משרד החינוך/מינהל תקשוב ומערכות מידע במשרד החינוך

 ♦ . .מבוא .מינהל תקשוב ומערכות מידע (להלן - המינהל) אחראי לתחום מערכות המידע במשרד החינוך (להלן - המשרד). המינהל הוא הגוף המופקד על ניהול תשתיות המחשוב, על הנתונים המערכתיים ועל שירותי המחשוב של משרד החינוך. מנהלת המינהל כפופה ישירות למנכ"ל המשרד. הוצאות המינהל בשנת 2007 היו כ-117 מיליון ש"ח. כ-77 מיליון ש"ח- 66% מהתקציב- הוצאו בתקנה תקציבית "שירותי מחשוב ויישומים", בעיקר עבור שירותי כוח אדם חיצוני. בשנת 2008 היה סך ההוצאות כ-133 מיליון ש"ח. כ-99 מיליון ש"ח- 74% מהתקציב- הוצאו בתקנה האמורה לעיל. הוצאות משכורת והוצאות נלוות של 46 ,עובדי מדינה שאף הם עובדי המינהל, אינן נכללות בהוצאות התקציב של המינהל, אלא בסעיפים אחרים שבתקציב המשרד. במאי 2009 הועסקו במינהל313 :עובדים46 עובדי מדינה ו-267 עובדי חברות כוח אדם, מהם 252 עובדים המועסקים במסגרת מכרזי בתי תכנה ו-15 בשיטת עלות בתוספת עמלה (+ COST ). העסקת עובדי כוח אדם חיצוני נעשית באמצעות 11 .חברות כוח אדם המינהל אחראי לאספקת שירותים למוסדות חינוך בתחומים האלה: 1 . פיתוח ותחזוקה של מערכות מידע, ובכללן: מערכת מידע לניהול בית ספר (להלן - מנב"ס), כלי פדגוגי לשימוש המורה (להלן - מנבסון), מערכות מרכזיות web-יות4 (כמו שיבוץ של מורים, מערכת דיווח נתוני שכר למורים עובדי מדינה - מדב"ס), תשתיות טכנולוגיות כמו רשת התקשורת המינהלית (קישורים), עמדות מחשבים למורים, תחזוקת מחשבים מינהליים ותשתיות מקומיות בבתי ספר, ומתן שירותי התקנה, הדרכה, תמיכה והטמעה של יישומים לבתי ספר. 2 . שירותים לעובדי הוראה, כגון שירותים ומידע אישי (צפייה בתלוש שכר, דוחות השתלמות) ותכניות לימודים. 3 ,. שירותים ומידע לקהלי יעד: מוסדות רשויות, תלמידים והורים. בחודשים פברואר -ספטמבר 2009 בדק משרד מבקר המדינה היבטים בניהול המינהל, ובכללם: תכנון תכנית העבודה ותקצובה; תפקוד ועדת ההיגוי לענייני מחשוב; סדרי העסקת עובדי חברות כוח אדם ובתי תכנה; הסכם השקעה חוזרת עם חברה; פרויקט מנב"ס ומנבסון ואבטחת המידע. הביקורת נעשתה במשרד .__________________ .4 .מערכות בעלות ממשק אינטרנט ובהן אוסף טכנולוגיות ויישומים שונים משרד החינוך 847 . החינוך, ובדיקות השלמה נעשו בבתי ספר, ברשות מקומית ובמשרד האוצר - באגף התקציבים ובאגף החשב הכללי (להלן - החשכ"ל). .תכנון תכנית העבודה ותקצובה .נוהל מפת"ח 5 (להלן- הנוהל) הוא נוהל מסגרת לטיפול כולל בניהול המחשוב בארגון, ובכלל זה בניית תכנית עבודה ליחידת המחשוב. על פי הנוהל, תכנית העבודה השנתית (להלן - התכנית) היא הבסיס והמסגרת לכל פעילות יחידת המחשוב ולתקצובה. התכנית בנויה על פי שני סוגי תקציבים: תקציב פיתוח לפי מערכות ותקציב תחזוקה לפי נושאים. הנוהל קובע כמה שלבים בבניית התכנית, ובהם: ריכוז הדרישות של המשתמשים; תמחור הדרישות; הגדרת הגורם האחראי לביצוען; בניית מסגרת תקציבית מפורטת לפי אותן דרישות; מעקב אחר ביצוע; מידע להנהלת הארגון; בקרות והתראות; סיכום תכנית עבודה שנתית. בנוהל נקבע כי "גורם הפיתוח האחראי לדרישה, יגדיר משימות לגורמים מבצעים עפ"י התמהיל התקציבי של הדרישה, לו"ז לסיום, והגדרת התוצרים והמוצרים של הדרישה. בתהליך זה מוגדרת לכל דרישה טבלת תכנון משימות עפ"י גורמים מבצעים. טבלה זו מהווה מסגרת בסיסית בתכנית העבודה". על המשתמש (יוזם הדרישה) להגדיר בין היתר את התועלת או החיסכון הצפוי ואת סדר העדיפויות לדרישות שהגיש. על פי הסדר הזה ינופו דרישות בסדר עדיפות נמוך עד שתיווצר התאמה בין היכולת לבצע משימות ובין התקציב הנתון. על הגורם המבצע להעריך את העלויות ולוח הזמנים לפי פירוט המרכיבים השונים, ולקיים מעקב אחר מצב המשימות על ידי השוואה של תכנון מול ביצוע בהיבטי לוח הזמנים, תקציב ותוצרים. גם הגורם האחראי לדרישה צריך לבצע מעקב אחר המשימות הנוגעות בה ולקבל דיווח על מצבן. עוד נקבע בנוהל: יש להגיש להנהלת ה משרד מידע ריכוזי המציג נתוני תכנון לעומת הביצוע; יש לקבוע אמות מידה לבקרה והתראה על חריגות תקציב ומצב משימות; יש להגדיר את תהליך סיכום התכנית בשני אופנים: הליך טכני, שבו תוערך יכולתם של גורמי הפיתוח לעמוד ביעדי התכנית באמצעות השוואת התכנון לביצוע לפי מדדים שיוגדרו על ידי גורמי הנהלה, והליך חשיבתי להערכת ההון האנושי שיידרש נוכח פערי היכולת הקיימים בתהליכי היישום והטכנולוגיות הצפויות. הביקורת העלתה שאין בידי המינהל נתונים כספיים על העלות של כל פרויקט ומשימה, ולכן גם אין אפשרות לקבל את העלות המצטברת לכל פרויקט ומשימה. הביקורת מצאה שתהליך בניית תכנית העבודה לא .__________________ .5 נוהל מפת"ח (מסגרת פיתוח ותחזוקה) הוא נוהל מסגרת לטיפול כולל בניהול המערכת הממוחשבת בארגון הן ברמת הפרויקט והן ברמת הארגון בכללותו. הממשלה החליטה שהנוהל יחול על כל המערכות הממוחשבות הממשלתיות, על מערכות שהמשרדים מפתחים בכוחות עצמם, ועל מערכות הנבנות בידי גו רמי חוץ (ספקי חומרה ותכנה). בדיקת משרד מבקר המדינה התבססה על מהדורה 8.0 של נוהל מפת"ח שפורסמה בשנת 2006 . 848 דוח שנתי60ב .נעשה על פי הנדרש בנוהל: אין חלוקה בין מערכות לתחזוקה ומערכות לפיתוח (כך גם בתקציב המינהל); אין הערכות תקציביות לפי דרישות; אין ניפוי דרישות לפי סדרי עדיפויות; אין גיבוש מסגרת תקציבית מפורטת לפי דרישות; לא תמיד נעשית בדיקה של עלות-תועלת בהשוואה לחלופות; לא מתקיים דיון עם הנהלת המשרד בעניין חריגות בביצוע המשימות וסיכום התכנית. בתשובת המשרד מדצמבר 2009 נמסר כי כל הפעילויות של המינהל מסווגות למשימות. עוד נמסר כי במינהל נאספים ומתועדים כל נתוני העלות במונחים של חודשי אדם המושקעים בכל פרויקט ומשימה, וניתן לבצע הערכת עלות עבור כל פרויקט, וכי קיים תיעוד המפרט כמה זמן נמצאת כל מערכת בפיתוח וכמה זמן היא נמצאת בתחזוקה. לעניין הקשר שבין הנהלת המשרד למינהל צוין כי הדיון עם ההנהלה נעשה בדרך כלל במסגרת "מרתון תקציבי", וכי לפני כשנה הוקם מינהל התכנון במשרד החינוך בהתאם למתודולוגיה שקבע משרד ראש הממשלה, ומועברים אליו דיווחים ותכניות עבודה בהתאם לדרישותיו. המשרד הוסיף שהמינהל מדווח להנהלה כנדרש ולפי בקשתה, וכי ההנהלה מקיימת מעקב אחר דיווחים אלה ואחר משימות המינהל בהתאם לשיקול דעתה. משרד מבקר המדינה מעיר שהפעילויות המתוארות בתשובת המשרד אינן עולות בקנה אחד עם אלו הנדרשות על פי הנוהל. כתוצאה מכך הנהלת המשרד אינה מקבלת דיווח מפורט על התמורה בעבור התקציב שהיא מקציבה למינהל. .