HeTree/MevakerConcSen huggingface dataset:
בינואר 2012 נכנסו לתוקפן הוראות תקנון כספים ומשק (להלן - תכ"ם)22 שפרסם החשב הכללי (להלן - החשכ"ל) בעניין ניהול סיכונים תפעוליים במשרדי הממשלה.
מטרת ההוראות היא לאפשר להנהלות המשרדים להיערך מבעוד מועד למזעור הסיכונים הנשקפים להם ולהתמודד עם התממשותם.
הוראות אלו מאפשרות לכלול את ניהול הסיכונים האסטרטגיים, לרבות אלו המטופלים במסגרת התכנית להמשכיות עסקית, בניהול הסיכונים התפעוליים במשרד הממשלתי.
משרד מבקר המדינה מעיר כי לא נמצא שהנציבות ורח"ל נתנו את דעתן להשתלבות תחום הטיפול בהמשכיות העסקית במשרדי הממשלה, בצורכי כוח האדם ובהגדרות התפקידים העולים מהוראות תכ"ם האמורות, לרבות בעניין מינוי מנהל סיכונים תפעוליים משרדי, שנדרש להיות עובד בכיר במעמד של חבר הנהלה.
המשרד להגנת העורף הסביר בתשובתו כי הוא מנחה את משרדי הממשלה והרשויות הייעודיות שבתחום סמכותו ואינו פועל במישרין מול אגפים שונים במשרד ממשלתי או ברשות הייעודית.
עם זאת הוסיף כי יבחן עם הרשות הייעודית במשרד האוצר את הצורך בשיתוף פעולה עם החשכ"לית ואת האפשרות לשיתוף פעולה כזה.
הרשות לניירו ת ערך המזכיר הכללי של רשות ני"ע (להלן - המזכ"ל) אחראי לתפעולה השוטף, למעקב אחר יישום המדיניות שקבע יו"ר הרשות בתחומי פעילותה השונים ולאינטגרציה ותיאום בעבודת מחלקותיה.
כמו כן, המזכ"ל משמש מנהל מחלקת ארגון כספים ומשאבי אנוש.
לפי החלטת יו"ר רשות ני"ע פרופ' ש מואל האוזר מדצמבר 2011 , המזכ"ל משמש גם אחראי לתחום ההמשכיות העסקית ברשות.
לדעת משרד מבקר המדינה, על רשות ני"ע לבחון את ההיקף הרחב של הפעולות שבאחריותו של המזכ"ל ולשקול אם הן מאפשרות לו לייחד את הזמן הנדרש למילוי תפקיד האחראי להמשכיות עסקית ברשות - בימי שגר ה, ובמיוחד בעת חירום.
בתשובת רשות ני"ע למשרד מבקר המדינה ממרץ 2013 נכתב כי היא רואה בהיערכות לשעת חירום חלק בלתי נפרד מעבודת הנהלת הרשות, וכי יש יתרון בהפקדת האחריות לכך בידי גורם בכיר בארגון.
לאחר שקילת הדברים ובחינה מעמיקה החליטה הרשות לבסס את הטיפול בתחום על ניהול כולל באחריות המזכ"ל, על ריכוז עבודת המטה באחריות שני גורמי מטה בכירים ועל ייעוץ מקצועי חיצוני.
בהתחשב בהערת משרד מבקר המדינה תשקול הרשות לפעול לקביעת תקן לכוח האדם שיטפל בהיערכות לשעת חירום.
קביעת המתודולוגיה לבניית תכנית להמשכיות עסקית בנייתה של תכנית להמשכיות עסקית מחייבת מעורבות יסודית של הנהלת הארגון שעבורו היא נבנית, כחלק מאחריות ההנהלה לפעול לשמירת שרידות הארגון.
תהליך בניית התכנית מקיף .
22 הוראות תקנון כספים ומשק, פרק5.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 71 .
את כלל יחידות הארגון, מחייב לקבוע אילו פעילויות מצויות בליבת תפקודו ועליהן מעוניינת ההנהלה להגן, וכן לקבוע סדרי עדיפות ליחידותיו השונות וליעדי ההתאוששות ויעדי השירות שלו.
כתנאי להצלחתה של התכנית נדרש שיתוף פעולה של כל יחידות הארגון, לרבות תמיכת ההנהלה בתהליך והעברת מסר פנים-ארגוני בדבר הצורך בקידום התכנית.
אחד השלבים הראשונים בהכנת תכנית להמשכיות עסקית הוא החלטה על המתודולוגיה לבנייתה.
אף שיש כמה מתודולוגיות ותקנים לבניית תכניות להמשכיות עסקית23 , אין בישראל תקן מחייב.
המתודולוגיות נבדלות זו מזו במאפיינים שונים הנובעים מגודל הארגון ופריסתו, מהקשר שבינו ובין גורמי חוץ, ממידת התלות שלו בטכנולוגית, מהצורך בהתאמה לתכניות המשכיות עסקית של גופים אחרים ועוד.
