשים למערכות הממוחשבות היה לקוי - מבקר המדינה, דוח שנתי 48 (1998 '), עמ738 .ואילך 3 . בשנים 1994 -1996 עלו במינהל חששות רבים לפגיעה בטוהר המידות: חשש לזיופי מסמכים ולקבלת טובות הנאה; חשש לקבלת שוחד ודיווחים כוזבים; מתן אישורים שלא כדין; שינוי נתונים במערכת המידע; מסירת מידע פנים לגורמים שמחוץ למינהל; ליקויים בהרשאות גישה למערכת הממוחשבת וחשש לשינויים יד ניים בנתונים הרשומים בה; חשש לשינויים בנתוני המערכת הממוחשבת ללא אישור מתועד של דרג נוסף וללא בקרה נאותה - מבקר המדינה, דוח שנתי 49 (1999 '), עמ443 .ואילך משרד הבינוי והשיכון 715 .4. מערכת הוצאות פיתוח (משולבת ממ״ג) - מערכת לרישום ולניהול של הוצאות הפיתוח בקרקע. 5. מערכת פינויים - מערכת לרישום, לחישוב ולניהול של פינויים מקרקעות. 716 דוח שנתי61ב .6. מערכת ספר הנכסים - מערכת המטפלת במצאי המקרקעין שבניהול המינהל וברישום בעלויות על הקרקע, בהתחייבויות ובמעקב אחר רישום בטאבו. 7. )מערכת תכנון (תכניות ומגרשים- מטפלת במצאי התכניות המפורטות. 8. מערכת פיקוח- מטפלת בשמירה על הקרקע ובאירועי פיקוח. 9. מערכת משפטית- מטפלת בתיקים שהוגשו לתביעות משפטיות. חלק גדול מהמערכות לניהול המקרקעין הקיימות במינהל פותחו לפני כ-30 .שנה המערכות הן: כספים, חוכרים, פינויים, תכנון, ספר הנכסים והמערכת המשפטית. בסיס הנתונים שלהן הוא רשתי ומיושן; מערכות המידע כתובות בשפת COBOL והתממשקותן8 למערכות חדשניות כמו מערכת ניהול תוכן וממ״ג מורכבת; קיים קושי בהפקת מידע ניהולי מהן; חסרות בהן פעולות בקרה מובנות ויש קשיים בגיוס כוח אדם המיומן בשימוש בטכנולוגיה המיושנת. בפברואר 2006 החליט חשב המינהל שכל מערכות המידע האמורות ומערכות אחרות יפותחו במסגרת פרויקט "מרכב"ה"9 , מאחר שלדבריו ניהול מקרקעין כרוך בפעולות כספיות רבות ומהותיות, ואת אלה יש לבצע רק במערכת כספית, אך הדבר לא יצא לפועל (בעניין זה ראה להלן). במועד סיום הביקורת, אוגוסט 2010 , היה המינהל בתחילת שלב האפיון 10 מחדש של מערכות המידע האלה, פרט למערכת כספים. את האפיון עושה חברה חיצונית שזכתה במכרז. על פי הערכת מנהלת אגף מידע, האפיון לא יסתיים לפני אמצע 2011 , ואז יידרשו כשלוש שנים נוספות לסיום פיתוח המערכות, בדיקתן והפעלתן. בין מרס לאוגוסט 2010 עשה משרד מבקר המדינה ביקורת על מערכות המידע במינהל מקרקעי ישראל. נבדקו בעיקר הכנת תכנית-אב ותכניות עבודה; מערכת עכ"א (עסקות, כספים, וארכיב); אבטחת המידע והשימוש במערכת הממוחשבת לגביית חובות. הביקורת נעשתה בעיקר באגף המידע ובאגף הכספים של המינהל. .הכנת תכנית-אב ותכניות עבודה .1. החלטת ממשלה11 בנושא "הקמת מערכות ממוחשבות" משנת1997 קובעת שהמנהל הכללי בכל משרד ממשלתי יקים "ועדת היגוי לכל פעולות המחשוב" (להלן - הוועדה), שתפקידיה יהיו אלה: הנחיית פעילות המחשוב והתקשורת; גיבוש סדרי תכנון, בקרה ופיקוח על פיתוח ועל רכש של מערכות מידע במשרד; גיבוש לוחות זמנים ותקציבים; קביעת תפישות מחשוביות לעבודת המשרד וסדרי קדימויות; קביעת מדיניות אבטחת מידע. בראש הוועדה יעמוד המנהל הכללי של המשרד או הסמנכ"ל למינהל, וחבריה יהיו מנהל מערכות מידע במשרד, קצין הביטחון, היועץ המשפטי, חשב המשרד, המבקר הפנימי ועוד. .__________________ .8 התממשקות( Interfacing) - המונח המקובל לקשר ולחיבור בין מערכות ממוחשבות ולעבודה משותפת שלהן. .9 "מרכב"ה" - "מערכת רוחבית כוללת במשרדי הממשלה", הוא פרויקט שיזם אגף החשכ"ל בשנת 2000 להקמה ולהטמעה של מערכת מחשוב אחידה במשרדי הממשלה, לניהול המשאבים בתחומים האלה: כספים, כוח אדם, רכש (לוגיסטיקה) ונכסים ולפעולות נוספות כגון פניות לקבלת תמיכות והקצאתן. .10 אפיון הוא שלב במחזור החייםשל מערכת מידע ש בו מוגדרות דרישות המערכת, מהותה ותכניה, בפרט מנקודת ראות המשתמש. .11 /החלטה מס' בק9 מ- 20.3.97 ."בנושא "ועדות היגוי למחשוב משרד הבינוי והשיכון 717 .לפי נוהל מפת"ח12 , ועדתההיגוי קובעת את מדיניות המשרד בנושאי ענ"א בכפוף למדיניות כלל-ממשלתית. הוועדה מ אשרת את תכנית העבודה השנתית לענ"א במשרד ועוקבת אחר ביצועה. בראש הוועדה יעמוד עובד בכיר, לפחות סמנכ"ל, והרכבה ייקבע על ידי מנכ"ל המשרד. בהחלטת הנהלת המינהל מס' 776 מאוגוסט1997 נקבע כי ההנהלה המצומצמת של המינהל בראשות מנהל המינהל תהיה ועדת היגוי לנושאי מערכות המידע והמחשוב במינהל, ואליה יובאו הנושאים לדיון. מאז 2005 לא דנה ההנהלה המצומצמת של המינהל בנושאים מרכזיים המפורטים בהחלטת הממשלה, ובכלל זה אישור תכנית העבודה השנתית של אג ף מידע ותקציבו; מעקב אחר ביצועה; קביעת מדיניות אבטחת המידע; סיווג ומיפוי של "המידע הרגיש"; אישור תכנית אבטחת המידע, תקצובה ו מעקב אחר יישו מה. מ - 2005 לא קבעה אפוא הנהלת המינהל מדיניות בנושא מחשוב ולא עקבה אחר עבודת אגף מידע באופן יסודי. לפיכך חסר המינהל את ה תשתית הדרושה לניהול מערך המחשוב בהתאם להחלטת הממשלה. 2. החלטת הממשלה משנת1997 קבעה כי החשב הכללי במשרד האוצר (להלן - החשכ"ל) יעגן את עקרונות ההחלטה בעניין ועדת היגוי למחשוב בתכ"ם ובנוהל מפת"ח; העקרונות אכן עוגנו בהוראת תכ"ם - שלא חודשה באוגוסט 2008, כאשר פורסם תכ"ם חדש. עם זאת, בהוראת תכ"ם מ-200813 נקבע ש"בכל מקרה" שאין בתכ"ם החדש הוראות רלוונטיות "לנושא מסוים" ניתן להסתייע ב"תכ"ם הישן ולהשתמש בו". מבירור שעשה משרד מבקר המדינה באגף החשכ"ל באפריל 2010 עולה כיההוראה טרם פורסמה בתכ"ם החדש, משום שלדברי מרכז הוועדה המרכזית לענייני תקשוב במשרד האוצר, עבודת המטה בעניין טרם הסתיימה. לדעת משרד מבקר המדינה, נוכח הזמן הרב שחלף מאז ביטול ההוראה הקודמת יש צורך בפרסום דחוף של הוראה כוללת ועדכנית בידי המופקדים על כך בחשכ"ל. בתשובתו מנובמבר 2010 הודיע אגף החשכ "ל, כי בי ולי 2010 מינה מר טל הרמתי, סגן בכיר לחשב הכללי, ועדת משנה לוועדה המרכזית בנושא מבנה ועדת התקשוב המשרדית, ועם השלמת עבודתה ייבחנו המלצותיה ויפורסמו הוראות תכ"ם חדשות ומעודכנות. 3. ,על פי נוהל מפת"חתכנון אסטרטגי של המידע בארגון (או בשמו האחר, תכנית-אב למחשו ב) היא פעילות תכנון מרכזית בו, והיא מתקיימת אחת לתקופה מסוימת - כל שלוש עד חמש שנים, ומיועדת להציג לארגון תמונה מקיפה על המחשוב הנחוץ לו לטווח ארוך. תכנית-אב היא למעשה תכנית עבודה רב -שנתית ולפיה מכינים את תכניות העבודה השנתיות. התוצר הראשי של ה כולל אוסף .__________________ .12 )נוהל מפת"ח (נוהל מסגרת לפיתוח ולתחזוקה- נוהל מסגרת שקבע החשכ"ל לפיתוח ולתחזוקה של מערכות ממוחשבות במשרדי הממשלה. הוא מפרט את השלבים בחיי המערכת הממוחשבת ואת התוצרים הנדרשים בכל אחד מהם. הוא הנוהל המחייב במשרדי הממשלה, על פי החלטת ועדת השרים לכלכלה מאוקטובר 1991 , שקיבלה תוקף של החלטת ממשלה, ועל פי הוראות תכ"ם. .13 'הוראת תכ"ם מס0.0.0.1 מיום 1.8.08. 718 דוח שנתי61ב .מסמכי ייזום של כל המערכות המתוכננות במהלך התקופה שעליה חלה התכנית. תכנית-האב אמורה לפרט את מערכות המידע ומערכות התשתית הדרושות לארגון ואת המשאבים - כוח אדם, זמן ותקציב - הדרושים להקמתן ולתפעולן השוטף. בהכנת התכנית מעורבת ההנהלה הבכירה המגדירה את יעדיה ומאשרת אותה. הביקורת העלתה כי בשנת 1999 הכין אגף מידע תכנית-אב למחשוב שכותרתה "תכנית אסטרטגית למערכות המידע לקראת 2005 "; ההנהלה הייתה אמורה לאשרה, אך לא נמצא שהיא נדונה משרד הבינוי והשיכון 719 .ואושרה. מאז לא הכין המינהל תכנית-אב למחשוב . התברר כי בפועל עבד המינהל באופן חלקי על פי התכנית האמורה. משרד מבקר המדינה העיר למינהל כי הנהלת המינהל מחויבת לדון ולאשר תכנית-אב טרם התחלת יישומה. לדעת משרד מבקר המדינה על הנהלת המינהל להכין, כמתחייב מנוהל מפת"ח, תכנית -אב למחשוב שבה יפורטו, בין השאר, מערכות המידע ומערכות התשתית הדרושות לארגון בחמש ה שנים שלאחר תכנונה, והמשאבים הדרושים להקמתן ולתפעולן השוטף . הכנת התכנית תבטיח הליך תכנוני מפורט שיקיף את כל מערך המחשוב במינהל. 4. נוהל מפת"ח קובע כיתכנית עבודה שנתית היא המכשיר המרכזי לתכנון ולניהול של פעילות יחידת המחשוב (מערכות המידע), לבקרה עליה ולבניית תקציבה. במשרדי הממשלה תכנית העבודה השנתית מוגשת לאגף התקציבים במשרד האוצר בשני מועדים: בחודש יולי ובחודש ינואר, עם תחילת שנת התקציב שבה תבוצע העבודה . הוראת התכ"ם שלא חודשה באוגוסט 2008 ,ועדיין משמשת כלי ניהולי ומקצועי קבעה שלא יאוחר מ-31 במרס בכל שנה יוגשו לחברי הוועדה המסמכים האלה: הצעה לתכנית עבודה שנתית לשנה שלאחריה שתוכן על ידי מנהל מערכות המידע; דוח על התקדמות המיזמים שאושרו על ידי הוועדה בשנה הקודמת - באחריות מנהל מערכות המידע, ו דוח ביצוע התקציב בסעיפי המחשו ב לשנה הקודמת - באחריות חשב המשרד וקצין תקציבים. הוועדה אמורה לדון בהצעה לתכנית העבודה ולהמליץ על תכנית המחשוב, שתובא לאישור אגף התקציבים במשרד האוצר. תכנית זו תוגש לאגף התקציבים לא יאוחר מ-30 .ביוני בכל שנה אגף מידע מנהל עשרות פרויקטים בשנה: פרויקטים לזמן קצוב לתחזוקת מערכות מידע ופרויקטים שנמשכים מספר שנים. תכנית העבודה השנתית לכל הפרויקטים ומערכות המידע אמורה להיגזר מתכנית-האב, והיא כלי מרכזי בניהול הפעילות הארגונית ובהכוונתה ליעדים מוגדרים בהתחשב בסדר העדיפויות, במגבלות הזמן ובכוח האדם. אגף מידע הכין תכניות עבודה לשנים 2007 -2009 , אך הנהלת המינהל דנה רק בחלק מהתכניות לשנים 2007 ו-2008 . לא נמצא כי היא דנה בתכנית העבודה של אגף מידע לשנת 2009 ,וגם לא היה מעקב אחר ביצועה. עד מועד תום הביקורת אוגוסט 2010 , אף לא הכין אגף מידע תכנית עבודה שנתית לשנת2010 . משרד מבקר המדינה העיר למינהל, כי באין תכנית עב ודה שנתית אין להנהלת המינהל בסיס לבניית תקציב שנתי, ואין באפשרותה לבצע את עבודתה כראוי. עוד העיר לו משרד מבקר המדינה, כי מלבד העובדה שהדבר נוגד את דרישות נוהל מפת"ח והוראות תכ"ם, היעדר תכנית שנתית למחשוב הוא כשל יסודי בניהול מערכות המידע במינהל שכן בהיעדר תכנית עבודה שנתית לא ניתן לדעת מהן התשומות הדרושות לאגף, מהם התקציבים הנדרשים לו, מהם לוחות הזמנים לכל פרויקט ועוד. נוהל מפת"ח קובע כי בתכנית העבודה השנתית יש לציין סוג, מטרה ועדיפות לכל משימה; את פירוט הבעיות במצב הקיים ; את היחס עלות-תועלת; פירוט כללי, 720 דוח שנתי61ב .