HeTree/MevakerConcSen huggingface dataset:
93 בתרשים זה סך ההתפלגויות מסתכם ביותר מ- 100% מכיוון שייתכנו כמה מקורות דיווח על אותו אירוע.
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות תרשים 19: שימוש בקו חם למסירת תלונות אנונימיות במשרדי הממשלה .
מתרשים 19 עולה כי4 (18% ) משרדי ממשלה ו-32 (63% ) חברות ממשלתיות השיבו כי .
משרד מבקר המדינה ממליץ לחברות הממשלתיות96 ולמשרדי הממשלה97 שטרם הקימו .
קו חם לבחון הקמת מנגנון דיווח ייעודי למסירת תלונות ודיווחים הן מגורמים פנימיים והן .
מגורמים חיצוניים, לצורך העברת מידע לגבי חשדות למעילה.
לכשיוקם מנגנון הדיווח, .
מוצע לחברות הממשלתיות ולמשרדי הממשלה להגיש דוח שנתי על תלונות שהתקבלו .
בקו החם תוך תיאור הטיפול בהן להנהלת החברה ולמנכ "ל ולחשב המשרד, בהתאמה.
95 על פי התשובות לשאלון, להלן התפלגות כמות התלונות שהתקבלו בשנים 2019-2017 ב- 32 חברות ממשלתיות אשר .
מפעילות קו חם: ב -11 חברות לא התקבלו תלונות; ב - 7 חברות התקבלו עד5 תלונות; ב - 2 חברות התקבלו בין6 ל-10 .
תלונות; ב -3 חברות התקבלו בין11 ל- 20 תלונות; ב - 4 חברות התקבלו מעל20 תלונות; מחמש חברות לא התקבלו נתונים.
96 ;איסורד; האגודה לתרבות הדיור; האיגוד; החברה לחקר מדעי החיים; חל"י; החברה להגנות מצוקי חוף הים התיכון .
החברה לחינוך ימי; החברה לפיתוח מזרח ירושלים; החברה לשיקום ולפיתוח הרובע היהודי; המועצה הישראלית .
לצרכנות; המכון הגיאופיסי; הקרן למורשת הכותל; הרשות לחינוך והכשרה ימיים; חלד; חקר ימים ואגמים; מקווה .
ישראל; מדרשת שדה בוקר; נצר השרון; שקמונה.
97 המשרד להגנת הסביבה; המשרד לפיתוח הפריפרייה, הנגב והגליל; המשרד לשיתוף פעולה אזורי; משרד האוצר; .
משרד האנרגייה; משרד הבריאות; משרד החוץ; משרד החינוך; משרד החקלאות; משרד הכלכלה; משרד המדע; .
משרד המשפטים; משרד הרווחה; משרד הפנים; משרד התחבורה; משרד התיירות; משרד התרבות והספורט; משרד .
0%10%20%30%40%50%60%70%80%90%100%שיעור הארגונים .
בתשובתו מסר החשכ"ל כי הדבר הוא באחריות המשר דים, וכי מאחר שהוא רואה ערך רב בקיומו .
של ערוץ תקשורת ישיר לדיווח על מעילות, הוא ישקול להודיע למשרדים כי עליהם להקים .
מנגנון דיווח על חשד לאי-סדרים, אשר מבטיח את סודיות הדיווח.
תגובות הארגונים הממשלתיים: שלושה משרדי ממשלה 98 וחברת נצר השרון השיבו כי ההמלצה .
מקובלת, וכי הם יבחנו את יישומו של קו חם בארגון.
ארבע חברות ממשלתיות 99 השיבו כי .
ההמלצה מקובלת, וכי הן יפעלו ליישומו של קו חם בחברה.
חל"י השיבה כי לדעתה היקף העובדים המצומצם בחברה אינו מצדיק את קיומו של קו חם.
משרד מבקר המדינה מציין כי קיומו של קו חם אמור לסייע לעובדים או לגורמים חיצוניים .