נמצא כי אף שאחת ממטרות-העל של רח"ל היא יצירת שפה משותפת ובניית תכניות עבודה משותפות ומשולבות, היא לא ביצעה עבודת מטה לקביעת מתודולוגיה מפורטת לבניית תכניות להמשכיות עסקית, המותאמת לתנאים המיוחדים של מדינת ישראל בת חום המוכנות למצבי חירום; בכלל זה, ריבוי גופים המטפלים במצבי חירום, בניית תרחישי ייחוס ארגוניים על סמך תרחישי ייחוס ענפיים ולאומיים ועוד.
המשרד להגנת העורף הסביר בתשובתו כי רח"ל מציעה מתודולוגיה אחידה, וגורמי המקצוע הרלוונטיים במשרדי הממשלה אמורים להתאימה למאפייני הענף הייחודיים.
המשרד הוסיף כי בהתחשב בהערת משרד מבקר המדינה, תיבחן המתודולוגיה לבניית תרחיש ייחוס ענפי.
להלן תרשים המתודולוגיה שהציגה רח"ל לנציגי רשויות ייעודיות בדצמבר 2009: בנק ישראל את עיקר עבודת המטה שתכליתה הכנת תכנית להמשכיות עסקית עבור בנק ישראל ועבור הרשות הייעודית הפיננסית, עשתה חברה א' במהלך השנים 2007 -2008 .
לפי הפירוט שהציגה חברה א', שלבי העבודה המרכזיים בהכנת תכנית ההמשכיות העסקית, בדומה .
23 ראו לעיל, למשל בה"ש4,5.
:לתרשים של רח"ל, הם אלה "1 ;.
קביעת תרחישי ייחוס, שיהוו בסיס להכנת התוכנית2 .
קביעת יעדי רמות שירות למצבי החירום; 3 .
ניתוח הפערים ביכולת לספק את יעדי רמות השירות הנדרשים באמצעות הארגון והיכולות הקיימים, בתנאים הצפויים להתקיים בתרחישי הייחוס; 4 .
הכנת תוכנית היערכות שתאפשר לסגור את הפערים הנ"ל ולעמוד ביעדי השירות הנדרשים".
משרד מבקר המדינה מעיר כי המתודולוגיה העולה משלבי העבודה שהציגה חברה א' לבנק ישראל אינה מפורטת ברמה המקובלת לפי התקנים השונים בתחום זה.
אף שתקנים אלו אינם מחייבים, יש באמור בהם כדי לשמש דוגמה למידת הפירוט הראויה להצגה לפני הנהלת הבנק, כדי לתת לה די מידע לשם קבלת החלטה.
מתרשומת הדיונים של ההנהלה שמסר בנק ישראל למשרד מבקר המדינה, אין עולה כי הנהלת הבנק ביקשה שיוצגו לה מתודולוגיות חלופיות להכנת תכנית להמשכיות עסקית, ולא נמצאו מסמכים המעידים כי היא אישרה את ביצוע שלבי העבודה לפי מתודולוגיה זו.
בתשובת בנק ישראל מאפריל 2013 נכתב כי התקנים בת חום ההמשכיות העסקית אינם מחייבים, וכי תקנים 24001 ו- 22301 באו לעולם לאחר עבודת חברה א' עבור הבנק.
בטרם ביצוע העבודה על ידי חברה א' ייחד בנק ישראל זמן רב לאיתור באינטרנט של מתודולוגיות מעשיות בתחום.
הממונה על ההמשכיות העסקית בבנק דן עם יועץ של הבנק בנושא ועם חברה א', כדי לוודא שהמתודולוגיה שהיא מציעה מתיישבת עם זו שאיתר הבנק באינטרנט.
המתודולוגיה הובאה לפני הנהלת הבנק כמה פעמים, וזו דנה בנושא והשתכנעה.
חברה א' השיבה למשרד מבקר המדינה במאי 2013 כי עבודתה הייתה עבודת ייעוץ ראשונית שאין לקשור בינה ובין הליך של תקינה, וכי חלקים שונים של התקנים אינם רלוונטיים לעבודה זו.
משרד מבקר המדינה מעיר, כי אף שבבנק יש רישומים מפורטים של דיונים שקיימה ההנהלה בתקופה הרלוונטית בנושא ההמשכיות העסקית, לא נמצאו אסמכתות לדיונים בהנהלת הבנק, בהם נדונה המתודולוגיה שהציגה חברה א', וגם לא לפעולות לאיתור מתודולוגיות שביצע האחראי להמשכיות עסקית.
אף שהתקנים שצוינו בתשובת הבנק חוברו אחרי עבודת חברה א', הרי שבעת שזו בוצעה כבר היו כמה תקנים אחרים בתחום ההמשכיות העסקית.
משרד האוצר לפי המידע שמסר משרד האוצר למשרד מבקר המדינה, עיקר העיסוק בתחום המוכנות לשעת חירום במשרד האוצר החל ב- 2008 , כאשר מנכ"ל המשרד דאז הטיל על אגף הביטחון את האחריות לריכוז תחום זה.
ב- 2008 הוכן חדר מצב במשרד והוכן תיק נהלים להפעלתו.
ב- 2009 בוצעה עבודת מטה נפרדת לכל אחד מהאגפים בעזרת נציגי אגף הביטחון והחירום כדי להגדיר את מוכנותם לחירום, והחלה היערכות מול כל אגף להכנת נוהלי חירום אגפיים, שתכליתם המשכיות ורציפות תפקודית של האגף במצב חירום.
