HeTree/MevakerConcSen huggingface dataset:
27 ההגדרה של "סיכון תפעולי" היא "סיכון להפסד כתוצאה מאי נאותות או מכשל של תהליכים פנימיים, גורמים אנושיים או מערכתיים או כתוצאה מאירועים חיצוניים.
ההגדרה כוללת סיכון משפטי, אך אינה כוללת סיכון אסטרטגי או סיכון מוניטין".
משרד מבקר המדינה מעיר כי בשל האפשרות לשלב בין הטיפול בסיכונים תפעוליים ובין הטיפול בסיכונים אסטרטגיים כחלק מבניית תכנית להמשכיות עסקית, מן הראוי היה שאגף החשכ"ל ורח"ל ישתפו פעולה בהכנת מתכונת עבודה בטרם פרסום הוראות תכ"ם.
ואולם, לא נמצאה אסמכתה לעבודה משותפת בעניין זה.
המשרד להגנת העורף השיב למשרד מבקר המדינה כי הוא פועל מול הרשות הייעודית במשרד האוצר ולא מול החשבת הכללית, ועל כן איננו רואה מקום לקיים עבודת מטה מולה.
עם זאת, הודיע המשרד להגנת העורף כי יבחן עם הרשות הייעודית את הצורך בשיתוף פעולה אפשרי עם החשבת הכללית.
אגף החשכ"ל השיב למשרד מבקר המדינה כי לא התקבלו באגף פניות מרח"ל לגבי כתיבת הוראות הנוגעות לניהול סיכונים אסטרטגיים, וכי האגף רואה בחיוב פניית משרדים וגופים כאמור לקידום נושא ניהול הסיכונים בממשלה.
תרחישי הייחוס לבנק ישראל בנק ישראל הקצה משאבים רבים ופעל נמרצות בשנים האחרונות על מנת להיערך לאירועי חירום בכלל ולקביעת תרחישי ייחוס בפרט.
עם זאת, נמצאו בפעולותיו בתחום בניית תרחישי הייחוס כמה ליקויים.
חברה א' הכינה בשנת 2007 עבור בנק ישראל ועבור הרשות הייעודית הפיננסית בבנק ישראל עבוד ת מטה בדבר ניתוח סיכונים וקביעת תרחישי ייחוס, כחלק מעבודה כוללת בתחום ההמשכיות העסקית.
עבודת המטה שבוצעה בשנת 2007 עבור בנק ישראל לא כללה תרחיש ייחוס לטרור קיברנטי28 , אף שהוסבר בה כי "ניסיון להפעלת טרור קיברנטי נגד מערכות המידע של בנק ישראל הוא תרחיש ייחוס רלבנטי".
חברה א' הכינה לבנק ישראל תרחיש ייחוס כאמור רק באוגוסט 2010 .
זאת ועוד, למרות ניתוח מעמיק של הנזק האפשרי כתוצאה מפגיעת טיל במבנה הבנק או בקרבתו, לא נעשה ניתוח יסודי בדבר סיכונים מסוימים של פיגועי טרור, אף שהיה ראוי לבחון אותם ביסודיות יתרה.
כמו כן לא עסקה העבודה בחשש מפגיעה בו-זמנית בהנהלה הבכירה של הבנק, ובצורך לשמר רציפות תפקודית במצב זה.
במוכנותו לחירום, על ]'חברה א[ בתשובת בנק ישראל נכתב כי "הבנק פעל ליישום עבודת כלל היבטיו, ויזם בשנת 2010 עריכת תרחיש ספציפי לתחום מתקפת סייבר".
חברה א' כתבה כי בנק ישראל החליט מראש שלא לכלול בעבודה הראשונית שביצעה החברה את איום הסייבר ואיומי טרור וחבלה.
28 אחת ההגדרות האפשריות לטרור קיברנטי פירושה פגיעה באמצעים ממוחשבים ובתשתיות מידע חיוניות, שהם מערכות ומתקנים שהריסתם או שיבוש תפקודם יגרמו לאחד או יותר מאלה: כמות נפגעים הדומה לתוצאה של הפעלת נשק להשמדה המונית; פגיעה ביכולת של זרועות הממשל לספק לציבור שירותים בסיסיים ולהבטיח את ביטחון האזרחים; פגיעה ביכולת התפקוד של חברות עסקיות ושיבוש התפקוד הכלכלי; השפעה לרעה על המשק עקב פגיעה בתפקודן של מערכות תשתיות חיוניות; שיבוש התפקוד פוגע באמון הציבור במוסדות השלטון והמשק הלאומי.
ראו: US Government, White House, Homeland Security Presidential Directive Number 7, Critical Infrastructure Identification, Prioritization and Protection, December 2003 .
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 81 .
עוד נמצא כי תרחיש הייחוס לרעידת אדמה שתפגע במבני בנק ישראל אינו מניח אבדן של חיי אדם גם במצב של קריסת אחד ממבני הבנק, אלא היעדרות בלבד לתקופה קצרה.