משתמשים צפויים וממשקים למערכות אחרות ; את זהות המעורבים בפיתוח, לוחות הזמנים לביצוע התכנית, דרכי הטמעתה והמקור התקציבי לביצוע ה. משרד הבינוי והשיכון 721 . הביקורת העלתה כי תכניות העבודה של אגף מידע בשנים 2007 -2009 לא היו מפורטות דיין ולא התאימו לדרישות נוהל מפת"ח: נרשמו בהן רק שמות המשימות ללא כל פירוט; כ"אחראי לביצוע, שותפים, ואחראי בקרה" הוגדרו אגף מידע ולפעמים גם אגף אחר בלי ציון פרטי הצוות האחראי לפיתוח באגף; כמו כן לא הוגדר תקציב לכל משימה; לא נקבע מועד התחלתה, אלא רק מועד סיומה, וגם לא הוגדרו משתמשים צפויים וממשקים למערכות אחר ות. ממסמך שהכין אגף מידע בנובמבר 2008 התברר כי תכניות העבודה של אגף מידע אינן משקפות במלואן את המשימות המבוצעות בו; צוינו בו עשרות משימות בנושאים של תשתיות, מערכות מידע וטכנולוגיות שיושמו ב- 2008 ולא נכללו בתכנית העבודה של אותה שנה. בתשובת המינהל למשרד מבקר המדינה מנובמבר 2010 טענה מנהלת אגף מידע כי "התכנית נערכת ומוגשת בהתאם לדרישות מנהל המינהל מכל מנהלי האגפים". .משרד מבקר המדינה העיר למינהל כי על אגף מידע להכין תכניות עבודה שנתיות מפורטות, כנדרש בנוהל מפת"ח, שישקפו את מלוא פעילותו. על ההנהלה לדון בתכניות ולאשר אותן, ועל המינהל לפעול לפיהן. בדרך זו גם יתאפשר לקיים בקרה נאותה על ביצוע תכניות העבודה. .מערכת עסקות , כספים, וארכיב (עכ"א) .מערכת עכ״א היא מערכת מידע מרכזית בעבודת המינהל שהחלה לפעול בשנת .1985 . המערכת מתחלקת לארבע תת-מערכות: 1. מערכת עסקות (משולבת במערכת מידע גאוגרפית ) - מלווה את הקצאת הקרקע במחוז ובכללה תהליך הכנת העסקה, אישורה, הפקת מכתבים וחוזים ומעקב אחר ביצועה. 2. מערכת כספים - מטפלת בכל ההיבטים הכספיים של הקצאות הקרקע והפעולות העסקיות ובכללן דרישות תשלום, מעקב אחר גבייה, ניהול חובות, קליטת תקבולים והתאמת בנקים, ניהול תקציב וניהול הפרשה לרשויות המקומיות. 3. מערכת ארכיב - מטפלת בארכיב של תיקים זמניים עד סריקתם. 4. מערכת חוכרים (או משתכנים) - מטפלת בכל הפעילויות העסקיות בתקופת חוזה החכירה - העברת זכויות, היוון, תוספת בניה, תוספת שטח, אכלוס ועוד. כל עובד במינהל המתחבר למערכת עכ"א מקבל תפריט רלוונטי, האמור להיקבע .בהתאם לתפקידו ולסמכויותיו, וביכולתו לבצע רק את הפעולות המופיעות בתפריט. .נתוני התיקים מאוחסנים בבסיס נתונים של התכנה ובקבצים נוספים. 1. בקרת פעילויות : מערכת בקרת פעילויות אמורה לשמש למעקב, לבדיקה, לשחזור ולהפקת דוחות. במערכת זו נרשמת כל פעילות שמבוצעת 722 דוח שנתי61ב .במערכת עכ"א, וכפעילות "חריגה" נרשמים שינויים בנתונים שאינם נשמרים בבסיס הנתונים, עיבודי אצווה14 וכל פעולה שמבוצעת .__________________ .14 אצווה ( Batch) - עיבוד מספר רב שלעסקות או הפקה של מספר דוחות "כבדים" מבסיס הנתונים. משרד הבינוי והשיכון 723 .( ידנית ולא אוטומטיתכגון - שינוי פרטי אישיות משפטית, שינויים בפרטי עסקה, חיובים וזיכויים) . הקביעה כי זוהי פעולה חריגה נובעת מהעובדה שהמערכת אמורה לחשב בעצמה הנחות, עדכון סכומים וכיו"ב, ולכן הפעולות הידניות הוגדרו "חריגות" ומחייבות בקרה של המנהלים. הביקורת העלתה כי גורמי ניהול במינהל ובכללם מנהלי המחוזות אינם משתמשים במערכת בקרת הפע ילויות, והפעולות הידניות אינן נבדקות. התברר כי מערכת בקרת פעילויות אופיינה ונכתב ה ביזמת אגף מידע ככלי בקרה לגורמי ניהול במינהל בלי שבוצע ניתוח צרכים עם המשתמשים, ולדעתם המערכת אינה מתאימה להם. כל חודש נרשמות כ- 40,000 פעולות חריגות חדשות, וריבוי ן מקשה את בדיקתן. שנים רבות לא עשה אפוא המינהל שימוש בכלי לבקרת פעולות חריגות שפיתח אגף מידע, והוא מונח כאבן שאין לה הופכין. הנהלת המינהל המודעת זה שנים להימנעות מהשימוש במערכת בקרת פעילויות לא עשתה דבר בנדון. בתשובתו מינואר 2011 הודיע מנהל המינהל למשרד מבקר המדינה כי במאי 2010 הנחה "לבצע אחת לחודש בקרה מדגמית בשיעור של 10% מסה"כ הפעילויות המבוצעות במחוז". התברר, כי ההנחיה בוצעה באופן חלקי. משרד מבקר המדינה העיר למינהל כי אי -קיום בקרה על הפעולות הנעשות באמצעות המערכת הממוחשבת מונע גילוי של טעויות או שימוש לרעה. לפי כך על הנהלת המינהל ליזום בדיקה באשר לסיבות לאי - השימוש במערכת ולפעול לתיקונה או לאפיונה מחדש בשיתוף עם המשתמשים; לחילופין, אם יתברר שאי -השימוש נובע מאי -הטמעה כנדרש - עליה לפעול לאלתר להטמעתה ולשימוש בה ככלי בקרה. 2. איחור בהזנת הוראות למערכת : הוראות המינהל משפיעות על .חישובי התשלומים. התברר כי לעתים הן הוזנו לעכ״א באיחור רב, ובפרק הזמן .שחלף משינוי ההוראה עד הזנתה במערכת חישוב התשלום לא התעדכן. במקרים .אלו תוקן החישוב באופן ידני על ידי פקיד. לדוגמה, עד מועד סיום הביקורת, אוגוסט 2010 , טרם הוזן תיקון ההחלטה של מועצת מינהל מקרקעי ישראל מינואר 2006 בנושא "ביטול עסקות ומתן ארכות לביצוען", אף שעברו כארבע שנים וחצי ממועד ההחלטה ושלוש שנים וחצי ממועד עדכון הנוהל בנושא. התוצאה היא שהפעולה בוצעה ידנית. בתשובת המינהל מנובמבר 2010 הסבירה מנהלת אגף מידע כי האיחורים בהזנת ההוראות נובעים לרוב מאי -הטמעת ההחלטה בנוהל או בהוראת אגף מסודרת שאגף מידע הוא האמור למכן אותן. כמו כן טענה כי "אין התייחסות או לוקח זמן רב עד שבאגף מידע מתקבלות תשובות לשאלות המתעוררות במהלך עדכון המערכת". משרד מבקר המדינה העיר להנהלת המינהל כי עליה להקפיד ולהטמיע .בנהליה את כל החלטות המועצה והחלטות אחרות המשפיעות על .החישובים במועד סמוך לקבלתן ולעדכן מיד לאחר מכן את מערכת עכ"א. .אי-עדכון המערכת עלול לגרום לחישובים לא נכונים לפי ההוראות התקפות .ולשמש פתח לניצול לרעה. 724 דוח שנתי61ב .3. אי-התאמה בין המסמכים בתיק לבין הרישום הממוח שב: לנתונים שהוקלדו באופן שגוי כגון הערכת שמאי, התשלום השנתי שעל החוכר לשלם למינהל ועוד עשויה להיות השפעה על התשלומים למינהל. ייתכנו הפרשים בסכומים ניכרים שניתן יהיה לגלותם רק לאחר שתתקיים ביקורת שבה יושוו המסמכים בתיק לרישום הממוחשב; כמו כן ייתכן שבשל משרד הבינוי והשיכון 725 .טעויות כאלה ייגבו תשלומי יתר מהציבור, ובכך יש חשש לפגיעה בזכויות של המדינה ושל הציבור. חברה פרטית (להלן - חברה א') התריעה על הבעיה כבר ב- 2001 בדוח שהכינה למינהל על "פרויקט טיוב יישום רישום פעולות חריגות" והציעה פתרונות לבעיות שהועלו, ביניהם הכנסת בקרה ממוחשבת שתאפשר מתן התרעות במצבים מסוימים והוספת פרטים לקובץ "בקרת פעילויות" לגבי פעולות שבוצעו. הביקורת העלתה כי רוב ההמלצות של חברה א' לא יושמו; לא נמצאו לכך נימוקים. 4. הפרדה ממוחשבת בין הגורם המקליד שינוי או עדכון לתיק לבין הגורם המאשר אותו : אחת ההמלצות הייתה הפרדת הגורם המקליד שינוי או עדכון לתיק מהגורם המאשר אותו. הביקורת העלתה כי המלצה זו יושמה רק בחלקים ממערכת עכ"א ולא בכולה. בחלקים שבהם לא יושמה אין פיקוח ובקרה, והדבר יכול לשמש פתח לטעויות או לשימוש לרעה. 5. : סכומים חריגים שאינם ניתנים לאיתור הביקורת העלתה כי הנתון על סכום פעולה במערכת בקרת פעילויות מוצג כחלק מהערה15 . מתכונת זו אינה מאפשרת למיין או לעבד נתונים לפי סכומים. כמו כן אין היא מאפשרת למנהל או לגורם פיקוח אחר לאתר פעולות חריגות בסכום מסוים. על אגף מידע לתקן מצב זה בדחיפות ולהגדיר שדה מספרי לסכו מים הכספיים, כדי שניתן יהיה לאתר פעולות לפי סכומיהן. 6. : הגדרת פעולות חריגות בעכ"א בעכ"א יש 78 תכניות מחשב שבאמצעותן מופק קובץ פעילויות חריגות. חריגים הוגדרו בעכ"א לפני כ-30 שנה וההגדרות לא עודכנו מאז. בהיעדר מסמכים עם נימוקים להגדרת החריגים אז, לא ניתן לדעת מה הטעם לכך. בשל הזמן הרב שחלף מהגדרת החריגים ובגלל העובדה שבמינהל לא ניתן היה לברר את הסיבות לכך - על מנהלים ועל גורמי פיקוח ובקרה במינהל לבחון את הרלוונטיות של הרשימה ולעדכנה ולבחון אמצעים אוטומטיים להתרעה על חריגים חמורים במיוחד לפי מידת חומרתם, על פי קריטריונים שייקבעו מראש בידי גורמי הפיקוח. כמו כן יש להגדיר את הפעולות החריגות בכל המערכות החדשות. 7. : מספר הפעולות החריגות לבקשת משרד מבקר המדינה הפיק המינהל קובץ ובו כל הפעולות שבוצעו בעכ"א מינואר 2008 ועד אפריל2010 . הקובץ כלל נתונים לגבי כ-8.4 מיליון פעולות. הביקורת העלתה כי כ -860,000 פעולות- יותר מ-10% - .נרשמו כחריגות .__________________ .15 " :לדוגמההערות: הע. מ -708 ל-608 :בסכום1160.00- :.לת 16/12/09" 726 דוח שנתי61ב .בתשובת המינהל מנובמבר 2010 טענה מנהלת אגף מידע כי "מספר הפעילויות החריגות... נובע מהגדרה לא מדויקת של הנושא בקובץ בקרת פעילויות". עוד טענה כי חלק מהפעילויות שהוגדרו כחריגות "הינם עיבודי אצווה של תכניות שבאות לתקן ולטייב נתונים". הועלה כי גם מספר הפעולות החריגות הידניות בניכוי עיבודי אצווה גדול מאוד - כ-360,000. משרד הבינוי והשיכון 727 . משרד מבקר המדינה בדק את סוגי הפעולות החריגות והתפלגותן. הבדיקה העלתה כי כ -31% ( מהן מקורם באימות פרטים והשלמתם 18.3% ), בהז נת "חיובים וזיכויים" (להלן - חו"ז) (9% ( ) ובהעברת סכומים3.6% ). אלה מבוצעות על ידי פקיד ללא צורך באישור פקיד בכיר יותר, ובלי שהמערכת מתריעה על שינוי הנתון. מספר הפעולות החריגות הרב מקשה את הבקרה ופותח פתח ל שגיאות ולשימוש לרעה במערכת. משרד מבקר המדינה העיר ל מינהל כי עליו לעקוב באופן שוטף אחר התפלגות הפעולות החריגות, לנקוט צעדים לצמצמן, לנתח את הגורמים להן ואת שכיחותן ולקבוע מהן הפעולות החריגות שעליהן תקוים בקרה כדי שתובטח בדיקתן הכוללת. כמו כן על המינהל לבדוק לעומק את הגדרת הפעולות החריגות הקיימת, לעדכנה במיד ת הצורך ולבנו ת תכניות ממוחשבות שיאפשרו לטייב את הנתונים, להקטין את מספר הפעולות החריגות ולייעל בכך את המעקב. 