ועדת ההיגוי לענייני מחשוב .החלטת הממשלה 6 משנת 1997 קובעתשמנכ"ל של כל משרד ממשלתי ימנה ועדת היגוי לענייני מחשוב (להלן - הוועדה), שתפקידיה בין היתר הם: הנחיית פעילות המחשוב והתקשורת; גיבוש סדרי תכנון, בקרה ופיקוח על פיתוח ורכש מערכות מידע במשרד; גיבוש תקציבים, תפיסות מחשוביות לעבודת המשרד, סדרי קדימויות ואבטחת מי דע. בראש הוועדה יעמוד מנכ"ל המשרד או הסמנכ "ל למינהל, וחבריה יהיו מנהל אגף מערכות מידע במשרד, קצין הביטחון, היועץ המשפטי, חשב המשרד, המבקר הפנימי, קצין התקציבים, והממונה על אבטחת מידע רגיש במשרד ראש הממשלה. הוראת תכ"ם (תקנון כספים ומשק, מטעם החשב הכללי)7 , אשר הייתה בתוקף עד אוגוסט 2008 (ושאינה מופיעה בתכ"ם החדש), קבעה שלא יאוחר מ -31 במרס בכל שנה יוגשו לחברי הוועדה המסמכים האלה: הצעה לתכנית עבודה שנתית לשנה הבאה ודוח על התקדמות המיזמים שאושרו על ידי הוועדה בשנה הקודמת, שלהם יהיה אחראי מנהל מערכות המידע של המ שרד; דוח ביצוע התקציב של השנה הקודמת (בסעיפי המחשוב), שלו יהיו אחראים חשב המשרד וקצין .__________________ .6 /החלטה בק9 מ- 20.3.97. 7 הוראת שעה 05.04.02 מאפריל 1998. משרד החינוך 849 .התקציבים. הוועדה תדון בהצעה ותמליץ על תכנית מחשוב, והיא תובא לאישור אגף התקציבים במשרד האוצר. תכנית זו תוגש לאגף התקציבים לא יאוחר מ-30 ביוני בכל שנה. הביקורת העלתה שאמנם הוקמה ועדת היגוי שבה משתתפים הסמנכ"ל למינהל ולמשאבי אנוש (כיו"ר), חשב המשרד, מנהלת המינהל, המבקר הפנימי ואחרים, אך הוועדה אינה ממלאת את מכלול תפקידיה, והיא דנה רק בנושאים הנוגעים לאבטחת מידע. במכתב שכתבה מנהלת המינהל אל מנכ"לית המשרד במאי 2005 היא הציעה להרחיב את תפקידיה של ועדת ההיגוי הקיימת ולהסמיכה לטפל בכל נושאי מערכות המידע. לפי המכתב, תפקידיה של הוועדה יהיו לקבוע מדיניות, לאשר את תכנית העבודה השנתית ולקבל דיווחים על ביצוע בשנה הקודמת. באוקטובר 2005 הודיעה עוזרת המנכ"לית למנהלת המינהל, לחשב המשרד ולסמנכ"ל מינהל לכלכלה וכספים שהמנכ"לית החליטה על צירוף שני יועצים חיצוניים לוועדה. הביקורת העלתה שההחלטה לא בוצעה. מהאמור לעיל עולה כי עד מועד סיום הביקורת לא פעל המשרד לפי החלטת הממשלה, אשר ייעדה לוועדה תפקידים מרכזיים. מן הראוי שנוסף על העיסוק בנושאי אבטחת המידע, תעסוק הוועדה בשאר התפקידים שהוטלו עליה ובכלל זה תקבע את מדיניות המשרד בנושא המחשוב, תאשר תכנית עבודה שנתית ורב-שנתית, תקבע סדרי עדיפויות למיזמים, תעקוב אחר התקדמות המיזמים שאושרו בתכנית, ותאשר את תקציב המחשוב. נוכח פעילותה המצומצמת של הוועדה, ולמרות היקפי התקציב הניכרים המושקעים במחשוב, יוצא שהנהלת המשרד אינה מפקחת על התוצרים שמתקבלים עבור השקעה כל כך גדולה. מן הראוי גם שמנכ"ל המשרד יבחן את האפשרות למנות יועצים חיצוניים לוועדה, כפי שהוחלט בשנת 2005 . לדעת משרד מבקר המדינה, מן הראוי שהחשב הכללי יחדשאת תוקפה של הוראת התכ"ם בנושא ועדת היגוי למחשוב ויעקוב אחר ביצועה המלא. .סדרי העסקת עובדי חברות כוח אדם ובתי תכנה .1. :הסדרים לרכישת שירותי כוח אדם אגף החשכ"ל פרסם בראשית שנות ה- 2000 מכרזים לרכישת שירותי כוח אדם מקצועי למיזמי מחשוב של הממשלה (להלן - עובדים חיצוניים). העסקת רוב עובדי המינהל נעשית אפוא באחת משתי דרכי התקשרות עם עובדים חיצוניים שקבע החשכ"ל: (א) באמצעות חברות כוח אדם בשיטת עלות בתוספת עמלה (+ COST .) (ב) באמצעות בתי תכנה בדרך של שעות עבודה במקצועות של טכנולוגיית המידע והתקשוב. 850 דוח שנתי60ב .באוגוסט 2002 , בעקבות המכרז בשיטת עלות בתוספת עמלה (+ COST ), פרסם החשכ"ל הוראת שעה 8 ובה רשימה של עשר חברות כוח אדם שזכו במכרז לאספקת שירותי כוח אדם במקצועות המחשוב. בהוראה נקבעו הנחיות לתשלום שכר לעובדים במקצועות המחשוב וטבלת שכר, וצוין בה שהשכר החודשי לעובד הוא השכר המרבי שייקבע על ידי מנהל המחשוב הראשי של המשרד הממשלתי, ושמורה לו הזכות לקבוע שכר נמוך יותר מהשכר המצוין בטבלה. מקצועות המחשוב (וטכנולוגיות המידע) חולקו לשישה תחומים, ובכל תחום נקבעו שלוש רמות שכר לפי כישורי העובד ותפקידו. על פי הוראת השעה חולקו עשר החברות שזכו במכרז לשתי קבוצות (קבוצה א' וקבוצה ב'), ונקבע עם איזו קבוצה יעבוד כל משרד ממשלתי. בהוראה נקבע שהמשרד יעבוד עם החברות שבקבוצה א', וכי "בכל המקרים בהם המשרד ידרוש לקבל שירותים הנכללים בהוראת שעה זו מעובד שהמשרד בחר בו מראש, יבקש זאת המשרד מספקי 'הקבוצה הקבועה' בסבב מחזורי, לפי הסדר ברשימת הקבוצה הקבועה, כדי שמספר העובדים המסופקים על -ידי כל אחד מהספקים שבקבוצה הקבועה יהיה שווה. כך ייעשה גם כאשר שירותי העובד עוברים מספק קיים". הביקורת העלתה שבניגוד להוראת השעה, אשר קובעת שעל המשרד לעבוד רק עם חברות השייכות לקבוצה א', המשרד עובד עם חברה מקבוצה ב'. הביקורת אף העלתה כי כל העובדים שהמשרד מעסיק לפי שיטת עלות בתוספת עמלה מועסקים באמצעות חברה מקבוצה ב', בניגוד להוראת החשכ"ל, וכי היקף ההתקשרות עמה בשנת 2008 היה כ- 5.2 .מיליון שקלים בתשובה על שאלת משרד מבקר המדינה – "מדוע כ ל העובדים בשיטת עלות בתוספת עמלה מועסקים באמצעות חברה שאינה נמנית עם הקבוצה שעמה רשאי המשרד לעבוד?" - הציג המשרד את דף הפרסום של הוראת השעה עם רשימת החברות שאושרו למשרדי הממשלה, ובו הוספו בכתב יד ובחתימתו של חשב המשרד דאז שלוש חברות שאינן שייכות לקבוצה שהמשרד רשאי לעבוד עמה, ובהן החברה הנזכרת. בתשובתו למשרד מבקר המדינה מנובמבר 2009 הודיע חשב המשרד דאז שהכללת החברה בקבוצת הספקים נעשתה "אך ורק לאחר התייעצות אשר נתן את אישורו המפורש לעבודה מול ]דאז[ עם סגן החשב הכללי חברה זו". יצוין כי חשב המשרד לא צירף כל אסמכתה התומכת בטענתו. יוצא אפוא כי חשב המשרד דאז חרג מסמכותו בכך שהוסיף ספקים לרשימה והתיר למשרד להתקשר עם חברה שלא נמנתה עם הקבוצה שהמשרד אמור היה לעבוד עמה על פי הוראת השעה. השינוי שהוכנס אינו תקין ופוגע בעקרונות יסוד של שקיפות ושוויון בין ספקים. 