ב - 2010 בוצעה סדרת פעילויות מול האגפים שבמסגרתה מופו הצרכים של האגפים, השינוי ברמת הביקוש לשירותיהם במצבי החירום וכנגזר מכך - קביעת יעדי השירות ורמות השירות.
ב - 2011 כתב אגף הביטחון והחירום את תרחיש הייחוס הענפי של המשרד במתאר מלחמה, המביא לידי ביטוי את הפגיעה הצפויה בתשומות המשרד ואת השינוי ברמת הביקוש לשירותי המשרד ויחידותיו.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 73 .
לדעת משרד מבקר המדינה פעולות משרד האוצר לבניית תכנית המשכיות עסקית, כפי שתוארו על ידו, נעשו בסדר הפוך מן המקובל על פי כל מתודולוגיה ותקן.
קביעת נהלים לאגפי המשרד תחילה, קביעת יעדי השירות ורמתם לאחר מכן וכתיבת תרחיש הייחוס בשלב האחרון אינם מאפשרים היערכות נכונה, מלאה ויעילה לסיכונים שבפניהם ניצב המשרד.
הרשות הייעודית הסבירה בתשובתה כי משרד האוצר "הכין מתודולוגיה סדורה של מוכנות והמשכיות תפקודית של המערכות השונות, לרבות הגדרת פרמטרים מדידים לעמידה במוכנות זו.
מתודולוגיה זו הוצגה להנהלת המשרד יותר מפעם אחת וקיבלה את אישורה.
בנוסף, בוצע מעקב אחר התנהלות האגפים בהתאם למתו דולוגיה זו ואף ראינו שיפור משמעותי על ציר הזמן של הגופים".
כמו כן ציינה הרשות הייעודית כי בתחילת עבודתה היה צורך בביצוע פעולות מיידיות ובסיסיות עקב נסיבות שונות, כגון מבצע "עופרת יצוקה" ותרגילי חירום לאומיים.
עודכנה שיטת הפעולה של הרשות משרד מבקר המדינה מעיר כי מהמסמכים שהמציא לו משרד האוצר עולה כי הוא לא קבע מתודולוגיה לבניית תכנית להמשכיות עסקית על שלביה השונים; לא נמצאו פרוטוקולים המעידים על דיונים שהתקיימו בהנהלת המשרד בעניין זה; ולא נמצאו אישורים של הנהלת המשרד לבניית התכנית ולשלבים השונים שיש לכלול בתהליך הכנתה.
אגף החשב הכללי במשרד האוצר במאי 2010 .
"הכין החשכ"ל דאז חוברת מקיפה בעניין "יעדי שירות ונהלי עבודה בחירום נמצא כי בשנים 2009 -2010 ניהל אגף החשכ"ל פעילות עצמאית ומקבילה לפעילותה של הרשות הייעודית במשרד האוצר, בכל הנוגע למוכנות לקראת שעת חירום.
במסגרת זו בנה האגף תרחישי ייחוס שאין בהם התייחסות לכך שהאגף הוא חלק ממשרד האוצר ומשתמש בתשתיות קריטיות הזהות בחלקן לאלה של שאר אגפי המשרד.
לא נמצא כי פעילות אגף החשכ"ל בוצעה לאחר שנקבעה ואושרה מתודולוגיה לבניית תכנית ההיערכות לשעת חירום.
בתשובת אגף החשכ"ל נאמר כי אף שהוקמה רשות ייעודית לשעת חירום במשרד האוצר, החליטה החשכ"לית להתחיל בפעילות לשיפור מוכנות האגף ללא המתנה, והנהלת האגף עבדה באופן שיטתי ואישרה את התרחישים, היעדים, המטרות ותכנית העבודה בנושא ההיערכות לשעת חירום.
הרשות הייעודית מסרה בתשובתה למשרד מבקר המדינה כי משנת 2010 אגף החשכ"ל פועל בהתאם להנחיותיה.
הרשות לניירות ערך במרץ 2011 פרסמה רשות ני"ע בקשה להגשת הצעות לייעץ לה בעניין המוכנות למצבי חירום.
בהצעת חברה ב', שהרשות בחרה בה, נאמר כי תהליך ביצוע העבודה יתבסס על דרישות תקן ישראלי 24001 לחוסן ביטחוני והמשכיות עסקית.
החברה ציינה כי "השימוש במתודה זו יאפשר לרשות מאוחר יותר, לגשת למבדקי ההסמכה של מכון התקנים בנוחות יתרה".
רשות ני"ע הסבירה בתשובתה למשרד מבקר המדינה כי אף שלא קיבלה לידיה את התקן, הוא הוצג לה במסגרת הליכי בחירת היועץ.
חברה ב' השיבה למשרד מבקר המדינה כי בשל עמדת רשות ני"ע כי היא אינה מעוניינת בהסמכה לתקן 24001 , לא נעשה מאמץ לעמוד בו, אף כי תהליך העבודה התבסס על תקן זה.
לדעת משרד מבקר המדינה, אין די בכך שתקן 24001 הוצג לרשות ני"ע במסגרת בחינת הצעת חברה ב', והיה על הרשות ל בחון את תוכנו של התקן ואת מידת התאמתו לפעילותה.