8. ) חיובים וזיכויים (חו"זים : (א) חו"זים הן פעולות ידניות המאפשרות לפקיד להזין אחד מארבעת הערכים הבאים: חיוב, זיכוי, ביטול חיוב או ביטול זיכוי בסכום כלשהו. את הפעולה עושים פקידי המינהל ואין היא מחייבת אישור ממונה. התברר כי כבר במרס 1988 פרסם סגן חשב המינהל חוזר בנושא "בקרת פעילות כספית ידנית במערכת עכ"א", ובו קבע כי חובה לפרט את סיבת השינוי בחו"ז, להחתים את האחראי לנושא ולתעד את המסמך בתיק החוכר. הביקורת העלתה כי האמור בחוזר לא יושם במינהל. התברר כי כל פעולה של שינוי חיוב וזיכוי לא תועדה בתיק החוכר, ולא התקיימה בקרה כלשהי על סיווגה של הפעולה. עניין הסיווג יכול להיות כרוך בסכומי כסף ניכרים, ובהיעדר אסמכתה המלווה את הפעולה - אם בטעות בוצע זיכוי במקום חיוב או חיוב במקום זיכוי אין כל אפשרות לגלות את הטעות. משרד מבקר המדינה העיר למינהל כי יש לראות בחומרה את אי -קיום הוראות החוזר שעליהן ניתן לבסס מערך בקרה כדי למנוע שימוש לרעה, ועל המינהל לקיים את ההנחיות המפורטות בו. בעקבות הביקורת הנהיג המינהל בנובמבר 2010 שינוי בתכנה: אם נעשית פעולה של הזנת חו"ז, היא מועברת אוטומטית למערכת הדמיה ונשמרת כאסמכתה. ואולם המינהל טרם טיפל בנושא הבקרה על פעולות החו"ז. (ב) מינואר 2008 ועד אפריל2010 בוצעו כ-77,000 פעולות חו"ז ידניות. במחוז המרכז היה שיעור פעולות החו"ז הידניות הגבוה ביותר ( 25.8%.) משרד מבקר המדינה העיר למינהל כי עליו לצמצם במידה רבה את פעולות החו"ז הידניות החריגות של העובדים במחוזות, למחשב את כל ההוראות החדשות ולבחון את הסיבות לריבוי פעולות החו"ז הידניות בכלל ובמחוז מרכז בפרט. לאחר תוצאות הבחינה יש לנקוט את הצעדים הנדרשים להקטנת מספר הפעולות הידניות. (ג) משרד מבקר המדינה ניתח את פעולות החו"ז שסכום כל אחת מהן גדול מ- 5,000 ש"ח. מהניתוח עולה כי סכום כל פעולות הזיכוי וביטול החיוב היה גדול מעשרה מיליארד ש"ח. 728 דוח שנתי61ב . לדעת משרד מבקר המדינה - בשל המספר הגדול של פעולות החו"ז הידניות וערכן הגבוה ובהיעדר בקרה מספקת על כך - מחובתו של המינהל לפתח כלים ממוחשבים שיתריעו באופן שוטף על פעולות חו"ז ידניות בסכומי כסף גדולים. (ד) על פי חוזר חשב המינהל מינואר 2001 בעניין "פעולות חו"ז ידניות בחשבונות המנוהלים במערכת עכ"א", נדרשו עובדי המחוז ות שלא להשתמש בפעולת חו"ז ידנית לעדכון חשבונות החוכרים, אלא אם כן אין פעילות ממוחשבת מתאימה במערכת, ובמקרה כזה "פעולה זו תתבצע אך ורק ע"י עובד גזברות". חשב המינהל דאז, מר אבי ברף, קבע גם ש"הודעה זו תקבל ביטוי לוגי במערכת עכ"א לאחר עבודת מטה המבוצעת ע"י מחל קת ביקורת כספים בחשבות והמלצותיה בנדון". הביקורת העלתה כי המערכת הממוחשבת מאפשרת לעובדים במינהל שאינם עובדי הגזברות לבצע פעולות חו"ז ידניות בניגוד לחוזר החשב. עובדה זו מתבטאת גם בהרשאות גישה הניתנות לעובדים במחלקות שמחוץ לגזברות. נמצא שמינואר 2008 ועד אפריל 2010 נעשו יותר מ- 20% מפעולות החו"ז בידי עובדי מחלקות אחרות - עובדי מחלקות עסקות, חוזים, משפטים ואף עובדי אגף מידע. משרד מבקר המדינה העיר למינהל כי ביצוע פעולות חו"ז בידי עובדים שאינם עובדי גזברות עומד בניגוד מוחלט להוראת חוזר החשב הנזכרת לעיל, ויש לפעו ל לאלתר להפסקת התופעה על ידי חסימת האפשרות לביצוע פעולות חו"ז במערכת הממוחשבת בידי עובדים שאינם עובדי גזברות. 9. הפרדת תפקידים : (א) הפרדת תפקידים ( Segregation of Duties ) וסמכויות היא אחד מסוגי הבקרה החשובים למניעת טעויות, השמטות ושימוש לרעה במערכת. היא מבוססת על חלוקת פעולה לכמה פעולות כך שאת הפעולה מתחילתה ועד סופה עושים כמה אנשים. כך ניתן למנוע טעויות בשוגג או שימוש לרעה בהיעדר עובד שיאתר פעולות כאלה בתהליך העשייה כגורם מפקח ומבקר. כדי להבטיח את הפרדת התפקידים יש לקבוע תחומי פעילות של כל בעל תפקיד. פירוש הדבר הוא שלכל עובד לא יהיה יותר מתפקיד אחד: ניהול, אחזקת נכסים, רישום חשבונאי ובקרה ופיקוח. כתנאי לעשיית פעולה כספית במערכת כספית ממוחשבת יש להגדיר במערכת רמה נוספת של אישור , כנדרש על פי סדרי בידוק מתאימים ועקרון הפרדת תפקידים, בייחוד במקרים שבהם הסכום של החיוב או של הזיכוי גבוה. תת- מערכת "חוכרים" שבמערכת עכ"א, תומכת בין היתר בפעולות הבאות: העברת זכויות; תוספת בנייה או שטח; היוון דמי חכירה שנתיים; ה תחייבות לרישום משכנתה; אימות והשלמה של פרטים; אכלוס משתכנים. הביקורת העלתה כי עקרון הפרדת התפקידים לא מתקי ים במערכת חוכרים - בפעולות כספיות רבות הנעשות במערכת יכול אותו פקיד גם לבצע עסקה וגם לאשרה, והמערכת אינה דורשת אישור בדרג גבוה יותר כתנאי לביצוע. הדבר יכול לשמש פתח לטעויות או לשימוש לרעה. לדוגמה: בעסקה מסוימת התברר שאישור העסקה והחיוב הכספי בוצעו משרד הבינוי והשיכון 729 .ברמת הרש אה אחת, והדבר אפשר טעות שבה חויב החוכר רק בגין הקרקע בסך כ -10 מיליון ש "ח, בלי שחויב בגין המבנים הממוקמים שעליה ב-31 מיליון ש"ח נוספים16 . .__________________ .16 ,בעניין זה ראו מבקר המדינה דוחות ביקורת, המכללה האקדמית להנדסה ירושלים, האגודה למען החייל (2009 .) 730 דוח שנתי61ב .בתשובתו מנובמבר 2010 אישר המינהל, כי אף שבמערכת יש אפשרות להפריד בין פעולות ביצוע לפעולות אישור, "עקרון הפרדת התפקידים לא קיים בפועל במינהל ולכן גם לא בא לידי ביטוי במערכת". משרד מבקר המדינה העיר להנהלת המינהל כי כדי להבטיח פיקוח ובקרה על העסקות שיש להן השפעה ניכרת על הקופה הציבורית, בייחוד במקרים שבהם סכום החיוב או הזיכוי גבוה, על המינהל לקבוע שכל פעילות עסקית וכספית במערכת עכ"א תבוצע בשני דרגים - גורם מבצע וגורם מאשר, כנדרש על פי סדרי בידוק מתאימים, זאת - למעט פעולות מינוריות וטכניות שייקבעו על ידי הגורמים המקצועיים במינהל ובאישור הנהלתו. עוד העיר משרד מבקר המדינה, כי על הנהלת המינהל לקבוע בנוהל את עקרון הפרדת תפקידים בין הגורם המבצע לגורם המאשר בכל מערכות המידע שלו ולהקפיד על אכיפתו. (ב) מנהל תחום ביקורת חשבויות באגף הכספים של המינהל הכין בשנת 2003 :תכנית עבודה משותפת לאגף הכספים ולאגף מידע שתטפל בנושאים הבאים יצירת שתי רמות - עורך ובודק - בפעולות חו"ז ידני (לפי גודל הסכום), אימות והשלמה של פרטים (בשדות שלשינוי נתוניהם יש משמעות כספית ניכרת; למשל אם משנים ציון מקום של נכס מרחוב שמחירי הנדל"ן בו גבוהים לרחוב שמחיריו נמוכים), ובפעולות עסקיות (כגון העברת זכויות, היוון, תוספת בנייה, תוספת שטח); כמו כן נדרשו בה מיפוי הרשאות לפי תפקיד ויצירת מערך הרשאות חדש וטיפול בשוברים שהם חשבוניות מס (בעניין ניהול הרשאות גישה ראה להלן). התכנית הוכנה על דעת החשב דאז. משטרת ישראל חקרה במהלך 2008 חשדות בדבר ביצוע עברות פליליות לכאורה הנוגעות לטוהר המידות של כמה בעלי תפקידים במינהל (בעניין זה ראו להלן). בעקבות החקירה פנה מנהל המינהל, מר ירון ביבי, בנובמבר 2008 במכתב לכל מנהלי המחוזות וביקש מהם הצעות התייעלות כדי לצלוח את המשבר שאליו נקלע המינהל עקב התוצאות של חקירת המשטרה. מנהל תחום ביקורת חשבויות שלח לו את תכנית העבודה והסביר לו שהיא תואמה בזמנו עם אגף מידע שהתחייב לבצעה, אך היא לא יושמה. הוא הוסיף ש"כל עוד לא יהיה אגף שיתאם את [ ]התכנית, יעקוב אחר ביצוע ה, ויבקר online הכל יישאר בגדר עוד נייר ועוד דוח". הביקורת העלתה כי גם במהלך השנתיים שחלפו מאז הפנייה לא יישם המינהל את התכנית שנועדה לשפר את הבקרה על פעולות עובדיו. (ג) הביקורת העלתה כי בשלוש השנים שלפני הביקורת היה משובץ בתחום של ביקורת חשבויות עובד אחד בלבד, הממונה על התחום. באחריותו מגוון משימות ובכללן בקרה על פעילויות עסקיות וכספיות שמתקיימות במחוזות המינהל; תיאום בין המחוזות והאגפים לבין אגף מידע; אחריות למחשוב החלטות המועצה ולקליטת נהלים והוראות במערכת עכ"א; בקרה על עסקות המאושרות בוועדת עסקות מחוזית ועוד. לדעת משרד מבקר המדינה - נוכח ריבוי הליקויים שהועלו מן הראוי שהמינהל יבחן את היקף כוח האדם הנדרש לביצוע ביקורת בחשבויות, כדי להבטיח קיום בקרה נאותה על פעולותיו. משרד הבינוי והשיכון 731 .10. : מערכת הדמיה עד ראשית שנות האלפיים היו למעלה ממיליון תיקים בארכיב המינהל, ובכל שנה נוספו עוד עשרות אלפי תיקים. במינהל הוחלט לסרוק את התיקים באמצעות מערכת הדמיה. עד מועד הביקורת נסרקו כ-1.1 מיליון תיקים ובהם כ-60 .מיליון דפים 732 דוח שנתי61ב . הביקורת העלתה כי לא כל הפעולות שנעשו במערכת עכ"א מתועדות, ולא כל סוגי המסמכים המופקים במערכת מועברים למערכת הדמיה באופן אוטומטי ומתויקים בתיק החוכר, בכללם מסמכים המתעדים פעולות כספיות. התברר כי ב - 2006 מונתה ועדה בראשות היועץ המשפטי של המינהל שקבעה אילו מסמכים יועברו אוטומטית למערכת, אילו יודפסו ויועברו אליה לאחר חתימה, ואילו לא יועברו מכיוון שאינם משמשים אסמכתה או מתעדים פעילות. על פי החלטת הוועדה, רק 40% מסוגי המסמכים אמורים להיסרק אוטומטית, ו -20% מהם אינם אמורים להיסרק כלל. 40% הנותרים- ההחלטה אם לסרוק אותם היא בסמכות של פקיד מינהל. משרד מבקר המדינה העיר למינהל כי כל פעולה כספית חייבת להיות מתועדת במערכת הדמיה לצורך בקרה עתידית. כמו כן יש לסרוק את כל המסמכים הנוגעים לענייני כספים, מאחר שהמסמך הסרוק הוא אסמכתה לפעולה במערכת. בעת קליטת נתון על קבלת מסמך במערכת הממוחשבת, מן הראוי לסרוק את המסמך ולציין את מועד הגעתו ברישום ממוחשב. בדרך זו לא ניתן יהיה להגיש מסמכים ולטעון כי הוגשו מוקדם יותר או מאוחר יותר. מתשובת המינהל מנובמבר 2010 עולה כי הוא החל בהעברה אוטומטית של חלק מהמסמכים למערכת, וביניהם העברת סכומים בין תיקים של אותו חוכר ופעולות חו"ז ידניות. .