לדווח על אירועים חריגים, וכפי שצוין לעיל מדובר באמצעי מוביל באיתור מעילות.
כי חל"י תבחן יישום של קו חם בחברה.
פיקוח ומעקב הגופים המאסדרים על תחום ניהול הסיכונים .
משרדי ממשלה : ביולי 2016 פורסמההוראת תכ"ם 5.
1 "עקרונות לניהול סיכונים תפעוליים .
בחטיבות מטה באגף החשב הכללי ובחשבויות משרדי הממשלה" , המפרטת את העקרונות .
ליישום ניהול סיכונים תפעוליים.
משנת 2017 קיימת חובת דיווח שנתית של חשבי המשרדים .
למנהל הסיכונים הראשי בחשכ"ל באמצעות מערכת RM GRC .
לדוגמה, בהנחיה השנתית .
שפרסם מנהל הסיכונים הראשי לחשבי המשרדים ביוני 2021 :התבקשו החשבים לבחון את הסיכונים שמופו בעבר.
במידת הצורך, לעדכן את סקרי הסיכונים במערכת.
לבצע הערכת סיכונים מחודשת לכל סיכוני הרוחב וסיכוני המפתח100.
לתקף את הסיכונים שזוהו כגבוהים ומכריעים בחשיבות ם.
כמו כן, ההנחיה קובעת כי "הדיווחים המבוקשים למטה החשב הכללי יבוצעו באמצעות מערכת .
ניהול סיכונים SAP - GRC , קיימת חשיבות רבה לשימוש במערכת לניהול סיכונים, בעצם היותה .
תשתית התומכת בתהליך ניהול סיכונים סדור באגף ובפעולות נדרשות לניהול הסיכונים".
ההנחיה קובעת לוחות זמנים ואבני דרך לשם השלמת ההיערכות הנדרשת לגיבוש מפת .
הסיכונים לכלל חטיבות החשכ"ל.
כפי שצוין, מדובר בסיכונים הנמצאים באחריות החשבויות .
בלבד ולא בכלל הסיכונים הקיימים במשרד.
רשות החברות הממשלתיות: רשות החברות פועלת מכוח חוק החברות הממשלתיות , .
מפגישות שקיים משרד מבקר המדינה עם רשות החברות ביוני ויולי2021 עלה .
98 משרד האנרגייה; משרד הפנים; משרד ראש הממשלה.
99 החברה להגנות מצוקי חוף הים התיכון; הקרן למורשת הכותל; חקר ימים ואגמים; שקמונה.
100 סיכוני מפתח - סיכונים שהוגדרו בעלי רמת השפעה והסתברות גבוהות במיוחד ותועדפו על ידי הנהלת הארגון .
במסגרת תוכנית הפחתה .
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות כי בהקשר של ניהול סיכונים, הרשות משמשת "נציג בעלים " (מטעם המשרד הממשלתי .
הרלוונטי) בעל סמכויות ייעוץ.
חוזרים שמפרסמת הרשות בנושא זה אינם בגדר חובה רגולטורית .
אלא בגדר ייעוץ, אך חברות ממשלתיות מחויבות לדון בדירקטוריון החברה בהוראות החוזר .
ולבחון את אופן יישומו.
משרד מבקר המדינה דן בעבר בנושא סדרי הפיקוח והבקרה של רשות .
החברות 101 , בין היתר, בסוגיית הפיקוח על יישום חוזר ניהול סיכונים 2009 וסקירת טיוטות .
הדוחות הכספיים של החברות.
בינואר 2020 פורסם חוזר ניהול סיכונים2020 " ,.
על פי החוזרעל החברות לדווח לרשות החברות .
הממשלתיות על עדכון סקר הסיכונים בחברה וכן דיווח שנתי על אירועי כשל ואירוע כשל .
מהותיים שאירעו במהלך השנה".