לדעת משרד מבקר המדינה, אי-נתינת הדעת בתרחיש הייחוס לעניין הפגיעה הקשה בחיי אדם שעלולה להיגרם במצב של קריסת מבנה מחטיאה את מטרת הכנתו; שהרי תכלית תרחיש הייחוס היא להציג לפני הנהלת הארגון את מגוון ההסתברויות לפגיעה ולאפשר לה לקבוע את מדיניות ההמשכיות העסקית הרצויה.
יוער כי תרחיש הייחוס הלאומי מניח אבדן רב של חיי אדם בנסיבות של קריסת מבנים.
בתשובתו למשרד מבקר המדינה הסב בנק ישראל את תשומת הלב לקטע בעבודת חברה א' שבו נאמר כי "ברעידת אדמה עלולים להיפגע עובדי הבנק".
הבנק ציין כי "ברור כי פגיעה בעובדי הבנק עלולה גם להסתיים באובדן חיי אדם".
עוד ציין הבנק כי המענה לפגיעה במשאב האנושי של הבנק כולל הישענות על שני סגלים (ואף על רזרבה של עובדים) היכולים, כל אחד בנפרד, למלא את התפקידים הקריטיים בבנק.
לדעת משרד מבקר המדינה, האמירה כי "ברעידת אדמה יכולים להיפגע עובדי הבנק", אינה מפורטת די צורכה כדי לבסס עליה את ההנחות הדרושות לשם בניית תכנית היערכות לאובדן חיי אדם בקרב עובדי הבנק באירוע של רעידת אדמה.
חברה א' הסבירה בעבודתה ש"יש לשים לב כי לא כל מתאר אפשרי של מצב חירום הוא בהכרח תרחיש ייחוס.
מבחינה מתודולוגית (וכמקובל בניתוח סיכונים עסקי או משקי בכלל), היסוד ההופך תרחיש כלשהו לתרחיש ייחוס הוא זה, שזהו תרחיש שלגביו ניתנת החלטה מנהלית, הקובעת כי יש לראות בו מתאר מנחה לפיתוח היערכות הארגון ולאורו יש לפעול ולנקוט צעדים בפועל ולכוון עצמנו למתן מענה אופרטיבי או אסטרטגי לצמצומו של הסיכון הנובע מאותו תרחיש".
החברה העירה עוד כי "נציין שתוכניות ההיערכות שיגובשו בהמשך, יכללו ניתוחי רגישות לשינויים סבירים בתרחישי ייחוס אלו".
לדעת משרד מבקר המדינה, יש חשיבות רבה להצגת טווח של תרחישים אפשריים הנוגעים לסוגי האיומים השונים, לרבות ניתוח רגישות לשינויים.
וא ולם, משרד מבקר המדינה לא העלה בבדיקתו כי בנק ישראל עמד על קבלת ניתוח רגישות לשינויים בתרחישי הייחוס, שהיה אמור לקבל.
בנק ישראל ציין בתשובתו כי ב - 2010 יזם הבנק עדכון של תרחישי הייחוס, ורענון נוסף מתוכנן להתבצע בתקופה הקרובה.
לדעת הבנק, "העובדה כי הבנק מעדכן את תרחישי הייחוס, יש בה כדי להוות ניתוח רגישות לתרחישי הייחוס".
לדעת משרד מבקר המדינה, עדכון תרחישי הייחוס נעשה בשל שינוי שחל במפת האיומים החיצוניים, ואינו משמש תחליף לניתוח רגישות לסטיות בתרחישי הייחוס, שאמור להתבצע כחלק מבנייתם הראשונית של תרחישי הייחוס.
תרחישי הייחוס למשרד האוצר 82 דוח שנתי64א .
נמצא כי למרות התקופה הארוכה שחלפה מאז הקמת הרשות הייעודית במשרד האוצר והגדרת אחריותה לקבוע תרחיש ייחוס לאיומים רלוונטיים, רק בשנת 2011 .
הכין אגף החירום והביטחון במשרד תרחיש ייחוס במתאר מלחמה למשרד האוצר תרחיש הייחוס אינו עוסק בסיכונים אחרים, כגון רעידות אדמה, מתקפות מקוונות, פיגועי טרור, הצפות, שיטפונות והפסקת שירות של ספקי תשתיות חיוניות.
כמו כן, לא הוכן כל תרחיש ייחוס ענפי, העוסק במכלול הגופים בשוק ההון, שהרשות הייעודית במשרד האוצר אחראית להיערכותם לפי החלטת ועדת מל"ח העליונה.
התרחיש שבנה אגף החירום והביטחון למתאר מלחמה נשען על בסיס סטטיסטי, הבוחן את הסיכוי לפגיעה בדרגות שונות באזורים שונים בארץ וגוזר ממנה את ההסתברות לפגיעה במבנים שמפעיל משרד האוצר בכל אזור על פי מספרם.
משרד מבקר המדינה מעיר כי ראוי היה לתת את הדעת למאפייני הבינוי המיוחדים של כל אחד מהמבנים, הפעילויות המבוצעות בו, גורמי סיכון מיוחדים בסביבתו וכיוצא באלה, על מנת שתרחיש הייחוס יוכל לשמש בסיס לניתוח הפגיעה הצפויה בפעילויות הקריטיות כתוצאה מהתממשות הסיכון ואף ישמש תשתית לניתוח האמצעים למזעורה.