2. בקרה על נוכחות העובדים: בדיון שהתקיים אצל מנכ"לית המשרד דאז, גב' רונית תירוש, במרס 2005 טען חשב המשרד דאז שעובדי החברות מחתימים כרטיס ואינם מבצעים את עבודתם. מנהלת המינהל טענה שאין לה אפשרות .__________________ .8 הוראת שעה משקי 2002/40. משרד החינוך 851 . לבדוק כל עובד ועובד. היא הוסיפה במכתב למנכ"לית שכל העובדים נדרשים להחתים כרטיס בשעון נוכחות, והפיקוח על כך נעשה בדרך המקובלת במשרדי ממשלה. בדיון נוסף שהתקיים במאי 2005 הוחלט שהחשב יגבש הצעה כיצד ניתן לקיים בקרה על נוכחות העובדים. מועד היעד למימוש ההצעה נקבע ליוני 2005. התברר כי מאז ובמשך כארבע שנים הנושא לא טופל. בספטמבר 2008 פנה המשרד לספק תכנה בדרישה לכתיבת מודול (בתכנה הקיימת להחתמת כרטיס בשעון הנוכחות) לביצוע מעקב אחר משימות העובדים, עם אפשרות להזנת תכנון חודשי של שעות לכל עובד. פיתוח התכנה לא הסתיים עד מועד סיום הביקורת, בספטמבר 2009 . בתשובת המשרד מנובמבר 2009 הודיעהמנהלת המינהל שמודול התכנה מצוי בשלבי פיתוח אחרונים, והטמעתו בקרב העובדים צפויה להתבצע בתוך כשישה חודשים. בביקורת נבדק מדגם אקראי של כרטיסי שעון נוכחות של עובדים חיצונים, ובו נכללו גם עובדים בשיטת ה עלות בתוספת עמלה (רשימה תקפה ל - 22.7.09 .) הביקורת העלתה של-4 מ-21 עובדים שנכללו במדגם אין כרטיס נוכחות. התברר כי עובדים אלה מדווחים באופן ידני, וכי על פי דיווחים אלה שכרם משולם. בתשובת המשרד מנובמבר 2009 הודיעה מנהלת המינהל כי "כל ארבעת העובדים האמורים עוסקים בהכנת משימות מוגדרות והבקרה על עבודתם נעשית מידי חודש ב חודשו על ידי האחראי מטעם המשרד המפקח על התפוקות ועל התוצרים של עבודתם, ומאשר את התשלום בגינם". לדעת משרד מבקר המדינה, מן הראוי שהמשרד יוודא לאלתר כי לכל עובד חיצוני יש כרטיס נוכחות, וכי שכרם ישולם אך ורק על פי דיווח באמצעות כרטיס נוכחות המוחתם בשעון נוכחו ת. יודגש כי החשכ"ל וחשב המשרד הצטרפו לעמדה זו כפי שעולה מתשובותיהם למשרד מבקר המדינה מנובמבר 2009 , שבהן הם כתבו כי יש להחתים את ארבעת העובדים האמורים לעיל על דוח משולב של שעון נוכחות ודיווח ידני, שיאושר על ידי מנהלת המינהל ויצורף לחשבונות המוגשים לתשלום על ידי חברות כוח האדם. 3. :הענקת סמכויות לעובדים חיצוניים בנוהל שפרסמה נציבות שירות המדינה נקבע כי "קבלן או עובד חברת כ"א המועסק על ידי משרד לא יהיה מעורב בפעולות הביצוע הייעודיות של המשרד; הוא לא ישתלב בהיררכיה של המשרד ולא יעביר הוראות לעובדים אלא באמצעות הנהלת המשרד או על ידי עובד אחראי שנקבע לכך... הוא לא ייצג את המשרד כלפי חוץ ולא ישתמש בניר הרשמי של המשרד לצרכי התכתבות"9 . הביקורת העלתה שהמינהל מתנהל ללא הגדרה פורמאלית של בעלי התפקידים בו, סמכויותיהם, אחריותם וכפיפותם. בהיעדר הגדרת תפקידים ביקש משרד מבקר המדינה הסבר על המבנה הארגוני של המשרד והתפקידים הכלולים בו, .__________________ .9 'הודעה מס48 /נב של נציבות שירות המדינה מיולי 1992 . 852 דוח שנתי60ב .והעלה שמבין 13 ממונים שהשתלבו בהיררכיה של המינהל, שלושה הם עובדים חיצונים: האחראית על התשתיות; מנהל משאבים, רכש ותקצוב; האחראית על פעולות התקשוב במערכת החינוך. יצוין כי בנוסף על כך שסמכויות ניה ול ניתנו לעובדים חיצוניים בניגוד לנוהל, לא הובהרו החובות המשפטיות הקשורות בתפקידיהם של העובדים החיצוניים, לרבות חובות הנובעות מדינים החלים על עובדי מדינה. העובדים החיצוניים שולבו היטב בעבודת המשרד, וכבעלי תפקידים בכירים מרוכז בידיהם ידע מקצועי שהיה אמור לה יות בידי המשרד. 4. :העסקת עובדים בתפקידים מינהליים בביקורת עלה ששני עובדים חיצוניים הוצבו בתפקידי מטה ועסקו בעניינים מינהליים: מנהל משאבים, רכש ותקצוב וכותב מפרטים טכניים למכרזים. יצוין כי על פי הוראות השעה, מטרת ההתקשרות עם חברות כוח אדם ובתי תכנה הייתה לקבל שירותי עובדים במקצועות המחשוב וטכנולוגיית המידע, אך המינהל הפר הנחיות אלה והעסיק באמצעות אותן חברות עובדים בתפקידים מינהליים בתנאי שכר שנקבעו לעובדי מחשוב. משרד מבקר המדינה כבר העיר על כך בדוחות ביקורת קודמים בנושא 10 , אך הדבר טרם תוקן. .עלויות רכישת שירותי מחשוב .1. הוצאות על עובדים חיצוניים: על פי הנתונים שמסר המינהל, ההוצאה בגין רכישת שירותי כוח אדם חיצוני הייתה בשנת 2008 כ-82.4 מיליון ש"ח, שהם כ-62% מהוצאות המינהל לאותה שנה, שהיו כ -133 מיליון ש"ח. במאי 2009 העסיק המינהל267 )עובדים (חלקם במשרה חלקית באמצעות חברות כוח אדם ובתי תכנה, בעלות חודשית של כ-7.9 מיליון ש"ח. כמו כן העסיק המינהל 46 עובדי מדינה (שכרם של עובדים אלה לא נכלל בסכומים שפורטו לעיל). בטבלה שלהלן מובאים נתונים על עלויות ההעסקה של העובדים החיצוניים במאי 2009: % מסך העובדים מספר עובדים עלות בש"ח .__________________ .10 ,מבקר המדינהדוח שנתי 46 ( 1996 ), בפרק "מערכות מידע ממוחשבות לניהול בתי ספר", עמ' 382 ; דוח שנתי 47 ( 1997 ), בפרק "כוח אדם באגף למיכון ולמערכות מידע", עמ' 356 ; ודוח שנתי 52 ב ( 2002 '), בפרק "התקשרויות של מינהל תקשוב ומערכות מידע", עמ682. משרד החינוך 853 .3 9 עד 10,000 .11 30 בין 10,001 ל- 20,000 .40 107 בין 20,001 ל- 30,000 .33 87 בין 30,001 ל- 40,000 .9 23 בין 40,001 ל- 50,000 .3 8 בין 50,001 ל- 60,000 .1 3 בין 60,001 ל- 70,000 .100 267 סה"כ . במאי 2009 הייתה העלות לעובד של העובדים החיצוניים גבוההביחס לזו של עובדים בכירים בשירות המדינה. עלות השכר של כמעט כמחציתם - כ-120 , הייתה מעל ל- 30,000 ש"ח; העלות לעובד של11 עובדים הייתה 50,000 - 70,000 .ש"ח 2. :ותק של העובדים החיצוניים זה שנים לא נוספו במערכת הממשלתית תקני כוח אדם בתחומי המחשוב. העסקת עובדים ב אמצעות מכרזי כוח אדם בתחומי המחשוב נועדה לזכות בגמישות ניהולית ולנצל כוח אדם מקצועי בתחום על ידי גיוס עובדים מקצועיים לפרקי זמן קצובים בלי להופכם לעובדים קבועים. הביקורת העלתה שחלק מהעובדים במינהל, בהם עובדים שעלות שכרם גבוהה מאוד, מועסקים כבר שנים רבות. ל הלן טבלה המראה את התפלגות הוותק במינהל של העובדים החיצוניים (על פי נתוני חודש מאי 2009:) % מסך עובדים מספר עובדים ותק 19 51 עד שנה 12 32 שנה-שנתיים 23 62 3-5 שנים 26 69 6-10 שנים 20 53 מעל10 שנים 100 267 סה"כ מנתוני המשרד ומהטבלה עולה שכמעט מחצית מהעובדים החיצוניים ( 46% ) מועסקים במינהל יותר מחמש שנים, מהם53 ( עובדים20% ) מועסקים מעל עשר שנים, מתוכם חמישה עובדים מועסקים יותר מעשרים שנה. 55 מ-187 עובדים חיצוניים שעבדו במשך כל שנת 2008 דיווחו על יותר מ -180 שעות חודשיות בממוצע, ומהם 15 עובדים דיווחו על 200 .