מערכת מרכב"ה ומחשוב מערכות כספיות במינהל פרויקט "מרכב "ה" הוא פרויקט שיזם אגף החשכ "ל בשנת 2000 להקמתה ולהטמעתה של מערכת מחשוב רוחבית, כוללת ואחידה במשרדי הממשלה, לניהול המשאבים בתחומים: כספים, כוח אדם, רכש (לוגיסטיקה) ונכסים ולביצוע פעולות נוספות כגון פניות לקבלת תמיכות והקצאתן. המערכת נועדה לשפר את יכולת הממשלה לממש את מטרותיה, ליצור סטנדרטיזצי ה בניהול המשאבים במגזר הממשלתי, להקטין את ההוצאות בנושא רכש ולנהל נכסים וכוח אדם ברמה כלל- ממשלתית. אגף החשכ"ל החליט ל יישם את מרכב "ה באמצעות תכנה לניהול משאבי הארגון . באמצע שנת 2004 הובאה מרכב "ה לאישור הממשלה. עד נובמבר 2006 הופעלה ("עלתה לאוויר") מערכת מרכב"ה ב-22 יחידות ומשרדים ממשלתיים. בתכנית שאושרה בהחלטת הממשלה 17 ב-2004 פורטו היחידות והמשרדים הממשלתיים שבהם תוטמע מר כב"ה בשנים 2003 -2006 ., לרבות המינהל הטמעתה במינהל והחלפת המערכת הכספית ששימשה אותו עד אז הייתה אמורה להסתיים עד סוף שנת 2006 . בפברואר2006 החליט חשב המינהל שמערכות המידע החדשות יפותחו במסגרת מרכב"ה או יועברו אליה. .__________________ .17 'החלטה מס1912 /(חכ83) מ-4.5.04 , בתוקף מ-20.5.04 . משרד הבינוי והשיכון 733 .הביקורת העלתה כי עד מועד תום הביקורת, אוג וסט 2010 , שש שנים מאז החלטת הממשלה האמורה, לא צלחו הניסיונות לשלב את מערכת מרכב"ה או חלקים ממנה במינהל. להלן פרטים: ב-2005 החלו בדיקות ודיונים בין החשכ"ל ונציגיו לבין המינהל - אגף מידע ואגף כספים, כדי ליישם את מודול הנדל״ן של מרכב"ה במינהל. ביוני 2005 הכין צוות מטעם פרויקט מרכב"ה 734 דוח שנתי61ב .במשרד האוצר מסמך שכותרתו "בחינת היתכנות ליישום מודול הנדל"ן של מערכת מרכב׳׳ה במינהל מקרקעי ישראל". על פי המסמך תהיה מערכת מרכב"ה הפלטפורמה העיקרית של המינהל לניהול הנתונים והמידע ביישומים המשמשים אותו, וה מודולים השונים שלה יותאמו לצרכיו ויחליפו את המערכות שיוחלט להחליפן. במסמך נקבע שהמינהל ישתמש גם במודולים הבאים: ניהול הקרקעות, ניהול העסקות וניהול נכסי דיור. עוד נכתב במסמך, כי ה זמן המשוער ליישום הפרויקט (כולל האפיון המפורט) יהיה כשנתיים וחצי מהתחלת עבודת הצוותים. בנובמבר 2005 מינה מנהל המינהל דאז ועדת היגוי משרדית בראש ותו כדי להתחיל את תהליך שילובו של פרויקט מרכב"ה במינהל. בנובמבר 2007 פרסם החשכ"ל בקשה בינלאומית לקבלת הצעות ( RFP ) לייעוץ בעניין מערכת מידע משולבת לנדל"ן Consulting Services Integrated Land) Information System ). הבקשה הוגשה לתשעה גורמי ייעוץ בינלאומיים. מן המסמכים עולה כי ההליך הסתיים ללא תוצאות: רוב החברות הודיעו כי לא עלה בידן לאתר יועצים מתאימים לנושא. יועץ החשכ"ל שהיה המנהל הקודם של אגף מידע הציע להטיל על האגף להקים את המערכת העתידית שתשולב במרכב"ה. הצעתו לא התקבלה. באוגוסט 2008 כתב חשב המינהל דאז לסגן החשכ"ל כי "ניהול מקרקעין טומן בחובו שורה ארוכה של פעולות כספיות ו/או פעולות בעלות שווי כספי ובהן הוצאות והכנסות שיש לנכס לקרקע המסוימת, חישובי התמורה בגין הקרקע, תשלומים שוטפים... אין זה סביר שפעולות כספיות מהותיות כל כך יבוצעו במערכת שאינה מערכת כספית". הוא העריך כי יישום מרכב "ה במינהל יביא לפיקוח ובקרה איכותיים ואפקטיביים של אגף הכספים על הפעולות הכספיות של המינהל. בהחלטת הנהלת המינהל מספטמבר 2008 נאמר, כי סוכם עם החשכ"ל ש"מערכת מרכב"ה תוכנס למינהל במתכונת המקובלת בכ ל המשרדים, כלומר בתחום הלוגיסטי, הפיננסי ומשאבי אנוש. המערכות הייעודיות האחרות יפותחו על ידי אגף מידע של המינהל". במרס 2009 החליט מנהל המינהל ש"כל נושא הקרקע יתנהל במערכות הייעודיות ומערכת המרכב"ה תהווה את התמיכה הכספית". כמו כן מינה ועדת היגוי למערכת המרכב"ה וצוותי היגוי לקליטת שלושה מודולים שלה במינהל: מודול פיננסי, מודול לוגיסטי ומודול פרויקטים. בספטמבר ובנובמבר 2009 התקיימו דיונים בנושא אצל סגן בכיר לחשכ"ל, וסוכם בהם כי תגובש רשימת התהליכים הכספיים במינהל על בסיס המסמך שהכין הצוות, שימשיך במיפוי עד יוני 2010 . לאחר מכן יועמד לרשות המאפיינים את המערכת במינהל צוות של מרכב"ה ופעילותו תשמש בסיס גם לדרישות החשכ"ל למודול הגבייה במרכב"ה. הביקורת העלתה, כי לא התפרסמו סיכומים לדיונים אחרים של הצוות. באוגוסט 2010 הודיעה סגנית החשב של המינהל שבספטמבר אמורות להיות עוד ישיבות "במטרה להגדיר מה תכלול מרכב "ה". בתשובת המינהל מנובמבר 2010 נאמר כי "מסוף שנת2005 , במשך3 שנים, לא ניסו לשלב חלקים ממערכת מרכב"ה במינהל כי חשב המינהל סבר שאין להפעיל את מערכת המרכב"ה במתכונתה הרגילה, אלא יש להעביר את כל המערכות הייעודיות של המינה ל למרכב "ה". כתוצאה מכך ממשיך מערך הכספים שלו להתנהל באמצעות מערכת מחשוב מיושנת בת עשרות שנים. בתשובת החשכ"ל מנובמבר 2010 הסביר מר אושיק בן-עטר, סגן בכיר לחשב הכללי, שהדיונים בנוגע לתיחום (מרכב "ה קרקעית או תמיכה כספית בלבד) התנהלו משנת 2005 ועד ספטמבר2008 ולא הגיעו לכלל סיכום. זאת- עקב מחלוקות מקצועיות הנובעות בין היתר מהקושי האמִתי להגדיר את הגבול שבין מערכות ייעודיות-מקצועיות לבין מערכות כספיות. הוא הוסיף כי אנשי מרכב "ה שוקדים יחד עם אנשי מינהל מקרקעי ישראל למצוא פתרון איכותי ונכון. משרד הבינוי והשיכון 735 . לדעת משרד מבקר המ דינה, נוכח ההיקף הכספי הנרחב של פעולות המינהל, היה ראוי להעלות לראש סדר העדיפויות את פיתוח המערכת הכספית כדי שהפעולות יפוקחו ויבוקרו באופן יעיל. על החשכ"ל ועל המינהל לנקוט את כל הצעדים הדרושים ולהטמיע במינהל מערכת כספית באמצעות מרכב"ה או מערכת אחרת ולסיים את הסחבת בעניין שנמשכת כבר למעלה מחמש שנים. .השימוש במערכת הממוחשבת לגביית חובות .משרד מבקר המדינה העלה כי המינהל לא השכיל להשתמש באפשרויות הגלומות במערכת הממוחשבת ובמידע האגור בה למעקב אחר גביית חובות ולייעול הטיפול בתיקים. להלן פרטים: הכנסות המינהל מתחלקות ל"הכנסות שוטפות" - הכוללות הכנסות מניהול נכסים ומדמי חכירה שנתיים (להלן - דח"ש) ול"הכנסות הון" - הכוללות הכנסות מדמי היוון, ממכירת נכסים ומפיתוח. החובות למינהל נובעים מאי-תשלום דמי חכירה ומאי-עמידה בהסכמים שנחתמו בין המינהל לבין החוכרים. המינהל גובה חובות באמצעות משלוח התראות לחייבים והגשת תביעות משפטיות נגדם על ידי עורכי דין חיצוניים. החובות מתחלקים לשני סוגים: חוב שגילו נמוך משבע שנים - הניתן לגבייה, וחוב ישן שגילו גבוה משבע שנים אשר התיישן מבחינה משפטית, אך לגביו קבע המינהל כי ניתן לגבותו18. אגף הכספים התריע בתכנית העבודה לשנת 2006 כי מערכת עכ"א, המנהלת, בין היתר, את מאגר החייבים, "ישנה ומורכבת, בת למעלה מ-30 שנה ונבנתה טלאי על טלאי, והשימוש בה לצרכים ניהוליים סטטיסטיים מסורבל, יש עיכובים בהפקת דוחות, תורי עבודה ארוכים, זמני שימוש מוגבלים, מסכים לא ידידותיים למשתמש, והיעדר מחולל דוחות הגורם לתלות גבוהה באנשי אגף מידע". ביולי 2008 הגיש רואה חשבון פרטי מטעם החשכ"ל לחשב המינהל ולמנהל יחידת הביקורת של החשכ"ל דוח על ביקורת כספים במינהל לשנת 2007 שעסק גם בטיפול בהכנסות ובגביית חובות. הדוח קבע שיש לדאוג באופן דחוף להחלפת המערכת או לשדרוגה בנושאים הנוגעים לניהול החובות של המינהל. הביקורת העלתה כי עד אוגוסט 2010 .לא שדרג המינהל את המערכת מנהלת אגף מידע הסבירה ביולי 2010 למשרד מבקר המדינה, כי "שדרוג או החלפת המערכת הכספית לא בוצעו, מאחר שחשב המינהל סבר החל מסוף שנת .__________________ .18 'על פי נוהל מס31.23 של המינהל שפורסם באפריל 2006 , "תקופת ההתיישנות לעניין דרישה כספית, שלא הוגשה בגינה תביעה, היא שבע שנים... אף שניתן להגיש תביעה משפטית רק בגין חובות שטרם עברו שבע שנים ממועד גיבושם, אין משמעות הדבר כי לא ניתן לגבותם..." בביצוע עסקות מסוימות "יש להתנות את ביצוע העסקה בתשלום חובות דמי חכירה וחובות אחרים גם אם חלפו למעלה משבע שנים מיום גיבוש החוב". 736 דוח שנתי61ב .2005 שכל הניהול יתבצע במערכת מרכב"ה ", ואולם הדבר לא התממש (ראו לעיל). משרד הבינוי והשיכון 737 . על פי תכנית העבודה של חשבות המינהל לשנת2009 , החוב של חוכרים שלא שילמו דמי חכירה שנתיים (דח"ש) למינהל היה כמיליארד ש"ח בכ-61 .אלף תיקים החשבות קבעה יעד בתכנית העבודה לשנת 2009 - צמצום חובות בגין דח"ש ב - 15% לעומת סכומם בינואר2009 . היא תכננה להגיע ליעד זה באמצעות נקיטת מספר צעדים, וביניהם בניית מרכז מידע ממוחשב עד יוני 2009 שיכלול את המידע הרלוונטי לגבי החובות ויאפשר הפקת דוחות בחתכים שונים. ביולי 2010 הסתכם החוב למינהל בכ-926 מיליון ש"ח בכ-47 אלף תיקים- סכום המשקף שינוי מזערי לעומת סכום החוב בשנת 2009 ,. על פי נתוני המינהל71% ( מסכום החוב חייבים חוכרים במחוזות תל אביב, מרכז וחיפה26% ,24% ו-21% - בהתאמה). זאת ועוד, על פי דוח שהפיק המינהל במועד הביקורת המפרט את התפלגות החובות לפי מחוזות, הסתכם החוב הכולל למינהל בכמיליארד ש "ח; %41 ממנו הוא חוב שאי-אפשר לגבות (חוב אבוד) 19 . עד מועד תום הביקורת, אוגוסט 2010 , טרם סיים המינהל את בניית מרכז המידע האמור. לדברי ראש תחום כספים באגף מידע , במערכת קיים מרכז מידע בנושא חובות דח"ש ו"לאחראי גבי יה ישנה גישה למאגר זה". התברר כי מרכז המידע הקיים מיושן ונותן מידע חלקי בלבד; לדוגמה, הוא לא כולל חובות שאינם בנושא דמי חכירה שנתיים וגם לא את גיל החובות. הממונה הארצית לגבייה עזבה את המינהל ב - 2007 .ומשרתה טרם אוישה מבירור שעשה משרד מבקר המדינה עולה, כי בסוף 2010 הופעלה גרסה ראשונה של מרכז המידע בנושא חובות דח"ש, אך טרם פותחו בו נושאים עיקריים כגון חובות שאינם חובות דח"ש וגיול חובות. משרד מבקר המדינה העיר למינהל כי עליו לפעול לזירוז הפיתוח של מרכז המידע. כמו כן עליו למנות לאלתר אחראי ארצי לגביית חובות, ולחדש את התכנית לגביית החובות תוך שימוש במרכז המידע החדש. עוד העיר משרד מבקר המדינה כי ניהול החובות חייב להיות מעודכן ולשקף את מצבם האמִתי. שדרוג ניהול החובות במערכת עכ"א הוא חיוני ועשוי לתרום לשיפור הגבייה של המינהל. דוח "גיול חובות" : דוח זה מציג את חשבונות החייבים לפי משך הזמן שהחוב קיים ("גיל החוב"). לבקשת משרד מבקר המדינה, הפיק המינהל דוח גיול חובות. עולה ממנו כי יותר משני שלישים מהתיקים של החייבים במינהל (כ-71% ) הם תיקים שבהם רשומים חובות של חוכרים בני יותר משבע שנים, שהם כ-80% .