מהפגישות שקיים משרד מבקר המדינה עם רשות החברות עולה כי הרשות מקבלת את .
סקרי הסיכונים, אולם לא בתהליך סדור ולא דרך מערכת ממוחשבת.
מתקבלים לעיתים סקרים באמצעות דואר אלקטרוני או באמצעות נציג רשות החברות .
היושב כמשקיף בדירקטוריון החברה.
בהקשר זה יש לציין כי מערכת אנפ"ה של רשות החברות מקבלת את דיווחיהן הכספיים של .
החברות, אולם הדיווחים הנלווים (כגון סקר הסיכונים) לא נקלטים בה או שלא מוזנים בה באופן .
כמו כן, אין למערכת כלי לניתוח המידע המתקבל, שביכולתו להצביע בין השאר על .
רשות החברות מסרה כי נושא שדרוג המערכת או הקמת מערכת חדשה עומדים .
על סדר היום של הרשות, אולם טרם גובשה תוכנית סדורה, לרבות הקצאת תקציב ייעודי לנושא.
משרד מבקר המדינה ממליץ לרשות החברות לבחון את שדרוג מערכת אנפ"ה או .
החלפתה, כך שתוכל לקלוט במועד את מלוא הדיווחים אשר החברות הממשלתיות .
נדרשות להעביר לרשות, ובהם סקרי הסיכונים, וכן לנתח את הפערים והחריגות העולים .
רשות החברות השיבה כי בשנת 2022 היא מתכננת להקים בשיתוף אגף בכיר לטכנולוגיות .
דיגיטליות ומידע במשרד האוצר מערכת הצפויה לתמוך בתהליכי העבודה, לסייע בממשק עם .
החברות ולתת מענה איכותי לצ ורכי הרשות.
זאת, לאחר קבלת תקציב ייעודי עב ור תשתית .
חשובה זו, אשר תספק מענה לקבלת דיווחים שונים מהחברות הממשלתיות באופן ממוחשב .
ותאפשר יכולת אפקטיבית של מעקב ובקרה בעניין דיווחים אלו.
שאלון בנושא מערכות מידע 102 .
בעידן הנוכחיטכנולוגיית המידע (IT ) ממלאתמקום חשוב מאוד בארגונים.
השתרשה התפיסה כי המינהל הציבורי לא יכול להיות יצרני ויעיל ללא תמיכה של טכנולוגיית .
למערכת מידע שתי תכליות עיקריות: אוטומטיזציה של תהליכי עבודה; תמיכה בהליכי .
101 ,ראו מבקר המדינהדוח שנתי 63 א (2012 ,)" סדרי הפיקוח והבקרה של הרשות- רשות החברות הממשלתיות", עמ' .
102 פרק זה מבוסס על שאלון מערכות מידע שענו עליו23 משרדי ממשלה מתוך23 ו-51 חברות ממשלתיות מתוך51.
קבלת ההחלטות מבוססי נתונים.
התכליות הללו הוכרו בסדרת החלטות ממשלה 103 .
להתמודד עם סיכון המעילה בארגון, יש לבנות מנגנוני בקרה מתאימים במערכות המידע אשר .
יאפשרו בין היתר זיהוי פעילות שאינה מורשית, איתור מוקדם של מעילות, הנפת דגלים אדומים .
שהוגדרו ותחקור אירועים שהתרחשו.
ממצאי פרק זה מבוססים על תשובות משרדי הממשלה .
והחברות הממשלתיות לשאלון ייעודי בנושא מערכות מידע.
מינוי מנהל מערכות מידע בארגון .
מנהל מערכות מידע בארגון (להלן - מנמ"ר) הוא האחראי ל עיצוב אסטרטגיית המחשוב כך .
שתתמוך בפעילות העסקית.
למנמ"ר אחריות כוללת על כלל מערכות המידע בארגון , לרבות: .
מתן שירותי טכנולוגיית מידע למשתמשים במ ערכות המידע של הארגון ; תהליכי הפיתוח, .