שעות חודשיות בממוצע ויותר לדעת משרד מבקר המדינה, נוכח עלויות השכר הגבוהות מאוד של כמחצית מהעובדים החיצוניים, ונוכח אי-ניצול יתרון הזמניות שבהעסקת 854 דוח שנתי60ב .העובדים החיצוניים, על הנהלת המשרד ונציבות שירות המדינה לבחון דרך יעילה לניהול פרויקטים של מחשוב במינהל, ובכלל זה את מתכונת ההעסקה של העובדים החיצוניים. בתשובת המשרד מנובמבר 2009 הודיעה מנהלת המינהל כי תפיסת מכרזי כוח האדם אכן נעשית במטרה לזכות בגמישות ניהולית, וכי מרבית עובדי המחשוב כיום הם עובדים חיצוניים מכיוון שבמשרדי הממשלה קיימת זה 15 שנה הקפאה של מצבת כוח האדם ביחידות המחשוב, סוגיה המצויה בדיונים בין החשכ"ל, אגף התקציבים, היחידה להסכמי שכר במשרד האוצר ונציבות שירות המדינה. עוד נאמר כי פרישה ותחלופה מסיבית של עובדים מקצועיים עלולה לשתק את פעילות מערכות המחשוב, ושימור העובדים המקצועיים שהם בעלי ותק והיכרות מעמיקה עם מערכות המשרד מאפשר למינהל לשמר את הידע ולהפעיל מערך שירותי מחשוב ביעילות רבה יותר, תוך חיסכון בעלויות, וכי סעיפים אלה הוכנסו למכרזים על מנת לשמור על האינטרסים של משרדי הממשלה בשימור עובדים, והם מגובים בהוראות תכ"ם. יצוין כי טענתה של מנהלת המינהל אינה עומדת במבחן המציאות, בין היתר נוכח עלויות ההעסקה הגבוהות של העובדים החיצוניים, משך הזמן שבו הם מועסקים במינהל, והעובדה שהחובות המשפטיות הקשורות לתפקיד וחלות על עובדי מדינה אינן חלות עליהם. כמו כן הידע המקצועי האמור להיות מרוכז בידי המינהל מצוי בידי העובדים החיצוניים, דבר שלכאורה עשוי להפוך את המינהל ל"לקוח שבוי", ומחייב הסדרה דחופה של סוגיית חלוקת התפקידים בין עובדי מדינה ועובדים חיצוניים ותקנון ליבה ניהולית של עובדים ביחידות המחשוב במשרדי הממשלה. מן הראוי שמשרד האוצר ונציבות שירות המדינה יסיימו את עבודת המטה בנושא, וכי ייקבעו ויאוישו התקנים הנדרשים להסדרת הנושא. 3. :ממצאי בדיקה חיצונית בדצמבר 2004 הגיש יועץ מחשוב דוח ביניים על ביקורת שעשה במינהל על פי בקשת חשב המשרד דאז. במסקנות הביקורת הנוגעות לעבודה של חברות כוח אדם חיצוני נאמר שההוצאות בגין עובדים חיצוניים הן ההוצאות העיקריות בתקציב המינהל - כ-60% מהתקציב השנתי. עוד נטען בדוח כי "אין כל הצדקה, להעסקה של מעל 50 עובדי חברות ברמה1 ו-2 ." .רמות אלה הן רמות השכר הגבוהות ביותר מבין שש רמות השכר במכרז החשכ"ל בתגובתה על דוח הביניים מסרה מנהלת המינהל במרס 2005 למנכ"לית המשרד דאז, גב' רונית תירוש, כי "הפער בין המחירים המרביים של הספקים מצביע על כך שאין טעם להתייחס לרמות אלא למחירים המוצעים". משרד מבקר המדינה מעיר כי בפועל יש פערים משמעותיים בין התעריפים ברמות השונות. בתשובת המשרד מנובמבר 2009 הודיעה מנ הלת המינהל כי תשובתה למנכ"לית התבססה על נתונים שהיו נכונים לשנת 2004 , שבה קיבל המשרד הנחות ניכרות מארבע חברות, אך הנחות אלה כבר בוטלו. היא הוסיפה כי המינהל עושה מאמץ לצמצם את מספר העובדים ברמות השכר 1 ו-2 ., שהן כאמור רמות השכר הגבוהות ביותר לדעת משרד מבקר המדינה, המינהל אינו עושה די לצמצום מספר העובדים ברמות השכר האמורות לעיל, ומצב זה עדיין נמשך. מן הראוי משרד החינוך 855 . שהמינהל ינקוט צעדים ממשיים לתיקון המצב, שטומן בחובו הוצאות ניכרות לאוצר המדינה. . . נמצא שהעובדים החיצוניים שולבו היטב בעבודת המינהל, בידיהם מרוכז ידע מקצועי שהיה אמור להיות בידי המינהל, עלויות ההעסקה שלהם גבוהות מאוד, והעסקתם אינה ארעית. הביקורת העלתה שחלק מהליקויים הועלו כבר בביקורות קודמות של משרד מבקר המדינה במשרד החינוך. לדעת משרד מבקר המדינה, על הנהלת המשרד לבחון ללא דיחוי וביסודיות מהי הצורה הנאותה לנהל פרויקטים של מחשוב בהיבטי עלות, יעילות, תכליתיות, תקינות, ושמירה על מאפיינים ייחודיים של ליבת העבודה של המינהל. .הסכם השקעה חוזרת עם חברה .במאי 2004 'נחתם הסכם בין המשרד ובין חברה א לשכירת רישיונות תכנה וזכות לשדרוגן עבור כל מערכת החינוך ( School Agreemen t ,). ההסכם נחתם לחמש שנים בעלות כוללת של כ-53 'מיליון ש"ח (לא כולל מע"מ). בהסכם התחייבה חברה א להעמיד לרשות המשרד תקציב של כ-2.3 מיליון דולר לתקופה מרבית של חמש שנים, להשקעה חוזרת, לשיפור תשתיות התקשוב במערכת החינוך. היקף התקציב לניצול נקבע לפי שנה, באופן פרוגרסיבי משנת 2004 עד שנת 2009 . על פי ההסכם, תקציבים אלה יושקעו בתשתיות תקשוב, אך לא ברישיונות תכנה, על פי החלטת המשרד ובאישור חברה א'. המשרד קבע שהגוף האחראי למימוש ההסכם הוא המינהל, אשר יביא את הצעותיו לתכנית השקעה חוזרת לפני ועדה שמינה המשרד ובה שותפים חמישה חברים. ההחלטה במה להשקיע תהיה בידי המינהל ובאישורן של הוועדה וחברה א'. בחירת הספקים, ההתקשרות עמם והתשלום להם ייעשו על ידי חברה א'. יצוין כי אף שההתקשרות עם הספקים והתשלום להם בוצעו על ידי חברה א', שעליה לא חל חוק חובת המכרזים, התשנ"ב - 1992 , חוק זה חל על המשרד. לדעת משרד מבקר המדינה, על המשרד לנקוט משנה זהירות במקום שבו הסכם עלול לפתוח פתח לכך שרכישות בסכומים משמעותיים כל כך המתבצעות עבורו ייעשו שלא לפי חוק חובת המכרזים. 856 דוח שנתי60ב .מינהלת מנב"ס וקישורים .מינהלת מנב"ס וקישורים (להלן - המינהלת) היא גוף הפועל במ סגרת המינהל. המינהלת מפקחת על יישום, הקמה, הפעלה, הטמעה ושירות לקוחות של מערכות שבהן נעשה שימוש בבתי ספר ברחבי הארץ, ובהן: מנב"ס - מערכת מידע לניהול בית ספר, המאגדת מידע אדמיניסטרטיבי ופדגוגי ומאפשרת הפקת דוחות ניהוליים; מנבסון - כלי פדגוגי לשימוש מורים, ה מאפשר הזנת ציונים, הערכות, אירועי משמעת, הפקת דוחות ועוד; מדב"ס - מערכת לדיווח על נתוני שכר למורים עובדי מדינה; שילוב - מערכת לניהול ילדים בעלי צרכים מיוחדים בבתי ספר. הפיתוח והתחזוקה של המערכת הם באחריות המינהל, אך הם נעשים על ידי כוח אדם חיצוני. לצורך מימון המינהלת נכללה בתקציב המינהל תקנה תקציבית נפרדת: "מינהל בית ספרי וממ"ח" (מחשוב מערכת חינוכית). תקציבה בשנת 2007 היה כ- 12 מיליון ש"ח, ובשנת 2008 - כ-15 .