מכלל החובות מהדוח עולה כי ב-645 תיקים נרשם שחובות החוכרים הם בני60 עד99 .שנה מבדיקת שני תיקים שבכל אחד מהם היה החוב הרשום כבן 90 שנה, התברר שגיל כל חוב היה כמחצית השנים שנרשמו בדוח. הדבר מעורר ספקות בנוגע לאמינות הנתונים הרשומים במערכת. .__________________ .19 חוב אבוד הוא חוב כספי שבעליו סבורים כי לא יצליחו לגבותו, לדוגמה: חוב של חייב שננקטו לגביו הליכי הוצאה לפועל או שהוכח שהחייב נפטר ובעיזבונו אין רכוש בר- מימוש בארץ. 738 דוח שנתי61ב .בתשובתו מנובמבר 2010 הסביר המינהל כי שנות החובהחריגות נקבעו במקרים שבהם הייתה התערבות של פקיד בעדכון ידני של יתרת הדח"ש ללא עדכון מכסת הדח"ש ובתיקים ישנים מאוד שבהם חסר לעתים תאריך רכישת הזכויות והוא מאופס. משרד הבינוי והשיכון 739 . משרד מבקר המדינה העיר למינהל כי ריבוי הנתונים השגויים הרשומים במערכת ובדוחות המופקים על ידה מחייב, מחד גיסא, את צמצום מספר מקרי ההתערבות ידנית בבסיס הנתונים, ומאידך גיסא - בחינה לוגית של המערכת הקיימת עד שדרוגה או החלפתה למניעת כשלים כגון איפוס תאריכים בצורה אוטומטית, ללא התרעה על חריגים. כדי לשפר את המעקב אחר חובות החוכרים על המינהל להשתמש בדוח גיול חובות תקופתי. התברר שהמינהל אינו נוהג להפיק דוח כזה, אף שקיימת אפשרות טכנית להפקתו. כתוצאה מכך אין למנהל המינהל, לאחראי הגבייה או לחשב המינהל מידע על התפתחות החובות. כמו כן אין מפיקים במינהל דוחות חיוניים למעקב אחר הגבייה כגון דוח שמרכז את סכומי החובות והתפלגותם. יצוין כי בביקורת שעשה במינהל ב -2003 המליץ החשכ"ל לספק לאחראית הגבייה הארצית מחולל דוחות שיאפשר לה להפיק בעצמה דוחות גבייה שונים ולעדכנם. משרד מבקר המדינה העיר למינהל כי עליו לשפר את פעולות המעקב והבקרה על מצב החובות וגילם. יש להפיק דוחות אלו באופן קבוע, לנתח את הנתונים שנמצאים בהם ולקבל החלטות בדבר מדיניות הגבייה ותכנית הגבייה. המינהל לא עשה פעולות אלו ומן הראוי לקיימן כחלק מתהליכי העבודה שלו. עסקות פטורות ממכרז: המינהל מקצה מקרקעין בשלוש דרכים עיקריות20: במכרז, בהרשמה ובהגרלה או ללא מכרז. הקצאת קרקע ללא מכרז נעשית בהתאם לחוק חובת מכרזים , התשנ"ב- 1992 , .והתקנות שהותקנו על פיו על פי תקנות חובת המכרזים, התשנ"ג-1993 , התקשרות של המינהל לביצוע עסקה במקרקעין של המדינה, של רשות הפיתוח או של קרן קיימת לישראל אינה טעונה מכרז כאשר נושא ההתקשרות הוא אחד מאלה: הענקת זכויות במקרקעין למי שהוא בעל זכויות באותם מקרקעין או למי שיורה בעל הזכויות להעניקן; לעניין זה, "בעל זכויות במקרקעין" - הוא צד לחוזה פיתוח, לחוזה חכירה או לחכירת משנה לתקופה של עשרים ואחת שנים לפחות; מי שזכאי כדין להיות צד לחוזה כאמור; וכן מי שהיה צד לחוזה כאמור או מחזיק במקרקעין באופן רצוף עשר שנים לפחות בהסכמת המינהל. על פי נוהל של המינהל שפורסם באוקטובר 2006 , לאחר אישור המפרט הכספי על ידי היזם - יקלוט המחוז את העסקה במעמד אישור סופי. ביום זה תקבל העסקה תוקף ויישלח ליזם שובר תשלום ובו יינתנו לו 60 יום לתשלום מיום תוקף העסקה. אם לא תתקבל תגובת היזם למפרט הכספי בפרק הזמן שהוקצב לכך, או אם לא ישולם שובר התשלום בתוך 60 יום לאחר אישורה הסופי של העסקה, היא תבוטל, והמערכת תנפיק ליזם הודעה על כך. לבקשת משרד מבקר המדינה הפיק המינהל דוח על עסקות בפטור ממכרז בשנים 2007-2010 שבהן הסתיימ ה הארכה שניתנה לתשלום. מהדוח עולה כי היו יותר מ-1,300 עסקות פטורות ממכרז שלגביהן חלפה יותר משנה מאז הסתיימה הארכה לתשלום, ולגבי כ-800 ,מהן אף חלפו שנתיים. למרות שעל פי הנוהל עסקות אלה היו אמורות להתבטל מאחר שלא שולם עבורן שובר התשלום בתוך 60 .יום מיום תוקף העסקה, במערכת הממוחשבת הן לא בוטלוסכום החובות בגין .__________________ .20 על פי נוהל31.01 בנושא הכנת עסקה שפורסם באוקטובר2006. 740 דוח שנתי61ב .עסקות אלה היה יותר מ-442 מיליון ש"ח; ב-152 עסקות היו דמי החכירה בכל עסקה גבוהים מחצי מיליון ש"ח, וסכומן המצטבר היה כשני שלישים מהסכום הכולל של החוב. משרד הבינוי והשיכון 741 . משרד מבקר המדינה העיר למינהל כי ראוי שיעשה שימוש במערכת המידע שברשותו המאפשרת קיום מעקב ובקרה. על המינהל לבנות תכנית גבייה ולהפיק דוחות מעקב שיאפשרו לו לשפרה. העברת זכויות לחייבים : העברת זכויות משמעותה העברת זכות חכירה במקרקעין בשלמותה או בחלקה או הסבתה בדרך כלשהי לאחר, בתמורה או ללא תמורה. על פי נוהלי המינהל, העברת זכויות חכירה כרוכה בתשלום דמי הסכמה21 אלאאם כן שולמו דמי היוון; העברת זכויות בקרקע של חוכר לחוכר אחר טעונה הסכמת המינהל, והיא נעשית בתנאי שלחוכר אין כל חובות כלפי המינהל. הבדיקה העלתה כי על פי הנתונים שבמערכת הממוחשבת, בין ינואר 2005 למאי 2010 העביר המינהל זכויות של12,573 חוכרים למרות שסכום החובות שלהם למינהל הסתכם בכ-252.5 מיליון ש"ח. ב-2.1% מהמקרים האמורים הועברו זכויות אף שלחוכרים היה חוב גדול למינהל - מ-100,000 עד13 מיליון ש"ח- ובסה"כ כ-196 מיליון ש"ח שהם 78% מכל החובות בתיקים אלה. עוד העלתה הבדיקה כי רוב התיקים (38 ) שבהם היה החוב גדול ממיליון ש"ח היו במחוז המרכז. בתיקים אלו הסתכם החוב ביותר מ -114 מיליון ש"ח. לדוגמה: המינהל השלים את העברת הזכויות בקרקע של חברה ב' לחברה ג' על אף חוב למינהל של 1.3 מיליון ש"ח. לדעת משרד מבקר המדינה, על המינהל לשפר את הפיקוח והבקרה של עובדיו בתחום זה ולהיעזר במערכת הממוחשבת לבקרה שוטפת. כמו כן עליו לשלב פעולות בקרה ממוחשבות בתהליך מתן האישורים ולנקוט את כל האמצעים הדרושים למניעת הישנות תופעות כאלה. אישור תשלום דמי היוון: דמי היוון הם תשלום חד-פעמי מראש של דמי החכירה השנתיים, והם מחושבים לפי תקופת החכירה, שיעור דמי החכירה וריבית הניכיון. הביקורת העלתה, כי המינהל אינו מפיק באופן שוטף דוחות שבהם נתונים על נכסים שהוונו למרות שדמי היוון לא שולמו או שולמו רק באופן חלקי. לבקשת משרד מבקר המדינה, הפיק המינהל דוח כזה לתקופה ינואר 2005- אפריל 2010 , וממנו עולה כי מ-2,017 חוכרים שקיבלו אישור על תשלום דמי היוון- 592 (כ-29% ) לא שילמו אותם כלל, והאחרים שילמו רק חלק מהם. התברר כי ההפרש שבין סכום ההיוון שנקבע לבין התשלום בפועל היה כ-21.7 מיליון ש"ח. לפי הנתונים שבדוח, רשם המינהל נכסים כנכסים מהוונים למרות שלא שולמו עבורם דמי היוון. בשני מקרים שנבדקו שולמו דמי ההיוון - בניגוד לנתונים שבדוח. נתון זה מעורר ספקות באשר למהימנות נתוני הדוח. משרד מבקר המדינה העיר למינהל כי עליו לשפר את מערכות המידע שברשותו כדי שיוכל להקפיד על מעקב ובקרה על החובות האמורים. מידע זה חייב להיות זמין בעת קבלת ההחלטות על מתן אישור ההיוון, ובכל מקרה יש להשתמש בו לקביעת תכנית גבייה של חובות אלו, לרבות קביעת יעדי גבייה תקופתיים. .__________________ .21 :דמי הסכמההסכום שעל מעביר הזכויות לשלם למינהל בגין עליית ערך הקרקע . 742 דוח שנתי61ב .חייבים: מדוח חייבים במערכת עכ"א של חובות דח"ש עולה כי ביולי 2010 היו 68,226 תיקים של49,014 חייבים. על פי הדוח, החוב הסתכם בכ-1.57 מיליארד ש"ח - סכום הגבוה ביותר מ-50% מחובות הדח"ש שצוינו בדוחות האחרים של המינהל (כמיליארד ש"ח). בין החובות היו "חובות מומלצים למחיקה" של כ-87 מיליון ש"ח. ב-283 תיקים לא צוין שם בעל הנכס והחובות שצוינו בהם הסתכמו בכשני מיליון ש "ח. נמצא כי דוח החייבים במערכת עכ"א כולל חובות שהושמטו בדוחות אחרים. כמו כן היו אי -התאמות בין הדוחות לבין הנתונים במערכת. העובדה שבשני מאגרי מידע של המינהל נמצאים נתונים שיש ביניהם הבדלים ניכרים בנוגע לסכו מי חובות הדח"ש מעוררת ספקות בנוגע למהימנותם. משרד מבקר המדינה העיר למינהל כי עליו לדאוג לכך שנתוני חובות הדח"ש הרשומים במאגריו יהיו זהים בכל המאגרים. עסקות המאושרות ב"מסלול ירוק" : עסקות המאושרות ב"מסלול ירוק" הן עסקות שוועדת עסקות מחוזית מעבירה לוועדת עסקות ארצית כיוון שאינן בסמכותה, או עסקות שהן בסמכותה אך היא מצאה לנכון להעבירן לוועדת העסקות הארצית. ועדת עסקות ב"מסלול ירוק" מטפלת גם במתן ארכה לתשלום של עד עשר שנים (כולל) לבנייה שאינה צמודת קרקע. הוועדה מתכנסת פעם בשבוע ומאשרת בממוצע 12 עסקות בפגישה- והחלטותיה אמורות להתפרסם במערכת מידע "החלטות". נמצא כי במערכת רשומות החלטות שהתקבלו בשבעה חודשים בלבד - מספטמבר 2008 עד מרס2009 - ומאז ועד מועד סיום הביקורת, אוגוסט2010 , לא נרשמו בה כל סיכומי החלטות. יצוין כי מאפריל 2009 ועד אוגוסט2010 התקבלו71 החלטות בנושא, שלא נרשמו במערכת. משרד מבקר המדינה העיר למינהל כי אי-רישום ההחלטות במערכת פוגע בבקרה ובפיקוח של ממלאי תפקידים במינהל שאמורים להיעשות לפי ההחלטות של ועדת עסקות ב"מסלול ירוק". יש להקפיד על רישום מדויק של ההחלטות ולהשלים את רישום ההחלטות שהתקבלו. אבטחת מידע במינהל התפתחות עולם המחשבים מאפשרת לאחסן בהם מידע רב. במערכת עכ"א נמצא מידע רב על נכסי המדינה ועל חוכריה, ואי-הקפדה על אבטחת המידע עלולה לגרום לפגיעה בנכסי המדינה ובזכויות החוכרים. היות שמאגרי מידע מכילים פרטים אישיים, עלולה להיגרם פגיעה בפרטיות האדם אם הנתונים נמסרים לאדם אחר, ולכן יש לאבטח את המידע. במערכות ממוחשבות המידע מאובטח בשתי שיטות מקבילות ומשולבות: אבטחה פיזית הכוללת פעולות שיש לבצע בחמרה ובתשתיות כדי למנוע פגיעה פיזית במאגר המידע, ואבטחה לוגית על ידי הפעלה של מנגנוני תכנה ייעודיים כמו שם משתמש וססמה המוזנים כתנאי כניסה למחשב. אמצעי בקרה מקובלים אחרים הם, בין היתר, הפרדת סמכויות; ניהול הרשאות גישה; הצפנת המידע וניתוק אוטומטי של מסופים כשאינם בשימוש. משרד הבינוי והשיכון 743 . עכ"אהיא מערכת מקוונת 22 הפועלת בכל המחוז ות ו משמשת לניהול עסקות ופעולות כספיות. במערכת מותקנים מאגרי מידע כמשמעותם בחוק הגנת הפרטיות, התשמ"א -1981 (להלן- חוק הגנת הפרטיות ), המכילים נתונים על זהותם של