השמירה על חשאיות של מידע רגיש בדבר תכניות להמשכיות עסקית חשיפת מידע הכלול בתכניות להמשכיות עסקית של גופים פיננסיים, לרבות מסמכים המשמשים רקע ותשתית לתכניות אלו או מסמכים שיש בהם מידע על תרגולים והסקת מסקנות, עלולה להעמיד גופים אלו בסכנה.
כך לדוגמה, חשיפת המידע עלולה להביא לגילוי של הנקודות הרגישות והפגיעות בארגונים, אופי הנזק שעלול להיגרם להם בתרחישים שונים ושיעורו - מידע יקר ערך עבור גורמים עוינים לארגון.
הסיכון הטמון בחשיפת מידע הכלול בתכניות להמשכיות עסקית מחייב אפוא שמירה קפדנית על נוהלי הכתיבה, הטיפול, ההפצה, שמירת הסודיות וביעור של מסמכים הכוללים מידע רגיש.
נמצא כי בנק ישראל, משרד האוצר ורשות ני"ע לא קבעו כי יש לעסוק במסמכים הנוגעים לתכניות של המשכיות עסקית בדרכים המתחייבות מרגישות המידע הכלול בהם, לא קבעו נהלים לטיפול במסמכים אלו, ולא הקפידו על סיווג המסמכים על פי רגישותם.
עוד נמצא כי המפקח על הבנקים, אגף שוק ההון ורשות ני"ע לא הנחו את הגופים שבפיקוחם לנהוג במידע הנוגע לתכניות להמשכיות עסקית שלהם על פי רגישותו כמפורט לעיל.
כמו כן נמצא כי משרד האוצר ורשות ני"ע לא דאגו להבטיח בחוזי ההתקשרות עם יועצים בתחום ההמשכיות העסקית כי לא יישאר בחזקתם מידע ומסמכים של הגופים ששכרו את שירותיהם.
בנק ישראל, משרד האוצר ורשות ני"ע לא דאגו לרישום המסמכים הרגישים שנמסרו ליועצים ולהשבת החומר אליהם בסיום העבודה.
בתשובת הרשות ה ייעודית במשרד האוצר נאמר כי "משרד האוצר פועל בהתאם לכללי אבטחת המידע הנדרשים", וכי "היועצים המועסקים במשרד האוצר עברו תחקיר בטחוני מתאים והוחתמו על הצהרת שמירת סודיות".
בתשובת בנק ישראל הוסבר כי נושא החיסיון הבנקאי מוטמע במהות עבודת הפיקוח על הבנקים והמערכת הבנקאית, ו"ככלל מסמכי הפיקוח זוכים לחיסיון הקבוע בדין, ואף בחוק בנק ישראל קיימת הוראה בדבר חיסיון המידע".
הבנק הוסיף וציין כי דאג להכליל בהסכמים שנחתמו עם היועצים סעיפים בדבר סודיות, בעלות על המידע ותוצריו והשבת המידע לבנק בתום העבודה, וכי המפקח על הבנקים העביר מידע ליועצים במדיה מגנטית שהוחזרה בתום עבודת הייעוץ.
עוד ציין הבנק כי בינואר 2013 הופצו הנחיות אבטחת מידע בין כלל עובדי הבנק, וכי הוא הרחיב את פעילותו בנושא זה בעקבות הערות משרד מבקר המדינה.
בתשובת רשות ני"ע נאמר כי היא מקבלת את הערת משרד מבקר המ דינה, וכי בעקבותיה החתימה הרשות את היועץ לתחום ההיערכות לחירום על מסמך סודיות מפורט.
משרד מבקר המדינה מעיר לבנק ישראל, משרד האוצר ורשות ני"ע כי אין להסתפק בהכללת הוראות חוזיות הנוגעות לחשאיות של מידע רגיש, אלא יש לנקוט אמצעים מעשיים לסיווג מידע רגיש ולאבטחתו, לרישום המסמכים הכוללים מידע רגיש שמועברים ליועצים ולאיסופם בתום עבודת הייעוץ.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 75 .
זיהוי סיכונים העומדים לפני הארגון ובניית תרחישי ייחוס תרחישי ייחוס לאומיים למל"ח המונח סיכון בהקשר של תכניות להמשכיות עסקית עוסק בכל איום כלפי ארגון - ממקור חיצוני או ממקור פנימי.
תכליתו של התהליך לזיהוי סיכונים והערכתם היא למפות את מקורות הסיכון המרכזיים לארגון, להפחית אותם ככל האפשר ולהציב תשתית לפיתוח תכנית להתמודדות עם הסיכונים או להתאוששות מאירועים שבהם הסיכונים מתממשים.
לשם כך, יש לנתח את ההסתברות למימוש הסיכון, לזהות את מקורותיו ולבחון את השפעותיו האפשריות על פעילות הארגון.
כאמור, ועדת השרים לענייני ביטחון לאומי קבעה בין תפקידיה של רח"ל בימי שגרה את ריכוז עבודת המטה, הכוללת את הגדרת האיום ותרחישי ייחוס 24 .
לעורף ברמה הלאומית תרחיש ייחוס ענפי צריך להיגזר מתרחיש הייחוס הלאומי, ובין השאר לקבוע באמצעותו את היעדים, פעולות ההיערכות והאמצעים להבטחת תפקודה של הרשות הייעודית בשעת חירום.