מיליון ש"ח התקשרות להפעלת המינהלת: באפריל 2006 התקיים מכרז ל"הקמה ותפעול מינהלת לשילוב יישומים מינהלים מתוקשבים במערכת החינוך", ובו זכתה חברה ב'. בשנת 2006 נחתם הסכם עם החברה, והוא כלל אפשרות הארכה לעוד ארבע שנים. ביולי 2008 אישרה ועדת הרכישות את הארכת ההסכם מ- 1.9.08 עד 31.8.09 , בעלות של9.8 מיליון ש"ח (כולל מע"מ). על פי ההסכם, התמורה עבור השירותים שמספקת חברה ב' תשולם בכל רבעון לפי התפוקות בפועל. התפוקות יימדדו בעזרת נוסחאות המכילות רכיבים שונים, ולכל רכיב: יחידות מדידה, מחיר של כל יחידה ומשקל הרכיב בחישוב התמורה. התברר שאף שההסכם נחתם בשנת 2006 , עד מועד סיום הביקורת (ספטמבר 2009 ) לא הצליח המינהל ליצור כלים למדידת התפוקות לפי הנוסחאות שנקבעו בהסכם. עקב כך משולמת לספק 90% מהתמורה המרבית לפי ההסכם, באישור מנהלת המינהל וחשבות המשרד. ביוני 2007 כתבה מנהלת המינהל מכתב לחשבות המשרד כדי לקבל אישור לתשלום חריג זה, ובו ציינה: "מאחר וטרם הושלמה התקנה והפעלת המערכת למדידת התפוקות בפועל, אנו מעריכים כי תמורה זו היא תמורה הולמת... על פי הסיכום בפגישה המו"מ בנושא, תשולם לספק תמורה בגובה 90% מסכום ההתקשרות לשנה זו... לאחר הפעלת מערכת מדידת התפוקות במלואה או ברובה, תתבצע בדיקת חוזרת של גובה התמורה. במידה ויתגלה פער משמעותי, תושלם ההתחשבנות במהלך שנת ההתקשרות השנייה". במכתב אחר, מדצמבר 2007 , כתבה מנהלת המינהל לסגן חשב המשרד דאז: "הפעלת התוכנה למדידת תפוקות מתעכבת, ולהערכתנו תסתיים בתום הרבעון השני, כלומר בתחילת מרס 2008 ". באותו החודש השיב סגן החשב למנהלת המינהל שהוא מאשר לשלם לחברה 90% מסכום החוזה, "מאחר וכפי שציינת במכתבך התוכנה הבודקת טרם נכנסה לפעולה". בהתייחסותו להערת הביקורת מאוקטובר 2009 כתב ס גן חשב המשרד דאז כי הוא אישר את התשלום האמור לעיל משום שהבין שמדובר בשנה אחת בלבד, לאחר ששאל ונענה שבתוך שנה תהיה מערכת שתמדוד את התפוקות, דבר שלא מומש. עוד הוא מסר כי לדעתו המשרד לא היה צריך לפרסם מכרז שאין משרד החינוך 857 .באפשרותו למדוד את תפוקותיו, כאשר התפוקות הן המדד העיקרי לתשלום, וכי כאשר ידע המשרד שהמצב יימשך יותר משנה, היה עליו לפרסם מכרז חדש. בנושא זה העלה סגן חשב המשרד הנוכחי ספקות לגבי גובה התשלום המשוער, ומסר לחשב המשרד שעל פי חישובים שעשה מגיעים למשרד החזרים כספיים. לביקורת נמסר על ידי מנהלת המינהל כי סכום התשלום החריג ( 90% מהתמורה המרבית על פי ההסכם) נקבע במשא ומתן שנוהל בעל פה עם החברה. חלק מכספי ההשקעה החוזרת של חברה א' (כ- 107,000 דולר) תוקצבו בהסכם מינהלת מנב"ס לפיתוח תכנה למדידת התפוקות של חברה ב'. פיתוח התכנה נעשה על ידי חברה שנבחרה לשם כך, והתשלום בוצע ישירות על ידי חברה א' על פי ההסכם בינה ובין המשרד. מעיון בפרוטוקולים של ישיבות המינהל התברר שפיתוח התכנה נכשל. בפרוטוקול מאוקטובר 2008 נגעה בנושא מנהלת המינהל, באמרה: "מה שנבנה עד כה לא משמש אותנו בכלל. מבקשים שהמערכת תפותח מחדש באיכות ראויה... לא יתכן שנמשיך לעבוד ללא מערכת". עובדת שהייתה אחראית על המינהלת מטעם המשרד אמרה באותה ישיבה: "המערכת כמו שהיא לא מסוגלת לתת מענה לצרכים המינימאליים של המשרד". עד מועד סיום הביקורת, ספטמבר 2009 , לא הופעלה התכנה. הביקורת העלתה שטרם הושלם פיתוח התכנה שמודדת את תפוקות הספק לפי אמות המידה שנקבעו בהסכם, ולכן כבר יותר משנתיים וחצי משלם המשרד לספק בכל רבעון, באישור חשב המשרד, 90% מהחשבונית שהספק מגיש בהתאם להיקף החוזה השנתי. משרד מבקר המדינה רואה בחומרה מצב זה, שבו מתקיים מכרז ונחתם עם ספק הסכם, שבו המינהל מתחייב לשלם לספק לפי תפוקות, כשאין בידו אפשרות למדוד אותן, וכתוצאה מכך התשלום נעשה לפי הערכה, אשר אין הסבר על מה היא מבוססת מכיוון שהמשא ומתן עם הספק לא תועד. .מנב"ס ומנבסון .בסוף שנות השמונים יזם המשרד את הקמת המנב"ס. המנב"ס נועדה לספק למנהל בית הספר כלי ממוחשב להשגת פתרונות להפעלה יעילה של בית הספר, ולסייע לסגל המורים והעובדים במילוי תפקידם. המערכת מאגדת מידע אדמיניסטרטיבי ופדגוגי (למשל, ניהול הערכות, ארועי משמעת, מעקב אחר הישגים לימודיים), ומשמשת גם כלי המקשר בין מערכת המידע בבית הספר ובין מערכות חיצוניות, כגון מערכת המידע של המשרד (מאגר מידע מרכזי על תלמידים ומורים). פיתוח המערכת ותחזוקתה הם באחריות המינהל, והם נעשים באמצעות כוח אדם חיצוני. ניהול המנב"ס נעשה בהתחלה על ידי המינהל, ולאחר מכן על ידי מינהלת המנב"ס. בטיוטת מסמך ייזום "איתור חלופות למנב"ס", שכתבה מנהלת הפרויקט 858 דוח שנתי60ב .לשעבר באוגוסט 2007 , נמנו מספר בעיות הקיימות במערכת, ובהן: מחולל היישומים11 אינו נפוץ בארץ, ועל כן קשה מאוד לגייס תכניתנים מיומנים לעבודות תחזוקה ופיתוח; המערכת כתובה בצורה המקשה על התחזוקה; רוב השינויים במערכת מצריכים ביצוע תיקונים רבים בתכנה; השירות ניתן לבתי ספר באמצעות זכיינים שהמשרד בחר, מכיוון שחלק גדול מהשירות מצריך ביקור באתר הלקוח, דבר המייקר את השירות ופוגע בזמינותו ואיכותו; טכנולוגיה של שרת/לקוח שבה נעשות התקנות תכנה באתר הלקוח, מייקרת מאוד את התחזוקה, משום שהתקלות בעת ההתקנות רבות ומגוונות כתוצאה ממגוון תצורות עמדות הקצה; בסיס הנתונים מותקן באתר הלקוח ומצריך השקעת משאבים באבטחתו. המסקנה המובאת בטיוטת המסמך היא: "הבחירה הטבעית היא לרכוש מוצר קיים ולא לפתח", ולשם כך יש לצאת למכרז לבחירת מערכת מידע חדשה. ממסמך שכתבה חברת ייעוץ באפריל 2008 עולה כי חוסר האינטגרטיביות של המערכת היא אחת הבעיות העיקריות הקיימות בה, וכי יש לקיי ם מערכת מידע אינטגרטיבית, תומכת החלטות, לשירות כל הגורמים המשתמשים במערכת. לצורך זה נדרשות שפה אחידה וטכנולוגיה אשר יאפשרו את ניהול המערכת באופן שתשרת את כל השותפים במערכת החינוך: בתי ספר, מורים, תלמידים, הורים, רשויות, בעלויות (כמו מוסדות עמל ואורט) והנהל ת המשרד. עוד נכתב במסמך שכיום הרשויות המקומיות רוכשות פתרונות מחשוב עצמאיים שאינם תמיד מותאמים ושאינם אינטגרטיביים. במסמך גם צוין כי חסרים במערכת כלי בקרה, והדבר פוגם באמינותה, וכי אין בה תשתית לשיתוף פעולה בין בתי ספר (ניהול ידע) והפצת התרעות וחריגים בזמן אמת. הפתרון, על פי המסמך, צריך להיות שימוש בשפת תכנות אחידה ובמילון נתונים12 אחיד, שיאפשרו קיום מערכת אחת רבת משתתפים, ובה שיתוף מידע ותהליכים, בקרה (כולל עמידה ביעדים) וקבלת החלטות בזמן אמת (לדוגמה, תכנון מדיניות). 