חוכרים, על זכויותיהם במקרקעין, על תשלומיהם ו על חובותיהם למינהל. נתונים אלה הם בחלקם בגדר "מידע רגיש" 23 כמשמעותו בחוק הגנת הפרטיות. לפי חוק הגנת הפרטיות אבטחת מידע היא "הגנה על שלמות המידע, או הגנה על המידע מפני חשיפה, שימוש או העתקה, והכול ללא רשות כדין". החוק מטיל על בעל מאגר המידע את החובה להגן עליו. אבטחת מערכת מידע כספית מקוונת אמורה גם למנוע טעויות או שימוש לרעה. ככל שגדל מספר המשתמשים במערכת, יש להגביר ולשכלל את אמצעי האבטחה שלה ואת בקרת הגישה אליה. כמו כן יש למנוע שימוש לא מורשה במערכת וחדירה לא מורשית אליה ולהתקין אמצעים לגילוי ניסיונות לפעולות כאלה. הממונים על הפעלת עכ"א חייבים להקפיד על יישום הוראות הדין והנהלים בעניין בקרה ואבטחה - על הגישה למערכת להיות מבוקרת כיאות כדי למנוע גישה לתכניות ולנתונים ממי שאינם מורשים לכך ; כדי להבטיח את תקינות פעולות המינהל והטיפול בלקוחותיו ולמנוע ניצול לרעה של המערכת הממוחשבת על ידי חיובים וזיכויים בידי מי שאינם מוסמכים לכך; כדי למנוע רישום לא נכון של זכויות בקרקעות ועוד. מנגנון פיקוח ובקרה ראוי חייב לכלול מחויבות לאיתור הליקויים ותיקונם בכמה שלבים - ביקורת, דיון בתוצאותיה, החלטה על אימוץ המסקנות וההמלצות, תיקון ליקויים ווידוא שאכן תוקנו. הכנת דוחות והזמנת מומחים מחייבת נכונות להשתמש במסקנות בדרך שתבטיח את שמירת המידע והגנתו. הביקורת העלתה כי מ - 1998 עד 2009 ,בדקו משרד מבקר המדינה היחידה לביקורת של החשכ"ל, יחידת הביקורת הפנימית במינהל וחברה א' את מערכת עכ"א בכלל ואת בקרת הפעולות בפרט, וכן את אבטחת המידע במינהל. הבודקים העלו ממצאים והמליצו המלצות, אך הנהלת המינהל לא יישמ ה את רוב ההמלצות ולא תיקנה את רוב הליקויים, ולמעשה - המצב במינהל לא השתפר. התמונה המצטיירת היא כי הושקעו במינהל משאבים רבים בביקורות חוזרות ונשנות, אך בממצאיהן נעשה שימוש מועט. להלן פרטים: סקר סיכונים על פי נוהל מפת"ח, נועד סקר סיכונים לזהות סיכונים לנכסי המידע ולמערכות המחשב של הארגון בהתבסס על איומים ידועים, על חולשות במערכות ועל אמצעי אבטחה קיימים. לאחר זיהוי הסיכונים מעריכים את השפעתם על ה דרישות העסקיות של הארגון מהיבטים של אמינות ( Integrity), חיסיון ( Confidentiality ( ) וזמינות Availability )של המידע. במסגרת התהליך נקבע סדר עדיפויות ( Prioritization ) של הנכסיםלפי ערכם העסקי ורמת .__________________ .22 ( מערכת מקוונת( On line - היא מערכת ממוחשבת שבה עיבוד התנועות מקוון, ז"א הן מעובדות ישירות בידי המשתמשים העובדים עם המערכת באופן אינטראקטיבי. .23 מידע רגיש - לפי חוק הגנת הפרטיות, מידע רגיש כולל "נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו" וכן מידע ששר המשפטים קבע בצו באישור ועדת החוקה חוק ומשפט של הכנסת שהוא מידע רגיש. 744 דוח שנתי61ב .ההגנה הנדרשת עליהם. סקר הסיכונים הכרחי להגדרת מדיניות אבטחת מידע התואמת את מטרות הארגון. בעקבות הדוחות של מבקר המדינה והדוח "בקרת פעילויות חריגות" שהכינה בשנת 1998 מנהלת האגף לביקורת פנים במינהל ובשל העובדה ש הטיפול באבטחת מידע במינהל לא נבחן תקופה משרד הבינוי והשיכון 745 . ארוכהבידי גורם חיצוני - החליט המינהל להתקשר בשנת 2000 עם חברה א' והזמין אצלה סקר סיכונים לאבטחת מידע. הסקר הוגש למינהל בדצמבר 2000 :. להלן ממצאיו העיקרייםאבטחת המידע במינהל מנוהלת באופן מבוזר בין גורמי התכנון, הביצוע והפיקוח; אין במינהל מסמך המגדיר את מדיניות האבטחה הנחוצה; לא מתקיים דו-שיח בנושא אבטחת מידע עם שאר גורמי המינהל, והוא נתפס כעניין טכני בלבד שהוא בתחומו הבלעדי של אגף מידע; הממונה על אבטחת המידע במינהל כפוף לראש אגף מידע ומטפל בנושאים שוליים ב תחום; האחריות לאבטחת המידע, לססמאות או להרשאות היא בידי איש המערכת (ה- System ;) איתור ורישום של חריגים (בקרת פעילויות) ככלי לגורמי ניהול במינהל אופיין ונכתב בידי אגף מידע בלבד; מרכיבי פיקוח ובקרה מחולקים על פי נוהל אבטחת מידע בין גורמים מקצועיים באגף מידע , קצין אבטחת מידע ומנהלי מחוזות; מנהלי המחוזות מתקשים להשתמש בכלי הפיקוח, ולפיכך רבים מהם מתעלמים ממנו; למרות שמאגרי המידע במינהל כוללים מידע רגיש, אין אחראי לטיפול בתרחישים שונים הדורשים כלים ממו חשבים ל אבטחת המידע לצורך הטיפול בהם. בעקבות הסקר המליצה חברה א' להנהלת המינהל לנקוט את הפעולות הבאות: הגדרת מדיניות לאבטחת מידע במינהל שתאושר ותאומץ על ידי הנהלתו; קביעת אחראי לאבטחת מידע שתהיה לו ה סמכות המתאימה ויסופקו לו האמצעים הנדרשים לביצוע תפקידו על פי יעדי אבטחת המידע שייקבעו במינהל; הרחבת אחריותו של קצין הביטחון גם לתחום של אבטחת מידע ושקילת האפשרות כ י האחריות להגדרת הדרישות, להכוונה ולפיקוח ובקרה תוטל עליו ; הגדרת פרויקט ליישום, פיקוח ובקרה על חריגים כדי לזהות מאפייני שימוש בלתי-מוסמך במערכות המידע ושיתוף המנהלים והעובדים המשתמשים במערכות בפרויקט זה; הגדרה מחודשת של האחריות והסמכויות של הגורמים הנוטלים חלק באבטחת מאגרי המידע ומערכות התקשוב במינהל בכל התחומים הרלוונטיים; ביצוע פרויקט ארגון ושיטות יחד עם מנהלי המחוזות שבו יוגדרו דרישות השימוש של בעלי התפקידים השונים במשאבי המערכת , ובהמשך - בניית מערך מעודכן של פרופילי משתמשים. הביקורת העלתה כי למרות הנחיצות שביישום המלצות חברה א ' לפעילותו התקינה והיעילה של המינהל - רובן לא יושמו. חלק ניכר מן הליקויים שצוינו היו קיימים גם בזמן הביקורת. עוד העלתה הביקורת כי מאז שנת 2000 לא עשה המינהל סקר סיכונים נוסף ולא נקבע אחראי לאבטחת המידע, כנדרש. . .מדיניות אבטחת המידע החלטת הממשלה24 בנושא "הקמת מערכות ממוחשבות" משנת1997 קובעת שתכנית העבודה של ועדת ההיגוי לענייני מחשוב בכל משרד תכלול, בין היתר, את קביעת מדיניות אבטחת המידע ; את ה סיווג ו המיפוי של "המידע הרגיש"; את אישור תכנית אבטחת המידע של המשרד ותקצובה ומעקב אחר יישו מה. המועצה המייעצת לביקורת ולאבטחת מידע שבאגף בכיר לביקורת המדינה וביקורת פנימית במשרד ראש הממשלה פרסמה בספטמבר 2005 "נוהל מסגרת .__________________ .24 /החלטה מס' בק9 מ- 20.3.97 . 746 דוח שנתי61ב .לאבטחת מידע" (להלן - נוהל המסגרת) שבו 38 נהלים ופירוטהעקרונות והכללים לאבטחת מידע במשרדי הממשלה. הוא כולל את הפרקים האלה: קביעת מדיניות ומיפוי מידע; הגורם האנושי ואבטחת המידע; אבטחה לוגית; משרד הבינוי והשיכון 747 . אבטחה פיזית; גיבוי, שחזור והתאוששות; אבטחת תקשורת ושימושי אינטרנט ואבטחת מידע במחשבים המנותקים מרשתות המשרד. נוהל המסגרת קובע כי על המנהל הכללי במשרד חלה אחריות כוללת להכנת "מסמך מדיניות לאבטחת מידע רגיש, מערכי מידע, שליטה ובקרה" ולפיקוח על יישום המדיניות שנקבעה. על הממונה על אבטחת המידע חלה אחריות להכנת מסמך המדיניות של המשרד (בהיוועצות עם מנהל מערכות המידע) אשר לא יגרע מהאמור בנוהל המסגרת, ולהבאתו לאישור ו לחתימה של המנהל הכללי. כל אחד מעובדי המשרד, ללא יוצא מהכלל, חייב לפעול על פי ההנחיות המפורטות במסמך המדיניות של המשרד ולפי נוהלי האבטחה המשרדיים הנגזרים ממנו. בפברואר 2008 פרסם מנהל המינהל דאז, מר יעקב אפרתי, "נוהל אבטחת מידע ממוחשב". בנוהל לא נקבעו ו עדת היגוי לאבטחת מידע ופורום אבטחת מידע. הביקורת העלתה כי המינהל לא קיים את מה שנקבע בהחלטת הממשלה בעניין אבטחת מידע. במינהל לא היה מסמך שבו הוגדרה מדיניות האבטחה הנחוצה מתוקפם של חוקים ותקנות להגנה על מערכי המ חשוב ולפי יעדי המינה ל בתחום זה; כמו כן לא נקבעו הגורמים האחראים לכך מבחינה ניהולית וביצועית ו הזיקה ביניהם, ולא נקבעו פורומים ניהוליים לקידום העניין. ה נוהל שפרסם המינהל קבע את ה גורמים האחראיים לאבטחת המידע, אך הוא אינו תחליף למסמך מד יניות. המינהל גם לא בנה תכנית אבטחת מידע מתוקצבת כנדרש. משרד מבקר המדינה העיר למינהל כי עליו להגדיר מדיניות לאבטח ת מידע שתובא לאישור הנהלתו ולעגנה בנוהל . יש לקבוע בה את יעדי אבטחת המידע ; את ה אחראים לה; סדרי פיקוח ובקרה ; מסגרות לדיון ופעולה כגון ועדת היגוי לאבטחת מידע. גיבוש המדיניות ויישומה אמורים להפוך את אבטחת המידע לחלק מהתרבות הארגונית של המינהל. מן הראוי שהמינהל יבחן לאמץ את נוהל המסגרת כנוהל מחייב לאבטחת מידע בהתאמות המחייבות. הממונ ה על אבטחת המידע החוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-1998 (להלן- חוק הסדרת הביטחון), מטיל חובה על גוף ציבורי למנות ממונה ביטחון האחראי במסגרת תפקידו לפעולות אבטחה אלה: "פעולות אבטחה פיזית" לרבות שמירה על רכוש; "פעולות לאבטחת מערכות ממוחשבות חיוניות" הכוללות את כל הפעולות הנדרשות לשמירה על המערכות הממוחשבות על המידע שנמצא בהן ופעולות למניעת פגיעה בהן; "פעולות לאבטחת מידע" לשם שמירה על מידע מסווג ומניעת פגיעה בו. חוק הסדרת הביטחון קובע כי גופים ציבוריים המנויים בתוספת השנייה ובכללם רשות מקרקעי ישראל 25 חייבים במינוי אחראי לאבטחת מערכות ממוחשבות חיוניות ולפיקוח עליהן. בשנת 2005 הוספה רשות מקרקעי ישראל לתוספת לחוק להסדרת הביטחון, ומכוח זה הוחלו עליה כללי שירות הביטחון הכללי (אבטחת מידע), התשס"ד-2004 , אשר קובעים את האחריות של ממונה הביטחון לפעולות אבטחה ואת סמכותו בעניין. .__________________ .25 בתיקון לחוק מינהל מקרקעי ישראל נקבע שהמינהל יהפוך לרשות מקרקעי ישראל אשר תבוא במקום המינהל. 748 דוח שנתי61ב .