שלושה תרחישי ייחוס לאומיים מגדירים את השפעות האיומים השונים על משק המדינה: 1.
תרחיש ייחוס לאומי למלחמה: תרחיש זה הוכן עבור רח"ל בידי חברה א' ב- 2007 , והוא מבוסס על תרחיש הייחוס שנערך בצה"ל.
תרחיש הייחוס למלחמה הוגדר על ידי רח"ל כסודי, שלא כתרחישי ייחוס לאומיים אחרים.
תרחיש ייחוס לאומי לרעידת אדמה: תרחיש ייחוס זה הוכן בידי שתי חברות פרטיות, על סמך עבודה של ועדת ההיגוי הלאומית להיערכות לרעידות אדמה .
התרחיש, אשר הוצג ב - 2004 ועודכן (בעיקר בנוגע למספר הנפגעים הצפוי) במהלך 2011 , עוסק בעיקרו ב"שלב השיקום הראשוני", שראשיתו ימים ספורים לאחר אירוע רעידת האדמה.
התרחיש מתווה את האומדן למידת הפגיעה בענפי משק שונים ובתשתיות (חשמל, מים, תקשורת ותחבורה).
הנחת התרחיש היא כי כ -20% ממוסדות השלטון בערים הגדולות יושבתו בשל נזק מבני.
כמו כן מפורטות בתרחיש הנחות בדבר מספר ההרוגים והפצועים בדרגות חומרה שונות לפי אזורים, וכן הערכה של מספר העובדים שייעדרו ממקום עבודתם בתקופה שלאחר רעידת האדמה.
תרחיש ייחוס לאומי למגפה (פנדמיה): משרד הבריאות הכין תרחיש זה ב - 2006 בעקבות אירועים עולמיים שהעלו חשש מפריצת מגפות קשות ששיעורי התחלואה בהן גבוהים.
התרחיש כולל הערכה בדבר היעדרות ממושכת של עובדים רבים ממקומות העבודה.
במהלך הביקורת מסרה הרשות הייעודית הפיננסית למשרד מבקר המדינה כי תרחיש הייחוס למלחמה, המסווג כסודי, נמסר לה מרח"ל רק ביוני 2012 .
ואולם ממסמכים שהועברו למשרד מבקר המדינה עולה לכאורה כי את תרחיש הייחוס למלחמה העביר סגן יו"ר ועדת מל"ח העליונה דאז למפקח על הבנקים דאז כבר בינואר 2008 .
במאי 2008 שב ופנה מ"מ יו"ר ועדת מל"ח עליונה דאז למפקח על הבנקים דאז והסב את תשומת לבו אל התרחיש שהועבר אליו, וציין כי הוטל על הרשות הייעודית להציג עד נובמבר אותה שנה את תרחיש הייחוס הענפי, יעדי רמות השירות וניתוח הפערים לאישור מטה מל"ח ארצי; כן הוטל על הרשות הייעודית הפיננסית להכין תכנית לצמצום הפערים שתוצג לאישור סופי של ראש מערך מל"ח.
24 בתרחיש הייחוס הלאומי לרעידות אדמה מ - 2004 "מוגדר "תרחיש ייחוס בתור "מתאר של מאפייני איום ותסריטים אפשריים שנקבעו כנקודת התייחסות לצורך תכנון המענה בהיערכות ובמשאבים".
במצגת של חברה א' משנת 2009 הוגדר המונח "תרחיש ייחוס" בתור "מתאר אפשרי של אירועי משבר שבגינו צפוי להיגרם נזק משמעותי למערך תפעולי מסוים ואשר מוצב כמתאר הרלוונטי לתכנון מענה ע"י הגורם המתכנן".
בנק ישראל השיב למשרד מבקר המדינה באפריל 2013 כי לאחר בדיקה לא נמצאה עדות לקבלת תרחיש הייחוס בינואר 2008 ולא זכור לגורמים שהיו בתפקיד בבנק באותה תקופה כי התקבל תרחיש כאמור.
מכתבו של מ"מ יו"ר ועדת מל"ח העליונה ממאי 2008 אמנם התקבל בבנק, אולם לא נמצא רישום כי המכתב נענה.
משרד מבקר המדינה מעיר כי עם קבלת מכתב זה היה על הבנק לפעול לאיתור התרחיש המסווג כסודי ולבדוק אם אכן נמסר לבנק.
בתשובת המשרד להגנת העורף מאפריל 2013 נאמר כי כל מסמך בסיווג סודי מופץ בצירוף אישור קבלה שעליו חותם המקבל ומחזיר לשולח, וכי האישורים נשמרו בלשכת יו"ר ועדת מל"ח דאז.
עם זאת, לא עלה בידי המשרד להגנת העורף לאתר את אישור הקבלה של תרחיש הייחוס שעליו חתם בנק ישראל.
(א) כאמור, תרחיש הייחוס הלאומי למלחמה מסווג כסודי, ועל כן אין ביכולתן של הרשויות הייעודיות להפיצו בקרב הגופים שהן מנחות, כבסיס להכנת תרחיש הייחוס הארגוני.