1. :"מנב"ס "הדור הבא נוכח הבעיות שהתעור רו בתפקוד המנב"ס מינה באפריל 2007 מנכ"ל המשרד דאז, מר שמואל אבואב, ועדת היגוי לפרויקט מנב"ס "הדור הבא". בוועדה היו שותפים אנשי המשרד, חשב המשרד, מנהל אגף חינוך בעירייה ומנהלות בתי ספר. על פי כתב המינוי היו תפקידי הוועדה: הגדרת החזון, אישור יעדים ומטרות, אי שור מסגרת של תכנית עבודה, מעקב אחר יישום אבני דרך, פתרון בעיות עקרוניות ואישורי שינויים אסטרטגיים במהלך הפרויקט. בישיבה של הוועדה שהתקיימה בספטמבר 2007 הוחלט שהצגה של הדרישות וההמלצות הראשוניות ליישום תיעשה בינואר 2008 . באותה פגישה הודגש שהמערכת הקיימת אינ ה נותנת מענה מספק לצרכים הנוכחיים והעתידיים של מערכת החינוך. הבעיות שהועלו בישיבה היו בין היתר: המנב"ס אינו נגיש למורים; המנבסון נגיש אך מסורבל לעבודה; נדרשים כלים לתכנון מערכת שעות ולשיתוף ושיקוף ידע מערכתי פדגוגי, לניהול פדגוגי (נוסף על כלי ניהולי), ולהע ברת ידע לימודי לתלמידים. הוחלט שלאחר שיגובשו הצרכים יישלח למנהלי בתי ספר שאלון לצורך תיקופם. הביקורת העלתה שעד מועד סיום הביקורת לא נשלח השאלון למנהלים. בתשובת המשרד מנובמבר 2009 הודיעה מנהלת המינהל כי המשרד עדיין שוקד על גיבוש הצרכים ולפיכך עדיין לא נשלח השאלון לתיקופם. .__________________ .11 מחולל יישומים- כלי לפיתוח יישומי מחשוב. 12 מילון נתונים הוא תשתית המאפשרת ניהול מרכזי, עדכני, אינטגרלי, מקוון ומקיף של כל הגדרות המידע ברמת טבלה, שדה, תהליכים ועוד. משרד החינוך 859 . ההתכנסות האחרונה של הוועדה הייתה באפריל 2008 . בסיכומה הוחלט בין היתר שיש להכין תכנית מתאר כוללת (תיחום, טכנולוגיה וממשקים13 ) ומכרז לאינטגרטור (חברה מנהלת). כמו כן סוכם שיש להגדיר בזמן האפיון את האינטגרציה בין המערכות השונות, ולקבוע סטנדרטים ומילון מונחים אחיד שישמש את כל גורמי המערכת. בדיון עם המנכ"לית דאז, גב' שלומית עמיחי, שהתקיים בנובמבר אותה שנה, התקבל אישור עקרוני לביצוע ההמלצות וניתנה הנחיה לתקצוב הפעולות שהוצעו. הביקורת העלתה שהחלטת הוועדה לא קוימה: לא הוכנו מסמך אפיון, תכנית מתאר ומכרז לאינטגרטור. המינהל לא הכין בעבר תכנית הוצאות רב -שנתית בנושא המנב"ס, ולא היה לו אומדן של העלויות הכרוכות במימושו. אומדן הוצאות רב -שנתיות עבור מערכת מנב"ס "הדור הבא" לשנים 2009 - 2016 הוכן בשנת 2009 , והוא הסתכם בכ- 31.7 .מיליון ש"ח לפי החלטת המנכ"לית דאז, הכינה ביוני 2005 מנהלת המינהל רשימה של פעולות המועמדות למיקור חוץ, ובהן "פיתוח המנב"ס החדש - יישום .Web שניתן להפעיל מרחוק". אולם עד מועד סיום הביקורת, ספטמבר 2009 ., לא פותח יישום זה 2. :מערכת מנבסון מערכת מנבסון היא כלי פדגוגי לשימוש המורה המותקנת בחדר המור ים או במחשב האישי של המורה, ומיועדת לסייע למורה בניהול הערכותיו לתלמידים. המורה מקבל ממזכירות בית הספר "קובצי מורה" (המכילים את נתוני התלמידים), ובאמצעותם הוא יכול לנהל במחשב שבביתו את אירועי ההערכה והמשמעת שלהם. במערכת יש גם פונקציות של חישוב ציון ביניים וחישוב ציון סופי לשימוש המורה. ביוני 2009 השתמשו במערכת מנבסון רק כ-37% מבתי הספר, וכל היתר השתמשו בתכנות חלופיות שנחשבו בעיניהם ידידותיות יותר. הביקורת העלתה שהמינהל לא בחן את הגורמים להיקף הנמוך של השימוש במנבסון, וכי הוא לא ביצע סקר שביעות רצון של המשתמשים במערכת. . . לדעת משרד מבקר המדינה, על הנהלת המשרד להיות מעורבת יותר בפרויקט מנב"ס "הדור הבא". מן הראוי היה שהמשרד יקיים דיון, שבו ישתתף גם מנכ"ל המשרד, כדי להפיק לקחים ולהתוות תכנית פעולה הכוללת הגדרת יעדים, אומדן עלויות וקביעת מנגנון למעקב אחר עמידה .__________________ .13 ממשק הוא אוסף הדרכים שבהן יכולות תכנות לתקשר ביניהן, או אוסף הדרכים שבהן יכול אדם לתקשר עם תכנה ("ממשק משתמש"). 860 דוח שנתי60ב .בעלויות וביעדים ולדיווח עליהם. כל זאת כדי לקדם מיצוי יעיל של המשאבים הניכרים המושקעים בתחום זה. על המערכת החדשה שתיושם לספק להנהלת המשרד אפשרות לקבל החלטות בזמן אמת על סמך נתונים אמינים ומבוקרים. .אבטחת המידע .אבטחת המידע היא חלק ממנגנוני הבקרה של כל ארגון, ומהווה בסיס לאמינות של הבקרות האחרות הנהוגות בו ומיועדת להגן על סודיות, אמינות וזמינות של נתונים ועל התכנה והחמרה של הארגון מפני פגיעה מכוונת או מקרית. ליקויים באבטחת המידע עלולים לגרום לפגיעה גם ברמת השירות ובצנעת הפרט. נוהל מפת"ח הוא כאמור נוהל המחייב את משרדי הממשלה. על פי נוהל זה ניתן לתאר את תהליך אבטחת המידע בארגון "באמצעות מודל של ניהול סיכונים הכרוך מחד גיסא בניתוח האיומים והסיכונים הרלבנטיים למערך המחשוב; ומאידך גיסא, ביישום מדיניות, נהלים ופתרונות טכניים שיביאו את מערך המחשוב לרמת אבטחת מידע ס בילה עבור הארגון הספציפי" 14 . משרד מבקר המדינה בדק את מימושם של היבטים אחדים בנושא אבטחת המידע. להלן הממצאים: 1. המשכיות הפעילות והתאוששות במקרה אסון : איומים שונים מסכנים את מערכות המידע ואת המשכיות הפעילות הסדירה של הארגון. כדי למנוע נזקים אפשריים או לפחות למזערם, וכדי לאפשר לארגון להמשיך לפעול ברמה סבירה במקרה של אסון או שיבוש חמור של המערכות, יש צורך בהיערכות מתאימה, שבה נכללות בין היתר הפעולות האלה: מינוי ועדת היגוי, מיפוי מרכיבים חיוניים של המערכת, מיפוי האיומים, דירוג הפעולות על פי רמת חיוניותן או הקריטיות שלהן, קביעת פרק זמן להמשך הפעילות, המשאבים הדרושים, קביעת תכנית מפורטת, וגיבוש נוהל פעילות. האחריות לגיבוש התכנית ויישומה מוטלת על ההנהלה. בנוהלי העבודה של המינהל נכלל פרק בנושא "ניהול המשכיות עסקית" ( Business Continuity Plan - BCP ), ולפיו יש להתייחס לפחות להיבטים האלה: קביעת התהליכים העסקיים הקריטיים שיש להפעילם במצבי משבר וחירום בתוך פרק זמן סביר, בהתייחס למכלול היחידות הארגוניות של המשרד ולפי סיווג נכסי המידע; הקמת אתר חירום לצורך הפעלת מערך טכנולוגיית המידע וקביעת פרק הזמן המרבי להפעלתו מרגע התרחשות האסון או ההכרזה על מצב חירום. בדצמבר 2005 כתבה ממלאת מקום מנכ"לית המשרד לחשכ"ל דאז במשרד האוצר כי "נהלי אבטחת המידע בממשלה מחייבים קיום תכנית להתא וששות מאסון ( DRP ) והמשכיות עסקית". עוד הוסיפה ש"מנהלת מינהל תקשוב ומערכות מידע במשרד, העלתה כבר את הנושא בפורומים שונים בעבר, בהם השתתפו מנהלי יחידות מחשוב בממשלה וסגן בכיר לחשב הכללי, והציעה לבצע פרויקט מרכזי למשרדי הממשלה", וביקשה לבדוק את הסוגיה ולהודיע לה על כוונות החשכ"ל לטיפול ברמה כלל ממשלתית בנושא. .