לפי נוהל המסגרת - לאבטחת מידע בגוף ציבורי אחראי "הממונה על אבטחת מידע", והוא הגורם המו סמך ליישום המדיניות בעניין במשרד. באחריותו של הממונה לבקר את הפעולות הממוחשבות משרד הבינוי והשיכון 749 . ,כדי לוודא שהמשרד עומד בדרישות לאבטחת המידע הנובעות מהחוקים מהתקנות ומהנהלים העוסקים בכך. בפברואר 2008 פרסם מנהל המינהל דאז "נוהל אבטחת מידע" (להלן- נוהל המינהל). מטרת נוהל המינהל הייתה לקבוע את הטיפול במידע ממוחשב כדי להבטיח את שלמותו ואבטחתו; למנוע שינוי, חשיפה, השמדה של נתונים או מסירתם ללא הרשאה במזיד או בשוגג; הסדרתה של העברת מידע ממוחשב לחברות הפועלות מטעם המינהל, ל גופים פרטיים ול גופים ציבוריים; הסדרת הטיפול בתיקון מידע על פי בקשת גופים ציבוריים ו קבלת המידע מהם. על פי נוהל המסגרת, הממונה הישיר על ממונה אבטחת המידע הוא מנכ"ל המשרד, המשנה למנכ"ל או הסמנכ"ל הבכיר למינהל. עוד נאמר בנוהל כי הממונה על אבטחת מידע רגיש (להלן - הממונה) מכוון את בעלי התפקיד ים ואת כל המשתמשים ליישום נוהלי אבטחת מידע רגיש ומערכי המידע. הוא לא יהיה כפוף מינהלית או מקצועית למנהל מערכות המידע בשל ניגוד עניינים של ממלאי שני התפקידים. הממונה יהיה במשרדו גורם מנחה מקצועי-אבטחתי הפועל על פי המדיניות של משרדו ונוהלי המסגרת של ו. הוא יהיה מוסמך לערוך ביקורות לבחינת יישום הנהלים האבטחתיים המחייבים ולקבוע אירועים ופעילויות מסוימים כ"חריגים אם יסכנו בפועל או בכוח את הניהול התקין של המשרד או את משק המדינה". בהתאם לנוהל המינהל, "מנהל אגף מידע אחראי על אבטחת ניהול מאגרי המידע .הממוחשבים ומערכות המידע של המינהל". על פ י הנוהל הממונה כפוף אפוא למנהל אגף מידע שאותו הוא אמור גם לבקר, ולא למנהל המינהל. משרד מבקר המדינה העיר למינהל כי הטיפול באבטחת מידע חייב להיות מחוץ לאגף המידע ולא באחריותו. אין להסכים שהאחראי לפעילות מערכות המידע יהיה אחראי גם לאבטחתן. על המינהל לפעול לתי קון הנוהל כדי להבטיח כי הטיפול בנושא אבטחת המידע לא יהיה באחריות מנהל אגף המידע במינהל. על פי נוהל המינהל, מנהל אגף מידע ימנה ״ממונה אבטחת מידע״, והוא אמור להכין תכנית רב-שנתית לשם כך; הוא אחראי שאבטחת המידע תהיה כמפורט בהוראות אגף מידע ולהדרכת עובדי המינהל והעובדים מטעמו למודעות לבעיות בתחום זה. הביקורת העלתה כי גם הנוהל שפרסם המינהל לא קוים: במבנה הארגוני של אגף מידע יש בתקן משרה של ראש "תחום בקרה, אבטחת מידע ומשימות מיוחדות", ואולם תפקידיו העיקריים של העובד המשובץ בה הם סיוע בהעסקת כוח אדם חיצוני באגף ו תיאום בין המינהל לבין גופים ציבוריים המעוניינים לקבל ממנו מידע על פי חוק חופש המידע, כך שלמעשה הוא אינו מטפל באבטחת מידע. בספטמבר 2005 העביר מנהל אגף בכיר לביקורת המדינה וביקורת פנימית במשרד ראש הממשלה למינהל שאלון על אבטחת מידע. בעקבות פנייתו כתב קב"ט המינהל למנהל המינהל דאז, מר יעקב אפרתי, כי " כיום אין ממונה אחראי על אבטחת המידע במשרד. העוסק בנושא היום הינו רכז תכניתנים ... אשר קיבל כתב מינוי על אבטחת המידע ממנהלת אגף מידע ...". עוד טען כי "לא קיימת הפרדת סמכויות בין אחראי על האבטחה לבין מנהל אגף מידע". באפריל 2010 מסר 750 דוח שנתי61ב .הקב"ט למשרד מבקר המדינה כי פנה שוב בנושא האמור למנהל המינהל, מר ירון ביבי, אך לא נענה. משרד הבינוי והשיכון 751 . משרד מבקר המדינה העיר למינהל כי מן הראוי שהנהלתו תמנה אחראי לאבטחת מידע, בעל הכשרה מתאימה בנושא, שזה יהיה עיסוקו העיקרי, והוא יהיה כפוף ישירות למנהל המינהל. העובדה שאין עובד שזה עיסוקו העיקרי בגוף שעוסק בעניינים כל כך רגישים ובטיפול בסכומי כסף עצומים - הוא בגדר מחדל של ממש. ניהול הרשאות גישה בסקר הסיכונים הציעה חברה א ' לבצע פרויקט שבו יוגדר ו דרישות השימוש במשאבי המערכת של בעלי התפקידים השונים כדי לבנו ת מערך מעודכן של פרופילי משתמשים, שיישמר בו עקרון המידור של משאבי המערכת על בסיס "הצורך לדעת" ( need to know ), כלומר לכל עובד תהיה גישה אך ורק למידע ולכלים שהוא זקוק להם בעבודתו. הביקורת העלתה כי המינהל לא דירג את התפקידים לצורך קביעת הרשאות גישה למערכת ולא קבע הגדרה של הרשאות לפי תפקיד. אגף מידע נוהג לתת לעובד חדש הרשאות גישה על פי בקשתו של מנהל המחוז, מנהל אגף או מי שהוסמך על ידם. התברר כי הרשאות הגישה ניתנות על פי הרשאות הגישה של עובד אחר במחלקה בלי לבדוק אם הן נחוצות לו. לדוגמה - עובדת במינהל מטעם משרד של רואה חשבון שתפקידה אינו כולל עיבוד נתונים אלא רק פיקוח, קיבלה ביולי 2009 .הרשאות נרחבות כמו אלה של מנהלת מדור בגזברות משרד מבקר המדינה העיר למינהל כי ההרשאות הניתנות לכל עובד צריכות להיות מותאמות לתפקיד שאותו הוא ממלא ובאישורו של הממונה עליו. להרשאות שמקבל עובד יכולות להיות השפעות מרחיקות לכת. לדוגמה: במינהל אין נוהל המפרט מי מהעובדים מוסמך לבצע שינויים בפרטי התיקים של המשתכנים במערכת "חוכרים", ולכן כל עובד יכול לבצעם; בעת פתיחת תיק ניתן לקלוט אותו במעמד של תיק מהוון ללא כל צורך במסמכים מבססים, דבר המאפשר להימנע מתשלום דמי חכירה שוטפים. היעדרם של כללים למתן הרשאות ואי-קיומה של בקרה תהליכית מאפשרים ל כל עובד בעל הרשאה לבצע פעולות העלולות להשפיע על זכויות החוכרים בנכס ועל חובותיהם למינהל. חשבונות מחשב 26: עקרונות של אבטחת מידע קובעים כי יש למחוק חשבונות שאין בהם שימוש, כדי למנוע את ניצולם לרעה. על המינהל לבדוק מי מבין בעלי חשבונות המחשב הפעילים פרשו מהמינהל ולבטל את חשבונותיהם. בידי המינהל אין נתונים מדויקים ומעודכנים על עובדים שפרשו ממנו. כמו כן נמצאו אי-דיוקים במועדי הפרישה הרשומים באגף האמרכלות. לצורך בדיקת בעלי ההרשאות קיבל משרד מבקר המדינה מהמינהל בשני מועדים שונים שתי רשימות של בעלי חשבונות מחשב שיש להם הרשאות פעילות, ומצא שלא הייתה חפיפה מלאה ביניהן: 58 בעלי חשבונות שהופיעו ברשימה א' לא .__________________ .26 חשבון מחשב - מכלול משאבי המחשב שהוקצו למשתמש. 752 דוח שנתי61ב .הופיעו ברשימה ב', ו-16 אחרים הופיעו ברשימה ב' ולא ברשימה א'. הדברמעיד על אי-אמינות הנתונים של בעלי ההרשאות. נמצא כי בין חשבונות המחשב הפעילים שהמינהל לא ביטל היו חשבונות של עובדים שלא עבדו בו כבר שנים, וביניהם עובד בכיר בעל הרשאות רבות במיוחד. משרד הבינוי והשיכון 753 . בתשובתה מנובמבר2010 הסבירה מנהלת אגף מידע, כי "במשך שנים אגף מידע ביקש לקבל מידע שוטף ולא צלח בידו. עובד אגף שהיה בודק רשימות כאלה פרש לגמלאות והתקן בוטל. כיום מערכת טפסים שהוקמה לדווח על קליטת/מעבר או עזיבה של עובדים ומיושמת מיולי 2007 ."אמורה לסגור את הפרצות בתשובתו מינואר 2011 הודיע מנהל המינהל, כי הנחה בנובמבר 2008 את הסמנכ"ל לאמרכלות, את מנהלת אגף מידע ואת הקב"ט לבטל את ההרשאות של עובדים ששינו את תפקידיהם, יצאו לחופשה ללא תשלום או פרשו. הביקורת העלתה כי הפרצות טרם נסגרו. משרד מבקר המדינה העיר למינהל כי הותרת הרשאות פעילות שניתנו בעבר לעובדים שפרשו היא בגדר פרצה בעייתית המחייבת מענה מ י די, מאחר שהרשאות אלו יכולות להיות מנוצלות שלא כדין. על המינהל לבדוק מי מבעלי החשבונות האמורים אינם עובדים במינהל, לבטל את חשבונו ולבדוק אם נעשו פעולות חריגות באמצעותם. על היחידה למשאבי אנוש, על האגפים ועל המחוזות להעביר לאגף מידע דיווח שוטף על עובדים שמפסיקים לעבוד כדי שחשבונותיהם ייסגרו מיד עם הפסקת עבודתם. יומן אירועים ( l o g f i l e): יומן אירועים הוא קובץ המתעד את כל הפעולות המקוונות שנעשו במערכת הממוחשבת כגון ניסיונות כניסה באמצעות ססמה לא תקפה, המסוף שבו נעשתה הפעולה, מועד הפעולה ופרטי המשתמש שעשה אותה כביכול. הוראות תכ"ם27 קובעות שמערכת המידע תרשום את כל ניסיונות הגישה הבלתי -מורשים. גם נוהל "אבטחת תוכנה ברשתות מקומיות" שבנוהל המסגרת קובע כי כדי להגביל את הכניסה למאגרי הנתונים ברשתות תקשורת מקומיות יש לנקוט צעדים וביניהם "תופעל אופציה של רישום LOG של כל הניסיונות הכושלים להיכנס למערכת כמפורט בנוהל 'מעקב ופיקוח לוגי' בו יירשמו: התחנה, הזמן והמשתמש". על פי נוהל המסגרת, מנהל רשת התקשורת יבדוק וינתח את יומני האירועים באמצעות כלים ממוחשבים מדי שבוע ויעביר את הממצאים החריגים מיד לממונה .על אבטחת המידע ולמנהל מערכות המידע. ה ממונה על אבטחת המידע, בתיאום עם מנהל מערכות המידע, יערוך בירור מידי לגבי הממצאים החריגים שאותרו וינקוט צעדים כנדרש. ממצאים המעידים על פעילויות חריגות שבוצעו בכוונה תחילה על ידי העובדים או בידי גורמי חוץ הפועלים במשרד - יועברו בדחיפות ובדיסקרטיות להנהלה ויטופלו טיפול משמעתי בהתאם. משרד מבקר המדינה בדק את רישום יומן האירועים והעלה שנתוני האירועים נרשמו ביומן אך ורק במערכות הישנות VMS) ), והמינהל שמר את היומנים במערכת במשך שלוש שנים; למינהל אין נוהל ואין אחראי לבדיקות של יומן האירועים. במער כות החדשות ( Windows ) כגון מערכות מינהליות ומערכת "כוכב" (עסקות) לא נרשם כל יומן אירועים. בעקבות הביקורת מאוגוסט 2010 מופעל יומן אירועים גם במערכות ה- Windows .אך גם אותו אין המינהל בודק .__________________ .27 "הרשאות כניסה למחשב- הוראת שינון" (הוראת שעה 95/13 כספי), בתוקף מ- .13.7.95. 754 דוח שנתי61ב .מנהלת אגף מידע מסרה למשרד מבקר המדינה, כי "אין נוהל מסודר לבדיקת יומני האירועים. צוות ה- SYSTEM מבצע מדי פעם בדיקה מדגמית. מפאת חוסר בכוח אדם הנושא לא נבדק באופן שיטתי". משרד הבינוי והשיכון 755 . משרד מבקר המדינה העיר למינהל כי הימנעות מבדיקה שוטפת של יומני האירועים עלולה לאפשר חדירה למערכות המידע של המינהל, לשימוש בנתוניה או לשיבושם. על המינהל לבדוק את ניסיונות הכניסה הכושלים למערכת, ובייחוד את הניסיונות שהוגדרו כפריצה, באמצעות יומני האירועים. כמו כן, עליו למנות אחראי לבדיקת היומנים, להוסיף נוהל לבדיקתם ולאכוף אותו, לעקוב אחר הפעולות הנעשות במערכת הממוחשבת ולנתח את מאפייניהן. מן הראוי שהמינהל יבצ ע מבדקי חדירה28 תקופתיים כדי להעריך את רמת האבטחה של המערכת, לזהות כשלי אבטחה ולאמוד את היכולת של תוקף פוטנציאלי למעול בכספיו או להסב לו נזק כלכלי או תדמיתי. השימוש בססמאות: תקן ישראלי 1495 , שכותרתו"אבטחת מערכות מידע ממוחשבות - שימוש בססמאות", קובע דרישות לססמת כניסה למערכת מידע ממוחשבת בהתאם לרמת האבטחה שנקבעה לה (בסיסית, בינונית או גבוהה). על פי רמת האבטחה , קובע התקן את אורך ססמת הכניסה (ארבעה עד שמונה תווים), את זמן היותה בתוקף (30 עד180 יום) ואת מספר ניסיונות הכניסה הכושלים הרצופים שלאחריהם תינעל הגישה של המשתמש למערכת ולמסופים (שלושה עד חמישה ניסיונות ). כמו כן קובע התקן שהרכב התווים בססמה יהיה שילוב של אותיות ומספרים. הביקורת העלתה כי במינהל נקבע שמספר התווים המזערי בססמת הכניסה יהיה ארבעה, לא נדרש בה צירוף של אותיות ומספרים, והתוקף שנקבע לכל הססמאות הוא 90 יום. הדרישות הללו נקבעו גם לפעולות שרמת האבטחה הנדרשת בהן גבוהה. משרד מבקר המדינה העיר למינהל כי מן הראוי שיקבע רמות אבטחה, ועל בסיס קביעה זו יגדיר את מספר התווים המזערי לכל ססמה, את הרכבה ואת תוקפה, כנדרש בתקן. הפרדת תפקידים: הביקורת העלתה, כי ע ובדים אחדים בתפקידי פיתוח ביצעו פעולות בסביבת הייצור 29 , בניגוד לעיקרון של הפרדת תפקידים. אחדות מהן הוגדרו במינהל כפעולות חריגות. . .