כמו כן, אי אפשר להעבירו כבסיס להיערכות ספקים חיוניים של הרשויות הייעודיות ושל בנק ישראל.
אף על פי כן, נדרשים הגופים המונחים - גופי המערכת הבנקאית, הגופים המוסדיים וספקים של הגופים הפיננסיים השונים, לבנות תכניות להמשכיות עסקית לשם התמודדות עם סיכונים שונים, בהם סיכוני מלחמה.
בנק ישראל מסר בתשובתו מאפריל 2013 כי אינו קובע את "רמת הסיווג של החומרים המועברים לידיו מצד בטחוני שלישי", וכי הגדרת תרחיש ייחוס לאומי שאינו מסווג אמורה להיות באחריות המשרד להגנת העורף, לצורך הפצתו לכלל הרשויות הייעודיות.
בנק ישראל ציין עוד כי בשל חוסר היכולת לחשוף את תרחיש הייחוס הלאומי לפני המערכת הבנקאית, נקט המפקח על הבנקים דרכים חלופיות, והנחה למשל את המערכת הבנקאית לתת את דעתה לתרחישים שבבסיסי התרגילים הלאומיים, ואף העביר מידע רלוונטי נוסף במפגשים עם סמנכ"לי הבנקים.
כמו כן מסר בנק ישראל כי במהלך 2012 גיבש באופן עצמאי תרחיש ייחוס ענפי כדי לפתור את בעיית הסיווג הביטחוני וכי "בימים אלו התרחיש הועבר לעיון גורמים שונים בבנק ישראל ולאחר מכן יועבר לאישור רח"ל ולמערכת הבנקאית".
המשרד להגנת העורף הסביר בתשובתו כי תרחיש הייחוס הלאומי מתאר תמונת מצב לגבי כלל ההיבטים ברמה הלאומית, ועל כן סיווגו הוא סודי.
הרשויות הייעודיות אחראיות להעברת התרחיש לגופים שבפיקוחן בהתחשב בדרישות הנובעות משמירה על ביטחון המידע.
בתרחיש הייחוס הענפי, אשר משמש את הרשות הייעודית הפיננסית להנחיית הגופים שבאחריותה, נכלל מידע רלוונטי עבורה, והוא יכול להיות מסווג ברמה נמוכה יותר.
בעקבות ממצאי הביקורת הוסיף המשרד להגנת העורף כי יבחן, בשיתוף גורמי אבטחת המידע במשרד הביטחון, את הפצת תרחיש הייחוס הלאומי בדרגת סיווג ביטחוני נמוכה יותר.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 77 .
לדעת משרד מבקר המדינה, היה מן הראוי שהרשות הייעודית הפיננסית ורח"ל יסדירו ביניהן כבר בשנת 2008 את המחלוקת בכל הנוגע לאחריות להעברת המידע הנדרש לגופים שהרשות הייעודית הפיננסית מנחה.
מאחר שתרחיש הייחוס למלחמה משמש אחת מאבני היסוד המרכזיו ת להכנתן של תכניות להמשכיות עסקית, ובשל העלויות הכבדות הכרוכות בפעולות שעל הגופים המונחים לנקוט לשם הכנתן ויישומן, מן הראוי שרח"ל והפיקוח על הבנקים יאיצו את הפעילות לגיבוש תרחיש ייחוס שיספק את כל המידע הדרוש לצורך היערכות הגופים המונחים, בלי לפגוע בביטחון המדינה.
על רח"ל לוודא כי הרשויות הייעודיות יעבירו את המידע הרלוונטי מתוך תרחיש הייחוס הלאומי לגופים שהן מנחות.
(ב) תרחיש הייחוס הלאומי לרעידות אדמה אינו כולל פגיעת משנה הנגרמת עקב היווצרות גלי צונאמי, אף שזו עלולה בתנאים מסוימים לגרום לפגיעה חמורה יותר מזו הנגרמת עקב רעידת האדמה.
באוקטובר 2012 נערך בישראל תרגיל העורף הלאומי- "נקודת מפנה 6 ," שבמסגרתו תורגל תרחיש של רעידת אדמה ובעקבותיה גלי צונאמי.
לקראת התרגיל הפיצה רח"ל לרשויות הייעודיות הנחיה בדבר ביצוע התרגיל והצורך לתרגל התמודדות עם אירוע צונאמי.
בעקבות זאת הנחה אגף שוק ההון את הגופים המוסדיים לבצע תרגול של אירוע הצונאמי.
המשרד להגנת העורף השיב למשרד מבקר המדינה כי "במסגרת ההערכות לתרגיל נקודת מפנה 6 עלה כי קיימת אפשרות לאירוע צונאמי בחופי המדינה", וכי "על מנת להביא למודעות של הגורמים השונים לנושא הצונאמי, סוכם עם יו"ר ועדת ההיגוי הלאומית לרעידות אדמה, כי גם בהיעדר תרחיש ותוכנית מענה, יועלה הנושא במהלך התרגיל כדי שיהווה בסיס להמשך קיום עבודת מטה לכתיבת תרחיש ותוכנית מענה לאומית".
לדעת משרד מבקר המדינה, משסברה רח"ל כי יש להיערך לתרחיש צונאמי ברמה הלאומית, היה עליה לפעול לבניית תרחיש ייחוס מתאים ולהעבירו לידי הרשויות הייעודיות על מנת שייערכו על פיו וינחו את הגופים שבאחריותן.