בתשובת הרשות הייעודית במשרד האוצר נכתב כי תרחיש הייחוס הענפי הוכן על פי הכללים הנהוגים לעניין זה ובהתאמה למתודולוגיה שנקבעה על ידי רח"ל, וכי התרחיש הוצג לראש רח"ל ולפורום המנהלים וצוין לשבח.
הרשות הייעודית ציינה כי היא סבורה שהתרחיש נחשב למתקדם, וכי הוא מפורט דיו כדי להפיק ממנו את הצרכים הנדרשים מתרחיש ייחוס.
משרד מבקר המדינה מעיר כי בתרחיש הייחוס של משרד האוצר למלחמה צוינה הסתברות הכניסה של אחד ממתקני משרד האוצר למעגל הערכת הסיכונים בנשק מסוים באזורים שונים.
התרחיש אינו מפרט כיצד נקבעו הסתברויות אלו, שבחלקן התגלו טעויות והן טעונות בחינה נוספת.
לדעת משרד מבקר המדינה, על משרד האוצר לפרט את אופן חישוב ההסתברויות האלו, ולהפעיל מערך לבקרת ההנחות והתחשיבים המפורטים בתרחיש הייחוס; ועל רח"ל להעמיק בבדיקותיה בעניין תרחיש הייחוס.
המשרד להגנת העורף השיב למשרד מבקר המדינה כי תרחיש הי יחוס הענפי צריך להיות מאושר על ידי מנכ"ל המשרד הרלוונטי בכל הקשור להיבטים המקצועיים; תפקיד המשרד להגנת העורף (רח"ל) הוא לוודא במהלך אישור תרחיש הייחוס כי אינו חורג מתוואי תרחיש הייחוס המל"חי.
כן הוסיף כי הרשות הייעודית במשרד האוצר הציגה לרח"ל מצגת הכוללת חישוב הסתברות שונה מזה שהוצג במסמך המפורט שהועבר למשרד מבקר המדינה.
לדעת משרד מבקר המדינה, על רח"ל לבחון את תרחישי הייחוס הענפיים המלאים ולא רק מצגת מסכמת, ולאתר טעויות ככל שישנן.
נמצא כי כמה אגפים של משרד האוצר בנו לעצמם תרחישי ייחוס שונים.
תרחישי ייחוס אלו נכתבו בכלליות, בלי פירוט בדבר חלק ממקורות המידע שעליהם התבססו.
זאת ועוד, השוואת תרחישי הייחוס למלחמה שהוכנו בחלק מאגפי המשרד לתרחיש שהכין אגף החירום והביטחון מלמדת כי הונחו הנחות יסוד שונות וחושב אומדן שונה לנזקים, לרבות הסתברויות שונות לנזק לאותו המבנה ממש.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 83 .
משרד מבקר המדינה מעיר למשרד האוצר כי הכנת תרחישי ייחוס לאגפיו בנפרד מהתרחיש שהכין אגף החירום והביטחון כרוכה בחוסר יעילות ובבזבוז משאבים; זאת מאחר שאגפי המשרד פועלים באמצעות תשתיות חיוניות משותפות, ובשל כך אינם אמורים להכין תרחישי ייחוס עצמאיים.
בדיקת משרד מבקר המדינה העלתה דמיון רב בין חלק מתרחישי הייחוס שהכינו אגפי משרד האוצר ובין חלק מתרחישי הייחוס שהכינה חברה א' עבור בנק ישראל בשנת 2007 ; מכאן עולה אפשרות של ממש כי בהכנת תרחישי הייחוס לאגפי משרד האוצר השתמשו בתרחישים שהוכנו במקור עבור בנק ישראל.
יוער כי חברה א' עדכנה את תרחיש הייחוס למתאר מלחמה של בנק ישראל ב- 2010 , וכי לעומת תרחיש הייחוס מ- 2007 , ההסתברויות לפגיעה במבנה של הבנק שונות כיום שינוי ניכר.
ואולם תרחישי הייחוס של אגפי משרד האוצר לא עודכנו.
משרד מבקר המדינה מעיר עוד כי חלק מתרחישי הייחוס ש ל אגפי משרד האוצר כתובים באופן כוללני ועמום.
כך למשל, בעניין איום של טרור מקוון, נכתב בתרחיש הסיכון שהוכן באגף החשכ"ל כי ייתכן "ניסיון של ארגוני טרור לחדור למערכות המידע של החשבות הכללית ולפגוע במערכות ובמידע שבהן באמצעות החדרת וירוסים או בדרכים אחרות".
תרחיש ייחוס שאינו מפורט ובהיר כל צורכו הוא חסר תועלת מעשית בבניית תכנית להמשכיות עסקית.
הרשות הייעודית במשרד האוצר הודיעה למשרד מבקר המדינה כי נוכח ממצאי הביקורת, "ישופרו הנושאים הטעונים שיפור".
תרחישי הייחוס לרשות ניירות ערך כאמור, במרץ 2011 "פרסמה רשות ני ע בקשה להגשת הצעות לייעוץ בעניין ההיערכות למצבי חירום, בכלל זה המלצות להכנת תרחישי ייחוס.
רשות ני"ע בחרה בהצעת חברה ב', שעל פיה "תהליך ביצוע העבודה מתבסס על דרישות התקן הישראלי 24001 לחוסן בטחוני והמשכיות עסקית".