חקירת משטרה במהלך שנת 2008 ניהלה היחידה הארצית למאבק בפשיעה הכלכלית במשטרת ישראל ביזמת הנהלת המינהל חקירה בנוגע לחשדות לעברות פליליות לכאורה הנוגעות לטוהר המידות של מספר בעלי תפקידים במינהל. לאחר סיום החקירה נמצאו ראיות למתן שוחד ולקבלת שוחד, למרמה, להפרת אמונים, ל הפחתת תשלומים המגיעים למינהל ולמתן אישורים שלא כדין לחוכרים. נמצא כי בביצוע חלק מהעברות נוצלה העובדה שלא התקיימה בקרה במערכת הממוחשבת. .__________________ .28 ( מבדקי חדירה Penetration Tests ) בוחנים את פוטנציאל הנזק העלול להיגרם לאתרי האינטרנט ולמערכות המידע ברשת הפנימית. .29 סביבת הייצור- סביבת הייצור הוא המחשב שעליו המערכת פעולת באופן שוטף, בשונה מסביבת הפיתוח, שהוא מחשב ואמצעים טכנולוגיים אחרים שאתם עובדים אנשי פיתוח (מתכנתים, מנתחי מערכות ועוד). 756 דוח שנתי61ב .בינואר 2011 מסרה משטרת ישראל למשרד מבקר המדינה כי "מבירור עם הפרקליטות עולה כי בתיקים שבנדון הוגשו כתבי אישום ונקבעו מועדים להוכחות". להלן דוגמאות שהועלו בחקירת המשטרה: 1. שינוי נתונים : היעדר בקרה מתאימה הביא לידי כך שנ יתן לשנות נתונים במערכת ללא כל קושי, בלי אישור של בעל תפקיד ובלי התרעת המערכת על שינוי של נתון קיים. לפיכך יכול כמעט כל פקיד במינהל לשנות נתונים כרצונו - ולעשות בעובדה זו שימוש לרעה. לדוגמה, בתיק משרד הבינוי והשיכון 757 . אחדשונה הסכום לתשלום בשובר דמי היוון: סכום החוב המקורי היה כ-205,000 ש"ח, אך לחוכר הונפק שובר חדש, והסכום לתשלום שנכתב בו היה 125,000 ש"ח. במקרה אחר שונו נתוני השטח הבנוי של נכס מ-376 מ"ר ל-298 ,מ"ר ולאחר מכן הופק שובר היוון לנכס על פי הפרטים המתוקנים כך שהסכום שהיה על החוכר לשלם היה נמוך בהרבה. 2. היעדר תיעוד ממוחשב על קבלת מסמכ ים: התברר כי מסמכים ותכניות המוגשים למינהל מוחתמים בחותמת ״נתקבל״ עם תאריך, ואולם לא תמיד מוחתם התאריך האמִתי . לדוגמה: בתיק מסוים שהגיע למינהל בשנת 2008 שונה התאריך בחותמת ותכניות הבנייה הוחתמו בחותמת עם תאריך משנת 2004. 3. פיקוח ובקרה : פקידים בדרגים שונים במינהל יכולים לבצע פעולות מהותיות, לרבות פעולות המשנות נתונים, בלי בקרה ופיקוח או ביקורת כלשהי על פעולותיהם. חקירת המשטרה הניבה את הדוגמאות הבאות: בתיק אחד היו נתוני נכס שהיו בו חריגות בנייה. עובדה זו הייתה אמורה למנוע הוצאת שובר היוון, אך למרות זאת הוצא השובר. כך היה גם בשני תיקים נוספים. בתיק אחר היו נתונים על שטח שבו נמצא מבנה בלתי-חוקי; החוכרים רצו לבנות במקום, והיתר הבנייה הותנה בפינוי המבנה הבלתי-חוקי או בהמצאת ערבות בנקאית. למרות שלא התקיים אף אחד משני התנאים האמורים, הונפק לחוכרים שובר תשלום עבור היתר הבנייה. בתיק של נכס אחר העביר החשוד זכויות בנכס לחוכרים, אף שבתיק חסרו המסמכים הדרושים להעברת זכויות (ייפויי כוח, אישורי מסים) וצוין שבשטח יש מבנה בלתי-חוקי. בתשובתו מנובמבר 2010 הסביר המינהל כי "המערכת לא מאפשרת ביצוע העברת זכויות אם חסרים מסמכים, אלא אם כן דיווח הפקיד על קבלתם". מממצאי החקירה ומתשובת המינהל עולה כי הענקת סמכויות רחבות לפקידי המינהל ללא בקרה ממוחשבת למניעת שינויים ללא פיקוח והיעדר תיעוד ממוחשב ופיקוח ובקרה של הדרג הניהולי - אפשרו או הקלו את כל החריגות שהועלו בחקירת המשטרה והביאו להפסד ים כספיים ניכרים למינהל. סביר להניח כי פעולות בקרה ממוחשבות היו יכולות למנוע את הפחתת דמי ההיוון ואת הוצאת היתר הבנייה ולהקשות את ביצוע שאר הפעולות החריגות. במאי 2009 הכינה היחידה הארצית למאבק בפשיעה הכלכלית מסמך המפרט את התובנות העולות מהחקירה בנוגע לכשלים קיימים; המסמך הוגש למנהל המינהל כדי שינקוט צעדים לצמצום האפשרות לביצוע עברות פליליות ואחרות במינהל. הכשלים העיקריים היו: "תוכנת מחשב המאפשרת שינוי נתונים משמעותיים ללא פיקוח והיעדר תיעוד ממוחשב למסמכים מתקבלים... קיומן של סמכויות משמעותיות לפקידי המינהל, והיעדר פיקוח וביקורת של הדרג הניהולי". במאי 2010 התקיים בלשכת מנהל המינהל דיון בעקבות החקירה. בדיון הציג מנהל המינהל, מר ירון ביבי, את נוהל סמכויות חתימה של המינהל הקובע את מספר החותמים בכל מקרה ומקרה, לפי גובה הסכום, ואת בעלי התפקידים הרשאים לחתום. מנהל המינהל ציין כי עובדי המינהל אינם מקיימים את דרישות הנוהל ובפרט את הדרישה של שני חותמים משתי מחלקות שונות - שאחת מהן היא החשבות. 758 דוח שנתי61ב .הביקורת העלתה כי המינהל לא נקט פעולות ממשיות לתיקון הליקויים והכשלים שהועלו במסמך התובנות של המשטרה. הנהלת המינהל אומנם קיימה כמה דיונים בנושא, ואולם הליקויים לא תוקנו. בפועל עדיין חשופים המערכות הממוחשבות של המינהל והמידע האגור בהן לטעויות, למעשים חריגים ולשימוש לרעה. לדעת משרד מבקר המדינה, על המינהל להפיק לקחים מהמקרים שציינה המשטרה, לקבל החלטות מעשיות לשינוי המצב ולתיקון הכשלים לאלתר ולפעול למימושן המידי כדי למנוע הישנות מקרים דומים. משרד הבינוי והשיכון 759 . בינואר2011 מסר מנהל המינהל למשרד מבקר המדינה, כי לאור לקחים מחקירת המשטרה הוא קיים דיון במאי 2010 ;שבו הורה על שורה של צעדים שיש לנקוט הודגשה ההנחיה לגבי נוהל סמכויות חתימה על חוזים והסכמים ומחודש יולי 2010 נחתמים החוזים כמתחייב מהנוהל; כל מעבר של עובד מתפקיד לתפקיד ידווח לאגף מידע כדי שיבוטלו הרשאותיו הישנות ועל מנהלי המחוזות לבצע בדיקה מדגמית של 10% .מהפעילויות מידי חודש . בפרק "אבטחת מידע במינהל" מתואר מכלול רחב של ליקויים בטיפול המינהל באבטחת המידע: אי-קביעת מדיניות של אבטחת מידע; אי -מינוי ממונה על אבטחת מידע הכפוף למנהל המינהל; אי-הקפדה על הפרדת סמכויות; ניהול ססמאות שלא בהתאם לרמת האבטחה הנדרשת במערכת כספית המנהלת מידע רגיש; ניהול הרשאות גישה בלתי-ראוי; אי-שימוש בנתוני יומן האירועים לצורך אי תור פורצים למערכת; היעדר פיקוח ובקרה על פעולות הפקידים; היעדר תיעוד ממוחשב של קבלת מסמכים ושל האסמכתאות עצמן; אפשרות לשנות נתונים בקלות רבה ועוד. ממצאים אלו מצביעים על כשל יסודי. לדעת משרד מבקר המדינה, על המינהל לנקוט בדחיפות את כל הצעדים הדרושים לתיקון הל יקויים ולמניעת טעויות או שימוש לרעה במערכת הממוחשבת. בנובמבר 2010 הודיע מנהל המינהל למשרד מבקר המדינה כי הוא "רואה חשיבות מרובה להפעלה תקינה של מערכות המידע, ועל כן יפעל לתיקון הליקויים שהתגלו בדוח". בינואר 2011 הוסיף מנהל המינהל כי "יש לערוך רוויזיה במער כות המידע של המינהל, ולכן נקט המינהל בפעולות שנקט". .סיכום .חלק גדול מהמערכ ות לניהול המקרקעין של המינהל הן מערכות מיושנות שפותח ו בשנות השמונים של המאה העשרים ולא חודשו מאז. בסיס הנתונים מיושן; יש קושי בהפקת מידע ניהולי מהן; אין בהן פעולות בקרה מובנות; יש קשיים בגיוס עובדים שבקיאים בטכנולוגיה המיושנת. כל אלה גורמים לליקויים רבים בשימוש המינהל במערכות המידע בעבודתו, במיוחד לשם בקרה. הביקורת שממצאיה מוצגים בדוח זה חושפת ניהול לקוי של מערכות המידע במינהל שעלול לפגוע בזכויות המדינה במקרקעי ישראל, בקופה הציבורית ובאמון הציבור. אופן הניהול של מערכות המידע עלול לפגוע בתשתית המידע שלפיה נקבעת המדיניות בנושא המקרקעין, בזכויותיהם של תושבי המדינה בשל גביית יתר וניהול לא תקין ובחובת הנאמנות של המינהל כלפי האזרחים. 760 דוח שנתי61ב .בשנים האחרונות עומדות על הפרק רפורמות שנויות במחלוקת בענ יין שימוש בקרקע חקלאית והפרטת קרקע. אלה עשויות להשפיע במידה ניכרת על עיצוב צביונה של המדינה ועל חיי אזרחיה ותושביה. כדי לקבוע מדיניות ולקדם רפורמות מערכתיות נחוץ בסיס מידע מדויק ואמין, ולכן חשוב מאוד שהמינהל ישפר את תשתית המידע שלו. משרד הבינוי והשיכון 761 . מ- 1998 עד 2009 בדקו מ שרד מבקר המדינה, היחידה לביקורת של החשב הכללי במשרד האוצר, יחידת הביקורת הפנימית במינהל וחברה א' את המערכות הממוחשבות של המינהל ואת אבטחת המידע בו. בבדיקות אלה הועלו ממצאים והוגשו המלצות, אך הנהלת המינהל לא יישמה את רוב ההמלצות ולא תיקנה את רוב הליקויים, ולמעשה - המצב במינהל לא השתפר. התמונה המצטיירת היא השקעת משאבים רבים בביקורות חוזרות ונשנות שבממצאיהן נעשה שימוש מועט. האחריות לקיום מערך מחשוב ומידע במינהל, המופקד על ניהול אלפי עסקאות בסכומי עתק, מוטלת על ראשיו. לכן על מנהל המינהל להיות מעורב באופן אישי בפעולות אשר יביאו לתיקון הליקויים שמצוינים בדוח: (א) הכנת תכנית -אב למחשוב שבה יפורטו מערכות המידע ומערכות התשתית הדרושות ל ו; (ב) השלמת אפיון מערכות הליבה ופיתוחן מחדש; (ג) הכנסת פעולות בקרה והתניות לביצוע פעולות במקרקעין; (ד) השלמת פיתוח מרכז המי דע בנושא חובות והפקת דוחות אמינים ומדויקים; (ה) קביעה שכל פעילות עסקית וכספית במערכת תבוצע בשני דרגים - גורם מבצע וגורם מאשר - ותיעודה במערכת לצורך בקרה; (ו) חקירת הסיבות לגידול במספר הפעולות החריגות במערכת, נקיטת צעדים לצמצומן, ניתוח הגורמים לכך ושכיחותם וקביעה מהן הפעולות החריגות שעליהן תקוים בקרה. על המינהל להכניס התרעות אוטומטיות על חריגים חמורים, על פי קריטריונים שייקבעו מראש. מן הראוי שהמסקנות והלקחים של דוח זה יילקחו בחשבון בעת תהליך האפיון של מערכות המידע במינהל שמתקיים מאוגוסט 2010.