התועלת בתרגול תרחיש שהגופים הרלוונטיים לא נדרשו להיערך לקראתו בעוד מועד מועטה בהשוואה לביצוע תרגיל לאחר היערכות.
תרחישי ייחוס ארגוניים 1.
השפעתו האפשרית של אירוע סיכון על ארגון מסוים מותנית בין השאר במהות הארגון ופעולותיו, בתפרוסת האתרים שהוא פועל בהם ובגורמים המצויים בסביבתו.
תרחישי ייחוס לאומיים עוסקים באיומים על המשק בכללותו, ואינם יכולים לשמש בסיס רחב דיו לניתוח מצבי הסיכון שלפניהם ניצב כל ארגון.
על כן, יש לגזור מתרחישים אלו את הסיכונים על פי מאפייניו הייחודיים של כל מגזר וארגון.
נוסף על סוגי הסיכונים שבהם עוסקים תרחישי הייחוס הלאומיים, יש מגוון של סוגי סיכונים המאיימים על הארגון, דוגמת פיגועי טרור, טרור מקוון, פשיעה, שרפה, הצפה, פגיעה בספקי תשתיות, פגיעה בספקי ציוד חיוני ועוד.
ניתוח האיומים ובניית תרחישי הייחוס הם תשתית הכרחית להכנת תכנית להמשכיות עסקית של ארגון.
סוגי סיכונים שונים עשויים לבוא לידי ביטוי בנזקים בעלי אופי דומה, אך בהיקף 78 דוח שנתי64א .
לצורך כך על הארגון לבצע עבודת מטה הכוללתאת כל סוגי האיומים האפשריים על הארגון בעת ובעונה אחת.
עם סיכונים מסוימים יעדיף הארגון שלא להתמודד, למשל כאלו שההסתברות להתממשותם היא זניחה מאוד.
ההחלטה בדבר הצורך להיערך לסיכון מסוים נגזרת מן ההסתברות להתממשותו, מן הנזק הצפוי לפעילות הארגון כשהסיכון מתממש ומהיקף האמצעים הנדרשים לשם התגוננות ממנו ושיקום התפקוד הרגיל לאחר מכן.
בבחינת ההוצאות הנדרשות להתמודדות עם סיכון מסוים, יש לבחון אילו אמצעים נוספים נדרשים לשם התגוננות, נוסף על אלו שבהם משתמש הארגון להתגוננות מסיכונים אחרים.
גופים ציבוריים, במיוחד בעלי חשיבות לאומית, כגון משרד האוצר, בנק ישראל ורשות ני"ע, נדרשים להביא בחשבון לא רק את הנזק העלול להיגרם לגוף הציבורי עצמו כתוצאה מהתממשות סיכון אלא גם את הנזק שעלול להיגרם לכלכלת ישראל, לתדמית המדינה ולכלל אזרחיה.
הבחירה בדבר הסיכונים שהארגון ייערך לקראתם צריכה להיות של הנהלת הארגון, על סמך עבודת מטה מסודרת הבוחנת את המדדים שצוינו לעיל.
בתדריך שהעבירה חברה א' מטעם רח"ל בדצמבר 2009 לנציגי משרדי ממשלה שונים, שנועד להציג את הנחיית רח"ל לגבי דרכים להכנת תרחישי ייחוס ענפיים, הציגה חברה א' בתור דוגמה חלק מתרחיש הייחוס הענפי שהכינה עבור הרשות הייעודית הפיננסית.
החברה הסבירה כי תרחישים שאינם מציבים סיכון לנזק בעל ערך מערכתי לאומי (דוגמת תרחישי טרור וטרור-על), אינם משמשים תרחישי ייחוס עבור הרשות הייעודית הפיננסית בישראל.
יוער כי הוראת נב"ת 355 קובעת כי על המערכת הבנקאית להיערך נגד מתקפות טרור, כחלק מתרחישי הייחוס הנוגעים לשיבושים תפעוליים ניכרים.
זאת ועוד, הוראת נב"ת 355 קובעת את הצורך בהיערכות לסוגי איומים שאינם נכללים בתרחיש הייחוס הלאומי או הענפי.
לדעת משרד מבקר המדינה, מן הראוי שכל ארגון יבנה תכנית להמשכיות עסקית הבוחנת את מכלול הסיכונים המאיימים עליו, אף אם אינם יוצרים פוטנציאל לנזק לאומי מערכתי.
זאת, מכיוון שעלול להיווצר נזק חמור לארגון שלא בהכרח יגרום לנזק ענפי חמור; כן עלול להיגרם נזק ענפי חמור שלא בהכרח יגרום לנזק בעל השפעות לאומיות.
משרד מבקר המדינה מעיר כי הכנת תרחישי ייחוס ארגוניים (או ענפיים) אך ורק על סמך תרחישי ייחוס לאומיים עלולה בתנאים מסוימים לשנות את ההחלטה הפנים -ארגונית בדבר אירועים שהארגון בוחר מראש שלא להיערך לקראתם.