בפירוט תוצרי העבודה שהחברה התחייבה לספק כשל ב קודם להכנת תכנית ההיערכות לחירום, נכלל גם "גיבוש המלצה לתרחיש הייחוס מתוך תרחיש הייחוס הלאומי לעורף".
יצוין כי על פי תקן 24001 , הכנת תרחישים המתארים את האופן שבו האיומים וגורמי הסיכון עשויים להתממש היא חוליה חשובה בגיבוש היערכות הארגון לשעת חירום.
נמצא כי רשות ני"ע לא דאגה כי יוכנו עבורה תרחישי ייחוס לסיכונים הכלולים בתרחישי הייחוס הלאומיים ולסיכונים שאינם כלולים בתרחישי הייחוס הלאומיים.
לפיכך, בכל תכניות החירום, הנהלים והפעולות של הרשות בתחום ההמשכיות העסקית היא לא התבססה על תרחישי ייחוס כנדרש.
משרד מבקר המדינה מעיר לרשות ני"ע כי עליה לבנות תרחישי ייחוס לכל הסיכונים כאמור לעיל.
בתשובת רשות ני"ע נכתב כי פעולתה בתחום ההיערכות לחירום נעשתה ביזמתה לאחר שזיהתה את הצורך בכך, ולא כתוצאה מהנחיה או הוראה שקיבלה מגורם רשמי.
כן הוסיפה בתשובתה כי תרחישי הייחוס לא נמס רו לה מעולם מצד גורם רשמי כלשהו, וכי מקורות המידע שלה לגבי תרחישי הייחוס היו חקר ובחינה עצמיים ולא הנחיה רשמית וסדורה.
בהיעדר תרחישי ייחוס לאומיים, הוחלט למקד את אפיון התרחישים המאיימים על הרשות בתרחישים מקצועיים.
חברה ב' ציינה בתשובתה כי תרחישי רשות ני"ע יוכנו כאשר יתקבלו 84 דוח שנתי64א .
התרחישים מהרשות הייעודית במשרד האוצר.
חברה ב' הוסיפה כי לדעתה, תרחישי הייחוס הם כלי עזר משני לבחינת ההשפעות על התהליכים הקריטיים של הארגון.
משרד מבקר המדינה מסב את תשומת לב הרשות הייעודית במשרד האוצר לאמור בתשובת רשות ני"ע בכל הנוגע לאי-קבלת המידע הרלוונטי עבורה מכלל תרחישי הייחוס הלאומיים.
הדבר מדגיש את הצורך במעקב של רח"ל אחר העברת מידע זה לגופים המונחים על ידי הרשויות הייעודיות.
עם זאת, היה ראוי שרשות ני"ע תפנה מיזמתה לרשות הייעודית במשרד האוצר ובאמצעותה אל רח"ל, לשם קבלת המידע האמור.
קביעת מדיניות להמשכיות עסקית בהנהלת הארגון 1.
קביעת היעדים והמטרות של הארגון במצבי חירום היא בעלת השפעה ניכרת על המתכונת לבניית תכנית להמשכיות עסקית.
בעת קבלת החלטה בדבר יעדי הארגון ומטרותיו אמורה הנהלת הארגון להציב את הקווים המנחים המרכזיים לבניית תכנית להמשכיות עסקית, בדגש על העקרונות הכלליים שתכנית זו נועדה להוציא אל הפועל.
ממסמך של אגף המינהל במשרד האוצר עולה כי אמנם הנהלת המשרד קבעה את תכלית פעילות משרד האוצר בעת חירום כ"הבטחת פעילות המשק במצב חירום במינימום פגיעה", אולם לדעת משרד מבקר המדינה מדובר בניסוח כללי מדי.
הרשות הייעודית במשרד האוצר השיבה כי בתרחיש הייחוס שהכינה הוצגו היעדים והמטרות של משרד האוצר להנהלת המשרד וקיבלו את אישורה.
לא נמצאו מסמכים המעידים שהנהלת משרד האוצר או הנהלת רשות ני"ע קבעו את היעדים ואת המטרות הכלליות של פעילותם בעת חירום כקו מנחה לבניית תכנית להמשכיות עסקית.
מעורבותה של הנהלת הארגון נדרשת לבוא לידי ביטוי בעת קבלת החלטות מרכזיות כחלק מבניית התכנית להמשכיות עסקית.
בין השאר, בקביעת הפעילויות החיוניות של הארגון, קביעת יעדי ההתאוששות ורמות השירות שלו, החלטה בדבר תעדוף תשתיו ת הנדרשות לשיקום פעילותו בשלב החירום, אישור הנהלים, אישור תכניות רב -שנתיות לתחזוקת התכנית להמשכיות עסקית, מעקב אחר תיקון הליקויים ועוד.
אגף החירום והביטחון במשרד האוצר הכין במרץ 2010 חוברת בשם "היערכות אגפי משרד האוצר למצבי חירום".