__________________ .14 נוהל מפת"ח- 2006 '"מודל אבטחת המידע בארגון", עמ4. משרד החינוך 861 . הביקורת העלתה שהמשרד פעל באופן חלקי ליישום מרכיבי תכנית החירום להמשך פעילות והתאוששות בעת אסון או שיבוש חמור של מערכות המידע, וכי קיימת תכנית חלקית בלבד, הכוללת גיבויים והוצאת קלטות לאתר חיצוני, ובדיקות סדירות לשחזור נתונים. עוד העלתה הביקורת כי לא מופו האיומים ולא דורגו הפעילויות על פי רמת החיוניות או הקריטיות שלהן. 2. ניהול הסיכונים : ניהול הסיכונים נועד לטפל במגוון הסיכונים שלהם נחשפים הארגונים. בשלב הראשון נהוג לבצע זיהוי ומיפוי של הסיכונים, לבחון את הסיכויים להתממשותם ולהעריך את עלות הנזק שעלול להיגרם בעת התרחשותם. לאחר מכן מכינים תכנית לטיפול בסיכונים, שמטרתה למנוע במידת האפשר את התממשות הסיכונים או למזער את נזקם. הוראת התכ"ם 15 , שהייתה בתוקף עד אוגוסט 2008 , קבעה כי "יש לנתח את הסביבה בה מערכת המידע הממ וחשבת תיושם, על ידי זיהוי הסכנות ונקודות התורפה וקביעת המערך של המשאבים עליהם יש להגן . מניתוח זה ניתן להכין רשימה של הסיכונים העיקריים ולכמת את חשיבותם תוך ניסיון לצפות את חומרת הסיכונים... יש לנתח את אמצעי ההגנה להקטנת הסיכונים... אמות מידה אפשריות לניתוח כזה כוללות: שלימות המידע, מערכות לניהול מאגרי נתונים, שלימות התכנה, הגנה פיזית והגנה על אמצעי האחסנה, כוח אדם, מערכת תקשורת ותכנון לזמן חירום (CONTINGENCY PLANNING) ... יש להגדיר את האפשרויות הקיימות בכל נושא, ולהכין ניתוח עלות /תועלת ( COST/BENEFIT ANALYSIS ), במטרה לבחור בפתרון המועדף". גם נוהל מפת"ח מתייחס לביצוע סקר סיכונים ומגדיר אותו כתהליך שנועד לזהות סיכונים לנכסי המידע ולמערכות המחשב בארגון. בנוהלי העבודה של המינהל נכלל פרק "סקרי סיכוני אבטחת מידע ומבחני חדירה", הקובע שעל מנהל אבטחת המידע ליזום סקרי אבטחת מידע של מערך טכנולוגיית המידע של המשרד. עוד נקבע בנהלים כי מערכות בעלות סיכון גבוה ייסקרו לפחות אחת ל-18 חודשים. במערכות אחרות תקבע ההנהלה את תדירות הסקרים על פי רגישותן. בנוהל גם נקבע שעל מנהל אבטחת המידע ליזום מבחני חדירה .(Penetration Tests) ברמת התשתית וברמת היישום (אפליקציה), המדמים ניסיונות פריצה על ידי פורצים מהמשרד ומחוץ לו, הן כמשתמש קיים והן כפורץ ללא חשבון קיים. מערכות מידע הפתוחות לרשתות תקשורת ציבוריות יעברו מבחני חדירה לפחות פעם אחת בכל 18 חודשים. על פי הנהלים, על הנהלת המשרד לקיים דיונים על תוצאות סקרי אבטחת המידע ומבחני החדירה ולפעול למימוש המלצותיהם בתוך פרק זמן סביר. בסיכום שנתי בנושא "אבטחת מידע ברשת משרד החינוך", שהגיש המינהל בנובמבר 2006 למנכ"ל המשרד, צוין ברשימת הנושאים הדורשים טיפול בשנת 2007 הצורך בהקמת מערכת לניהול סיכונים ונית וח אירועים. הביקורת העלתה שבשנת 2007 נעשתה עבודה על ידי עובד חיצוני שהייתה אמורה להיות סקר סיכונים במערכות המידע, ומסמך מסכם שלה הוצג בישיבות אבטחת המידע. .__________________ .15 הוראה 07.03.02 מ- 1.5.86 : "בקרות מערכות מידע ממוחשבות, בקרת מערכת מיקרו, שלבי מחזור החיים". 862 דוח שנתי60ב .במסמך נקבע כי על מנת להשלים את סקר הסיכונים יש לבצע שישה שלבים, ואילו בפועל בוצעו רק שני השלבים הראשונים. בשנים 2008 ו- 2009 ביצעה חברה חיצונית מבחני חדירה למערכות המידע הקשורות לאינטרנט. כאמור, מבחנים אלו לא הקיפו את כל מערכות המידע של המשרד. בפגישה בנושא אבטחת מידע שנערכה בינואר 2009 ציינה הממונה על אבטחת מידע ש"כיום ה -data פרוץ", והציעה להיעזר בחברה שתע שה מבחני חדירה. הביקורת העלתה שהוראות התכ"ם ונוהלי המשרד קוימו באופן חלקי בלבד, סקר סיכונים ומבחני חדירה בוצעו במתכונת מצומצמת, ומערכות המידע לא סווגו לפי רגישותן. 3. )יומני פעילות (דוחות בקרה : מערכות מחשוב מייצרות יומני פעילות (קובצי לוג) אשר נרשמים בהם בזמן אמת נתונים שונים על הפעילות שנעשית במערכת. לדוגמה, נתונים על סוג הפעולה שנעשתה במערכת המחשוב, זמני כניסה למערכת ופרטי המשתמשים. יומני הפעילות משמשים כלי חשוב למעקב אחר פעולות חריגות המתרחשות במערכת ולבקרה עליהן. הביקורת העלתה שיומני פעילות מופקים רק ממערכת הבגרויות, ולא מיתר היישומים, לרבות המנב"ס. משמעות הדבר שהמינהל לא עוקב באופן שוטף אחר פעולות חריגות ועל שימוש לרעה במערכת המחשוב. עוד העלתה הביקורת שאין נהלים בנושא. לדעת משרד מבקר המדינה, יש לקבוע נהלים לגבי משך שמירת היומנים, תדירות הבדיקות והדיווח על תוצאותיהן, והאחראים לנושא. על המשרד לאמץ נוהל בנושא זה, הכולל דיווח עדכני, ולהקפיד על בדיקת יומני הפעילות באורח קבוע ועל העברת דיווח על תוצאות הבדיקה לדרג מוסמך. עוד מעיר משרד מבקר המדינה כ י נוכח הנתונים הרגישים שבמערכת המחשוב יש לבדוק בשיטתיות ובאופן מושכל את הגישה אליה, את שליפות המידע מתוכה, ואת השינויים הנעשים בנתונים. בקרה פנימית נאותה צריכה לכלול פיקוח על הפעולות וכן דיווח עדכני על אירועים חריגים. אימוץ כללי בקרה הוא התשתית הארגונית שא מורה לעסוק בגילוי מוקדם של כשלי אבטחה ולטפל בבעיות שהיא חושפת. בתשובת המשרד מנובמבר 2009 הודיעה מנהלת המינהל שהמשרד פועל להשלמת מיפוי המערכות הקריטיות ולהוספת יומני פעילות במערכות שבהן הם נדרשים. 4. גישה לעדכון מידע במערכות : הביקורת העלתה שלכמה אנשי צוות המחשוב, העוסקים בפיתוח תשתיות המערכת, יש הרשאה לעדכון נתונים בסביבת הייצור של המחשב המרכזי, בדומה למשתמשים המורשים הרגילים של המשרד. לאחראי לפעילות הייצור של מערכת הבגרויות יש הרשאה לעדכן נתונים בבסיס הנתונים, וגם למנהלי המערכות יש הרשאה זמנית לעשות זאת. משרד החינוך 863 .