קביעה מראש, בלא בדיקה מעמיקה, כי אין צורך להיערך לסיכון ברמה שאינה כלולה בתרחיש הייחוס הלאומי, עלולה להביא את הארגון שלא לפעול ולהכין עצמו לשעת חירום, היערכות שהיה מן הראוי לבצע26.
בכל הגופים שנבדקו נמצא כי הם לא בדקו אם יש להתגונן מפני רמות סיכון חריגות יותר מאלו שעל בסיסן נבנו תרחישי הסיכון הלאומיים וכיצד; לא נמצא שהנהלת הגוף דנה בדבר כדי לקבוע את סוגי הסיכונים שמפניהם הוחלט להתגונן, ומפני אילו סיכונים לא להתגונן.
25 למשל נזק למבנה כתוצאה מפגיעת טיל עלול במצבים מסוימים להיות חמור פחות מפיגוע טרור של פיצוץ מטען נפץ באותו משקל בשל היבטים של זווית הפגיעה, מיקומה וסוג המרעום.
26 ,כך למשל, ראוי שמאגרי מידע חשובים, ממשלתיים ופרטייםדוגמת מרשם האוכלוסין, פנקסי המקרקעין, נתונים בנקאיים ועוד, יהיו ערוכים גם נגד אירועים שהסתברותם קטנה במיוחד או שהנזק הנגרם מהם הוא רב מאוד.
בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום 79 .
בתשובת בנק ישראל נאמר כי "הבנק עסק בהרחבה ברעידת האדמה הקשה שהיתה ביפן ולמד את ניסיון הבנק המרכזי היפני בצד האופרטיבי והעסקי, וכן הבנק יזם את בניית תרחיש הייחוס בתחום מתקפת סייבר ודן ארוכות במשמעויותיו לבנק".
משרד מבקר המדינה בדק מסמכים המתעדים את עיסוקו של בנק ישראל ברעידת האדמה שהתרחשה ביפן ב - 2011 , ולא מצא בהם עדות כי בנק ישראל בחן את הצורך להתמודד עם רמת סיכון חריגה מהמתוארת בתרחיש הייחוס הלאומי לרעידת אדמה.
משרד מבקר המדינה מעיר כי מן הראוי שבדיקה כאמור תתבצע בשלב קביעת תרחישי הייחוס הארגוניים לגבי כלל הסיכונים, ובכלל זה רעידות אדמה.
בינואר 2012 נכנסו לתוקפן הוראות פרק 5.
2 לתקנון כספים ומשק (תכ"ם) שפרסם החשכ"ל במשרד האוצר בעניין ניהול סיכונים תפעוליים במשרדי הממשלה.
תכליתן ש ל ההוראות היא לאפשר להנהלות המשרדים להיערך בעוד מועד למזעור סיכונים אפשריים ולהתמודד עם התממשותם.
ההוראות קובעות מתודולוגיה מובנית ואחידה לזיהוי סיכונים, ניהולם, הפחתתם ודיווח עליהם.
בהוראות אלו "סיכון תפעולי" לא הוגדר סיכון אסטרטגי 27.
נקבע בהן כי "מנהל הס יכונים התפעוליים המשרדי יהיה רשאי, בהתאם לשיקול דעתו, להרחיב את סקר הסיכונים כך שיכלול גם מיפוי סיכונים אסטרטגיים ברמת המשרד ובכך להטמיע תהליך של ניהול סיכונים כולל במשרד".
כמו כן נקבע כי "בעת ההיערכות והמיפוי יפריד המשרד בין פעילויות בעלות זיקה לפעילות אג ף החשב הכללי או בעלות השלכה כספית ישירה (להלן: "סיכונים תפעוליים"), לבין פעילויות שקשורות לסיכונים אסטרטגיים (כגון: היערכות למלחמה, מחסור במים).
הפעילויות הקשורות לסיכונים אסטרטגיים ימופו על פי החלטת מנהל הסיכונים התפעוליים המשרדי בנפרד או במסגרת סקר הסיכונים התפעוליים".
על פי הוראות תכ"ם, אין חובה לשלב את ניהול הסיכונים התפעוליים ואת הטיפול באלו הנכללים בהכנת תכנית להמשכיות עסקית, והדבר נתון לשיקול דעתה של הנהלת המשרד.
הנהלת משרד האוצר לא נתנה את דעתה לצורך לבחון ולקבל החלטה בעניין זה.
לדעת משרד מבקר המדינה, ניהול סיכונים תפעוליים לפי הוראות תכ"ם המשולב במסגרת ההיערכות למצבי חירום כחלק מהתכנית להמשכיות עסקית, מקנה יתרונות רבים.
בין השאר, חלק מהסיכונים התפעוליים המטופלים לפי הוראות תכ"ם עלולים לבוא לידי ביטוי בפגיעה במשרדי הממשלה, הדומה לזו שעלולה להיגרם כתו צאה מסיכונים אסטרטגיים מסוימים; הוראות תכ"ם בעניין ניהול סיכונים תפעוליים קובעות מתודולוגיה משותפת לכלל משרדי הממשלה, שיטה שעשויה לייעל גם את הטיפול בסיכונים אסטרטגיים; פעולות להפחתת סיכונים תפעוליים עשויות אפוא להשתלב היטב בפעולות משרדי הממשלה להפחתת סיכונים אסטרטגיים.