בחוברת זו הוטל על כל אחד מאגפי משרד האוצר להיערך למצבי חירום בנפרד; בכלל זה נדרש כל אגף לקבוע את הפעילויות הקריטיות בו, לקבוע יעדים ולקבוע את רמות השירות שייתן בשעת חירום, להגדיר את המשאבים הנדרשים לעמידה ביעדי השירות ולבצע פעולות לשם השלמת הפערים בין המשאבים הנדרשים לבין אלו העומדים לרשות האגף.
נמצא כי ההנהלה הבכירה של משרד האוצר לא אישרה את החוברת, ולא הייתה מעורבת בקבלת ההחלטות בשום שלב מהשלבים המרכזיים המפורטים בה.
לא נמצא כי מלכתחילה ניתנה הנחיה כלשהי של הנהלת המשרד בדבר ההחלטות המרכזיות שיש להביאן להכרעת ההנהלה ולאישורה.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 85 .
בתשובת הרשות הייעודית במשרד האוצר נאמר כי תפקידה של החוברת הוא להציב מדדים ברורים לאגפים.
המדדים והיערכות האגפים הוצגו להנהלת המשרד יותר מפעם אחת וקיבלו את אישורה.
הרשות הייעודית מסרה כי אין הנחיה לאגפים להיערכות נפרדת, אלא קביעת סטנדרטים ברורים למוכנות האגפים לחירום.
כל אגף אחראי להיערכותו להמשכיות תפקודית במצב חירום, ואילו תפקידי הרשות הייעודית הם לכוון את האגף מהבחינה המקצועית ולעקוב אחר ביצוע ההיערכות.
לדבריה, הדרך הנכונה והראויה, המצוינת ומוערכת על ידי גופים שונים, היא לקבוע מדדים, להנחות את האגפים, ללוות אותם בתהליך ולעקוב אחריהם, תוך שילוב ומעורבות של ההנהלה ותרגול מפעם לפעם.
משרד מבקר המדינה מעיר למשרד האוצר כי הדרך שבה רואה הרשות הייעודית במשרד האוצר את משימותיה אינה עולה בקנה אחד עם הגדרת תפקיד הרשות על ידי ועדת מל"ח העליונה29.
פעילות האגפים השונים של משרד האוצר נשענת על תשתיות משותפות, ועל כן אין מקום להפקיד חלק מאחריות הרשות אצל אגפי המשרד השונים.
על משרד האוצר לשוב ולבחון אילו מהפעילויות הקשורות בהכנת התכניות להמשכיות עסקית יכולות להתבצע באגפיו השונים, ואילו פעילויות ראוי שיבצע גוף מרכזי, כמו אגף הח ירום והביטחון.
זאת, כדי למנוע כפילות בהערכת הסיכונים, לטפל באיתור התשתיות הנדרשות וכדי לשפר את היערכות המשרד כולו למצבי חירום.
ברשות ני"ע לא נמצאה אסמכתה לדיונים שנעשו בהנהלת הרשות ולהחלטות שהתקבלו בחלק מהנושאים שפורטו לעיל.
חברה ב' השיבה למשרד מבקר המ דינה כי תפיסת החירום של רשות ני"ע הוצגה על ידה וקיבלה את אישורו של יו"ר הרשות, וכי תהליכי העבודה הקריטיים, רמות השירות ונהלי הפעולה של רשות ני"ע אושרו על ידי ראשי המחלקות ומזכ"ל הרשות.
בתשובת רשות ני"ע נכתב כי תוצרת עבודתה של חברה ב' סוכמה במצגת בעניין תפ יסת החירום של הרשות באוגוסט 2011 .
יו"ר רשות ני"ע נתן לכך אישור ואף אישר את רמות השירות של המחלקות.
בעקבות זאת, נקבעו נוהלי הפעלה למחלקות שאושרו על ידי המזכ"ל של רשות ני"ע.
חברה ב' הוסיפה כי המצגת היא תוצר סופי ואינה מכילה את כל שלבי העבודה.
משרד מבקר המדינה מעיר כי תוכן המצגת האמורה בתשובת רשות ני"ע אינו כולל את כל תוצרי העבודה שהייתה אמורה לקבל מחברה ב' בשלבי העבודה השונים כאמור.
נמצא כי הנהלת בנק ישראל הייתה מעורבת רבות בליווי השלבים השונים של בניית התכנית להמשכיות עסקית, ואף נעשו לשם כך דיונים רבים.
עם זאת, למרות טענות הבנק, לא נמצא כי הנהלת הבנק קבעה מראש אילו נושאים עליה לאשר, ולא נמצאו מסמכים המעידים שההנהלה אישרה, לפחות באופן פורמלי, חלק מהשלבים המרכזיים בבניית התכנית להמשכיות עסקית שפורטו לעיל.
בתשובה על פניית משרד מבקר המדינה, הבהיר בנק ישראל כי "ההנהלה לא הגדירה מראש את פירוט הבעיות בהן נדרשת החלטתה.
הבחירה אילו החלטות להציף להנהלה נתונה .
29 ראו לעיל תת-הפרק בנושא הרשות הייעודית לשעת חירום במשרד האוצר.
לשיקול הדעת של הגורם המקצועי (הממונה על המשכיות עיסקית) המתייעץ ומקבל אישור מהמנכ"ל".