לדעת משרד מבקר המדינה, הרשאות גישה חריגות אלה נוגדות את אחד העקרונות הבסיסיים של בקרה פנימית נאותה, שהוא הפרדת סמכויות. היעדר הפרדה כזאת פותח פתח לגישה לא מבוקרת לנתונים ואפשרות לבצע בהם שינויים שלא בדרך המקובלת לגבי יתר המשתמשים, ולכן אין לתת לאנשי פיתוח הרשאות גישה לסביבת הייצור. בתשובת המשרד מנובמבר 2009 הודיעה מנהלת המינהל כי האחראי לפעילות הייצור של מערכת הבגרויות קיבל הרשאות עדכון בבסיס הנתונים מתוקף היותו מתפעל של המערכת, וכי מאחר שלמערכת יש יומן פעילות, כל שינוי שהוא מבצע מתועד בו. עוד הודיעה מנהלת המינהל כי מנהלי מערכות מידע האחראים לתיקוני טעויות בתכנה (באגים) ולהוספת שינויים למערכות קיימות מקבלים לעתים הרשאות זמניות לעדכון בסיסי הנתונים. משרד מבקר המדינה מעיר, כי מתן הרשאות למנהלי מערכות מידע לעבוד בסביבת הייצור חמור יותר, כי בהיעדר יומני פעילות לכל המערכות הקריטיות, שכאמור לעיל טרם מופו, לא ניתן לעקוב אחר הפעולות שמבצעים מנהלי המערכות. 5. הגנת הפרטיות, רישום מאגרי המידע בבתי הספר: במשרד החינוך נאגר מידע16 כמשמעותו בחוק הגנת הפרטיות, התשמ"א - 1981 (להלן- החוק), ותקנותיו. בין היתר נשמרים נתונים אישיים על הישגים בלימודים, אירועי משמעת, נתונים על עובדי הוראה ועוד. נתונים אלה מוחזקים ביותר מ-30 מאגרים. החוק חל על מאגרי המידע של המשרד בהיותו גוף ציבורי17 בעל מאגר מידע רגיש18 . בפרק ב' של החוק מוגדר המונח "אבטחת מידע": "הגנה על שלמות המידע19 , או הגנה על המידע מפני חשיפה, שימוש או העתקה, והכול ללא רשות כדין". רשם מאגרי המידע ברשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים (להלן - הרשות) אחראי על פי החוק לרישום מאגרי מידע ולפיקוח עליהם. החוק אוסר על ניהול או החזקת מאגר מידע שאינו רשום בפנקס מאגרי מידע שמנהלת הרשות. החוק מקנה לכל פרט זכות לעיין במידע עליו המוחזק במאגר. החוק קובע שמשרדי ממשלה ומוסדות מדינה אחרים חייבים ב"מינוי אדם בעל הכשרה מתאימה שיהיה ממונה על אבטחת המידע" (להלן - הממונה). על פי אותו סעיף, הממונה אחראי לאבטחת המידע במאגרי המידע הממוחשבים, כמשמעותם בחוק, המוחזקים ברשות גופים אלה. בתקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים), התשמ"ו- 1986 , נקבעה אחריותו .__________________ .16 "מידע" מוגדר בחוק: "נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו". 17 "גוף ציבורי" מוגדר בחוק: "משרדי הממשלה ומוסדות מדינה אחרים, רשות מקומית וגוף אחר הממלא תפקידים ציבוריים על פי דין". 18 ,"מידע רגיש" מוגדר בחוק: "נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו מצבו הכלכלי, דעותיו ואמונתו". 19 ,"שלמות המידע" מוגדר בחוק: "זהות הנתונים במאגר המידע למקור שממנו נשאבו בלא ששונו, נמסרו או הושמדו ללא רשות כדין". 864 דוח שנתי60ב .של מנהל אבטחת המידע למניעת דליפת מידע ממאגר המידע ושימוש בלתי מורשה בו. ממכתב ששלח רשם מאגרי המידע במרס 2009 ליועצת המשפטית של המשרד ולמנהלת המינהל נאמר ש"הבעלות במאגר המידע הנוצרת תוך שימוש במערכת המנב"ס או בהעברת מידע אליה, ואשר המידע בו נוגע לפעילות החינוכית שוטפת המתבצעת בבתי הספר - היא של משרד החינוך". כמו כן נאמר כי בתי ספר המפעילים גרסה מקומית של המערכת ומחזיקים א צלם מידע יירשמו על ידי המשרד כמחזיקים במאגר המידע של המשרד, וכי על המשרד להבהיר למנהל בית הספר את משמעות הדבר. עוד נכתב שהמשרד ימנה "בעלי תפקיד שיהיו אחראים על שמירה על הגנת הפרטיות ואבטחת המידע של מערכת המנב"ס ובמאגרי המידע המנוהלים בבתי הספר על כל היבטיהם", כנדרש בחוק. תפקידי האחראים הם בין היתר "פרסום הנחיות ובחינת יישומן במשרד ובבתי הספר והסדרת העברת המידע בבעלותו או באחזקתו של בית הספר לגורמים חיצוניים, וביניהם רשויות מקומיות". מנהל המאגר אחראי בין היתר ל"קביעת סדרי ניהול של מאגר מידע וכללים להרשאת גישה למידע, לאיסוף, לסימון, לאימות, לעיבוד ולהפצה של נקיטת אמצעי אבטחה סבירים, בהתאם לרמת רגישות המידע, שימנעו ]וכן[ המידע חדירה מכוונת או מקרית למערכת אל מעבר לתחומי המידע שאושרו למשתמש". עליו גם לקבוע "סידורי בקרה לגילוי פגיעות בשלמות המידע ותיקון הליקויים". הוראות בדבר רישום מאגרי המידע ואבטחת מידע במנב"ס נכללו בחוזר מנכ"ל המשרד מינואר 1989 ., לפני הפעלת המנב"ס בבתי הספר באוקטובר 1994 הכין המינהל (אז האגף למיכון) טיוטה של "נוהלי אבטחת מידע במערכות מידע ממוחשבות בבתי הספר". במועד סיום הביקורת, בספטמבר 2009, היה הנוהל בשלבי אישור. עוד נמצא כי בידי המשרד נתוני רישום מאגרי המנב"ס של בתי ספר, אולם אין בידיו נתונים על מאגרי מידע נוספים. מתשובת המשרד מנובמבר 2009 עולה כי באותו חודש התפרסם חוזר מנכ"ל מעודכן המפרט את ההוראות הנוגעות לניהול ולרישום מאגרי המידע המצויים בבתי הספר, וכן הוראות לאבטחתם. .סיכום .מערכות המידע הן אמצעי חיוני לתפעולו השוטף של כל ארגון מודרני. מערכות מידע יעילות, תקינות ואמינות עשויות להגדיל את כוחו של הארגון. לא בכדי היקף ההשקעות בתחום זה, החל בייזום מערכות ופיתוחן וכלה בהטמעתן ותחזוקתן, הוא רחב. תלותו של הארגון במערכות אלה היא קריטית. מינהל תקשוב ומערכות מידע הוא היחידה האחראית על מערכות המידע של משרד החינוך. בידיו מסורים הניהול התקין של מאגרי המידע והנתונים של המשרד, זמינותם ואמינותם. בביקורת עלו ליקויים באופן שבו מנהל המינהל את מערכות המידע שבאחריותו. הליקויים נמצאו הן בניהול המערכות והן בתפעולן. בתחום ניהול המערכות יש להדגיש במיוחד את חוסר יכולתו של המשרד לזהות את הסיכונים למערכותיו, את היערכותו הלקויה להתאושש מאסון, אם חלילה יקרה להן, ואת הפרצות משרד החינוך 865 .בתחום אבטחת המידע. בתחום התפעול יש להדגיש את הליקויים של המינהל בניהול המשימות שבאחריותו, היעדר בקרה תקציבית, וניהול והעסקה של כוח אדם בניגוד להוראות השעה. נוהל מפת"ח, המחייב את משרדי הממשלה, מסדיר את הדרך הראויה לניהול המחשוב בארגון, הן ברמת הפרויקט והן ברמת הארגון. הנוהל מספק מתודולוגיה סדורה לפי תוח ותחזוקה של מערכות מידע. על המשרד להקפיד לפעול על פי הנוהל, אשר מלבד העובדה שהוא נוהל מחייב, הוא עשוי לסייע בידיו לבצע כראוי את תהליכי הפיתוח, הניהול והתפעול של מערכות המידע. כמו כן על המשרד לרכז מאמצים במיפוי כל הכשלים והליקויים שעלו בביקורת, ולבנות תכ נית לתיקונם על פי חשיבותם וחומרתם ועל פי יכולתו לתקנם.