קביעת יעדי ההתאוששות ורמות השירות מטרת הניתוח של מידת הפגיעה הצפויה לכל פעילות של ארגון, בהתאם למשך זמן השבתה משתנה, היא לאפשר לארגון לקבוע את יעדי ההתאוששות שלו לכל אחת מפעילויותיו הקריטיות30 .
הנחה פשוטה היא שכל ארגון מבקש להשיב לשגרה את כל הפעילויות החיוניות לאלתר, אולם לרוב שיקום פעילות ארגונית מסוימת בתוך זמן קצר מאוד כרוך בעלויות כספיות גבוהות לארגון.
מנגד, קביעת יעד התאוששות לזמן ארוך מדי אינה רצויה, שכן השבתה של פעילות ארגונית לזמן רב עלולה להביא לנזקים בלתי נסבלים עבור הארגון, או לאי-יכולתו להשיג את המטרות והיעדים שהוא מבקש לספק לציבור בשעת חירום ולאחריה.
קביעת יעדי ההתא וששות של פעילויות ארגוניות חיוניות צריכה להיות מבוססת אם כן על איזון בין הנזקים שהארגון מוכן לספוג, לרבות אי-יכולתו לספק שירותים לציבור במשך זמן ההשבתה, ובין העלות הכרוכה בנקיטת הצעדים הנדרשים לשם השבת הפעילות המושבתת לרמה שנקבעה.
גורם נוסף שיש להביאו בחשבון בהקשר זה הוא יחסי הזיקה בין פעילויות ארגוניות שונות, כך למשל יש פעילויות שיש לשקמן תחילה, מכיוון שהן מהוות תנאי הכרחי לקיומן של פעילויות אחרות.
בשעת חירום אין לעתים אפשרות מעשית או צורך להחזיר כל אחת מהפעילויות הארגוניות לרמתה שבשגרה.
רמת השירות המזערי ת היא הדרגה שבה מתבקש כי פעילות ארגונית מסוימת תשוקם במהלך שלבי ניהול אירוע החירום, והיא יכולה להשתנות על פני הזמן הצפוי לשיקום פעילותה כבימי שגרה.
חשוב לציין כי בנסיבות מסוימות פעילות ארגונית עשויה להידרש לרמת שירות גבוהה יותר בשעת החירום מזו הנדרשת ממנה בימי שגרה.
כך למשל, פעילות ארגונית שתכליתה מתן מענה לציבור עשויה להידרש לתפוקות גבוהות בעתות חירום לעומת ימי שגרה.
יעדי ההתאוששות ורמות השירות בבנק ישראל כחלק מעבודת ההכנה של התכנית להמשכיות עסקית, הציגה חברה א' באפריל 2007 טבלה המתארת 17 יעדי התאוששות בתחומי פעילות שונים של בנק ישראל.
משרד מבקר המדינה העלה בבדיקתו כי בנק ישראל קבע את יעדי ההתאוששות שלא על סמך ניתוח הפגיעה הצפויה כתוצאה מהשבתת הפעילויות החיוניות שלו לפרקי זמן שונים.
בנק ישראל ציין בתשובתו מאפריל 2013 כי יעדי השירות נקבעו בשנת 2007 ועודכנו ב- 2012 "שלא בדרך של ניתוח הפגיעה הצפויה לבנק מההשבתה, אלא על פי מתודולוגיה של חברה א' לפיה נמדד הזמן המקסימלי (בלי קשר לעלות המניעה) בו הבנק מוכן 'לסבול' את אי ביצוע התפקיד הקריטי.
לשם כך מתחשבים בנורמטיביות/קבילות ולא במחיר של שיקום הפעילות הקריטית".
30 הנהלת הארגון מחליטה על יעד ההתאוששות שפירושו פרק הזמן שיחלוף מהזמן שבה הושבתה פעילות ארגונית מסוימת ועד זמן השבת הפעילות לסדרה, בדרגה שעליה יוחלט.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 87 .
משרד מבקר המדינה מעיר לבנק ישראל כי תשובתו אינה מבחינה בין יעדי ההתאוששות ובין רמות השירות.
ככל שהדבר נוגע ליעדי התאוששות, נאמר בעבודתה של חברה א' עבור הבנק כי "זמן ההתאוששות המינימלי" הוא "משך הזמן המירבי אשר בו להערכתנו ניתן לפעול ללא אספקת שירות כלשהו של הבנק בנושא זה.
חריגה מזמן זה משמעותה גרימת נזק כבד במיוחד למשק או לציבור".
יעדי ההתאוששות ורמות השירות ברשות ניירות ערך במסגרת עבודת המטה שהגישה חברה ב' לרשות ני"ע במהלך 2011 נכללה טבלה המפרטת את פעילויות המחלקות השונות של הרשות בימי שגרה ובעתות חירום.
נמצא כי רשות ני"ע לא קבעה את יעדי ההתאוששות ואת רמות השירות.
בתשובת רשות ני"ע נכתב כי בנוהלי מחלקות הרשות פורטו, לכל אחת מהן, הפעילויות החיוניות בחירום, ואלו מהוות את הגדרת רמות השירות של כל מחלקה במצבי החירום השונים.
רשות ני"ע הוסיפה כי היא מקבלת את הערת משרד מבקר המדינה לעניין הצורך בקביעת יעדי התאוששות, וכי היא תוסיף אותם לנוהלי המחלקות.
משרד מבקר המדינה מסב את תשומת לב רשות ני"ע כי קביעת הפעולות החיוניות בחירום וקביעת רמת השירות של כל פעילות הן שתי פעולות שונות, כפי שפורט לעיל.
לעתים יש קשר בין יעדי ההת אוששות ובין רמות השירות של הארגון, דוגמת קביעת רמות שירות שונות על פני ציר הזמן של התאוששות הפעילות הארגונית.
יעדי ההתאוששות ורמות השירות במשרד האוצר כאמור, לפי ההנחיה שהפיץ אגף החירום והביטחון במשרד האוצר במרץ 2010 , נדרש כל אחד מאגפי משרד האוצר להגדיר את רמות השירות באגף.
בהנחיה הוסבר כי "הגדרת רמת השירות בחירום תיעשה בהתאמה לפרמטרים כגון: סוג התרחיש, מידת החשיבות של השירות, תשומות האגף המושקעות בו, מידת היכולת לממש את השירות ברמה מסוימת".
נמצא כי ההנחיה שהפיץ אגף החירום והביטחון אינה עוסקת בקביעת יעדי ההתאוששות.
בהיעדר יעדים להתאוששות, אי -אפשר לקבוע את רמת השירות המבוקשת ולהיערך כנדרש להתמודדות עם מצבי חירום, שבהם יושבתו פעילויות חיוניות.
עוד נמצא כי לא נקבעו רמות שירות לכל אגפי משרד האוצר; וכי לחלק מהפעילויות שנקבעו כקריטיות, לא נקבעו רמות שירות כלל.
אגף החשכ"ל השיב למשרד מבקר המדינה כי הוא מקבל את ההערה שיש לקבוע יעדי התאוששות, וכי האגף ישתלב בהמשך ביעדי ההתאוששות של משרד האוצר ויתאים את מוכנותו לפיהם, וכי יפעל כנדרש בנושא פעילויות קריטיות.
ניתוח התשתיות לצורך הגנה על הפעילויות החיוניות בארגון לפי התקנים המקובלים בעולם בדבר המשכיות עסקית, לאחר קביעת הפעילויות החיוניות של הארגון, שעליהן מבקשת התכנית להמשכיות עסקית להגן מפני איומים הנכללים בתרחישי הייחוס, נדרש ניתוח מפורט של התשתיות שעליהן מתבססת כל אחת מפעילויות אלו (כוח אדם, מתקנים-בניינים, טכנולוגיה, מי דע, ציוד ושירותים).
מטרות שלב זה הן כדלהלן: לזהות אילו תשתיות הן חיוניות לשם ביצוע כל אחת מהפעילויות הקריטיות של הארגון במצב חירום; לבחון כיצד הן עלולות להיפגע בתרחישי הייחוס השונים; לאפשר לארגון לנקוט צעדים לשם הפחתת הסיכונים הרלוונטיים; לפעול כדי לוודא שאותן תשתיות יעמדו לרשות הארגון בעת שיידרשו, והוא יוכל לעמוד ביעדי ההתאוששות וברמות השירות שנקבעו.
כמו כן, יש לבצע בדיקות בגופים חיצוניים המספקים לארגון שירותים הנדרשים לפעילותו החיונית, או שיש בהם תשומה הכרחית לפעילותו החיונית.
תהליך הניתוח הארגוני של תשתיות חיוניות אמור לעסוק בין היתר בתשתיות לאומיות, כגון דלק, מים, חשמל וגז, ולכן המידע בדבר תעדוף התשתיות האמורות בשעת חירום הוא רלוונטי לתהליך הניתוח הארגוני.
ואולם נמצא כי אין די שיתוף של מידע מצד רח"ל בנושא זה.
במכתב מינואר 2012 ביקש סגן המפקח על הבנקים מהשר להגנת העורף דאז, מתן וילנאי, ומראש רח"ל, מר אבי דוד, כי המשרד להגנת העורף יתערב לשם העברת מידע בדבר תעדוף של תשתיות קריטיות אל המערכת הבנקאית, כדי שתוכל לעמוד ביעדי השירות שלה במצבי חירום.
בפברואר 2012 השיב ראש חטיבת תקציבים ומשרדי ממשלה ברח"ל לסגן המפקח על הבנקים כי יש צורך להקים צוות בין-משרדי לבחינת נושא זה ונושאים אחרים; ואולם במועד סיום הביקורת טרם קודם העניין.
המשרד להגנת העורף הודיע בתשובתו כי במסגרת עבודת המטה שביצע הוקמו צוותים ייעודיים בנושא חשמל, דלק וגפ"ם (גז פחמימני מעובה); וכי בעקבות עבודתם נכתבו נהלים בין-ארגוניים, הם הופצו לכלל משרדי הממשלה לקבלת תגובתם, ולאחר אישורם - הופצו כנהלים מחייבים.
במרץ 2012 הנחה אגף החירום והביטחון במשרד האוצר את אגפי המשרד להגדיר את המשאבים הנדרשים לעמידה ביעדי השירות בכל אחד מהתחומים, לבחון את המשאבים העומדים לרשות האגף למטרה זו ולמפות את הפערים בינם ובין המשאבים הדרושים.
לדעת משרד מבקר המדינה, אין די בבירור התשתיות הדרושות לשם עמידה ברמות השירות, אלא יש חשיבות רבה גם לניתוח התשתיות הנדרשות לשם עמידה ביעדי ההתאוששות.
נוסף על כך, אף שאפשר שכל אגף האחראי לפעילות חיונית יגדיר את התשתיות הנדרשות למימושה, הרי שהנהלת המשרד צריכה לקבל, במסגרת האסטרטגיה להמשכיות עסקית, את ההחלטות הנדרשות לשם הפעלת התשתיות החיוניות במצבי חירום, בייחוד כשמדובר בתשתיות המשותפות לאגפים שונים, כגון תשתיות בינוי, תשתיות טכנולוגיה וציוד.
מנהל אגף בכיר לחירום וביטחון במשרד האוצר כתב למשרד מבקר המדינה בנובמבר 2012 , בכל הנוגע לזיהוי תשתיות קריטיות וניתוחן, כי "כחלק מההתכוננות, נערכו מס' דיונים בראשותו של המשנה למנכ"ל והממונה על הנושאים המנהליים", וכי "כלל התובנות באות לידי ביטוי בתיק הנהלים של אגף המינהל, אלו הוגדרו ליעדי ורמות השירות ואופן מימושם".
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 89 .
משרד מבקר המדינה מעיר למשרד האוצר כי לא נמצאו מסמכים בעניין הדיונים שהתקיימו.
בהיעדר ניתוח של הזיקה בין הפעילויות החיוניות ובין התשתיות הנדרשות להן, אין בידי משרד האוצר מלוא המידע הנדרש לשם תעדוף השימוש בתשתיות אלו בעת הצורך, והיכולת לעדכן את רכיבי התכנית להמשכיות עסקית ולתחזקה נפגעת.
זאת ועוד, נוהלי אגף המינהל נכתבו ואושרו בטרם הגדירו סופית כל אגפי משרד האוצר את הפעילויות הקריטיות, וממילא לא היה אפשר להשלים את ניתוח התשתיות הנדרשות לשם ביצוען של הפעילויות האמורות.
הרשות הייעודית במשרד האוצר מסרה בתשובתה כי לחלק מהתשתיות הקריטיות הוגדרו יעדי התאוששות, וכי היא תפעל על מנת לשפר את הטעון שיפור.
כוח האדם כדי להבטיח את היכולת הארגונית לאושש את הפעילויות החיוניות, יש לבחון מי הם בעלי התפקידים בארגון שבידיהם הכישורים והידע הנדרשים לביצוע כל פעילות, ומהו מניין העובדים המזערי הנדרש כדי לעמוד ביעדי ההתאוששות וברמות השירות.
פגיעה בזמינות כוח האדם עלולה לחייב את הארגון להשתמש בעובדים בתפקידים השונים מתפקידם הרגיל, ועל כן במיפוי כוח האדם צריך לקחת בחשבון את כלל עובדי הארגון.
במסגרת זו יש לנתח את סוג העבודה שהעובדים מבצעים ואת תרומתם המתבקשת לעמידה ביעדי הארגון בשעת חירום.
כמו כן, יש לזהות אילוצים הנוגעים לעובדים שעלולים להיות רלוונטיים במצבי חירום, כגון מוגבלות פיזית או קושי בשהייה ממושכת במקומות סגורים וכישורים הרלו ונטיים למצבי חירום, כגון מידת ההכשרה לסייע בעזרה ראשונה, בפעולות חילוץ ועוד.
בדיקת משרד מבקר המדינה העלתה כי למעט רשימת עובדים ופרטי יצירת הקשר עמם, לא בוצע במשרד האוצר וברשות ניירות ערך ניתוח שיטתי ויסודי של כוח האדם הנדרש לצורך כל אחת מהפעילויות הארגוניות החיוניות; על כן, בגופים אלו חסר מידע על אודות עובדים, שעשוי להיות רלוונטי בשעת חירום.
כתוצאה מכך מתעורר חשש שעקב אי -זמינות של עובדים במצב חירום, לא יעמוד לרשות הגופים הללו כוח האדם הנדרש לשם ביצוע פעילויותיו החיוניות.
הרשות הייעודית במשרד האוצר כתבה בתשובתה כי תפעל לתיקון הליקויים שנמצאו.
רשות ני"ע השיבה למשרד מבקר המדינה כי כל מחלקה ברשות פועלת להעמקת נוהלי העבודה בחירום, ואלו יכללו מידע רלוונטי בתחום כוח האדם הנדרש במצבי חירום.
הרשות צופה כי הכנת נהלים פנימיים אלו תסתיים בסוף מרץ 2013 , והיא מתכננת תרגיל במטרה לבחון את הנהלים.
תשתיות פיזיות תרחישי הייחוס מניחים טווח רחב של פגיעה אפשרית במבנים, החל מפגיעה מקומית שכמעט ואין בה כדי לפגוע בפעילות הארגון, ועד קריסה מלאה של מבנה, העלולה להשבית לתקופה ארוכה פעילויות המתבצעות במבנה בימות שגרה, או המיועדות להתבצע בו בשעת חירום.