ההקמה והתחזוקה של מערכות התשתית והיישומים; ניהול עובדים וספקים; זיהוי סיכוני תקשוב .
ומתן מענה להם; כתיבת נהלים בתחום מערכות מידע ויישומם ; יישום רמה נאותה של אבטחת .
מידע; בניית יכולת התאוששות טכנולוגית מאסון.
משרדי ממשלה : בשנת 2011 פרסמה נציבות שירות המדינה חוזר104 , אשר בין היתר קבע כי .
בכל אגף מערכות מידע105 במשרדי הממשלה יוגדרו ארבעה בעלי תפקידים מרכזיים כתפקידי .
ליבה: מנמ"ר , מנהל יישומים, מנהל טכנולוגיות ומנהל אבטחת מידע.
לשאלון עולה כי בכל משרדי הממשלה יש מנמ"ר.
חברות ממשלתיות: בחברות הממשלתיות אין חובה למנות מנהל מערכות מידע.
שקיים משרד מבקר המדינה עם רשות החברות עולה כי לאור השונות הרבה בין החברות, בין .
היתר בהיבטי גודל ומורכבות, הרשות לא מצאה לנכון לחייב מינוי מנהל מערכות מידע בחברות .
מתשובות החברות הממשלתיות לשאלון עולה כי ב -16 (31% .
בתרשים 20 שלהלן מובאים פרטים על התפלגות חברות ממשלתיות אלו לפי סיווגן ברשות .
103 החלטת ממשלה1933" , שיפור העברת המידע הממשלתי והנגשת מאגרי מידע ממשלתיים לציבור", ( 30.
החלטת ממשלה4028" ,חיזוק יכולות המשילות, התכנון והביצוע של הממשלה - המשך הדיון", ( 25.
ממשלה 4753 " הגברת השימוש במידע ממשלתי לצורך שיפור המדיניות הממשלתית והגברת האפקטיביות של .
פעולות הממשלה", ( 24.
104 " ,נציבות שירות המדינהשינויים במערך הארגוני של אגפי מערכות מידע במשרדי הממשלה וביחידות הסמך ".
105 במרץ2019 פרסמהנציבות שירות המדינה נוהל בנושא "עדכון תפקוד אגפי מערכות מידע במשרדי הממשלה ויחידות .
בנוהל זה שונה שמה של יחידת התקשוב המשרדית לאגף בכיר טכנולוגיות דיגיטליות ומידע.
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות תרשים 20: התפלגות16 החברות הממשלתיות ללא מנמ"ר לפי סיווגן ברשות .
כפי שעולה מתרשים 20 , מרבית החברותהממשלתיות אשר אין להן מנמ"ר (94% ) קטנות .
יחסית, ונמצאות בסיווגים 3 - 6 של רשות החברות.
לוח 9: רשימת החברות הממשלתיות ללא מנמ"ר חברות ממשלתיות ללא מנמ"ר .
1 2 3 4 5 6 7 8 9 10 10.
סיווג החברות על פי רשות החברות .
כאמור המנמ"ר אחראי, בין היתר, על ניהול סיכוני התקשוב של הארגון ועל מתן מענה .
באמצעות מערכות המידע לסיכונים אחרים שזיהה הארגון.
מהתשובות לשאלון עלה כי .
בשליש מהחברות הממשלתיות לא מונה מנמ"ר.
משרד מבקר המדינה ממליץ לחברות הממשלתיות אשר אינן מעסיקות מנמ"ר לוודא כי .
קיימת אסטרטגיית מחשוב מספקת, וכי ניתן מענה, באמצעות מערכות המידע, לסיכוני .
התקשוב ולסיכונים אחרים שזיהה הארגון, לרבות הסיכון לביצוע מעילות.
תגובות החברות הממשלתיות: חמש חברות ממשלתיות 106 השיבו למשרד מבקר המדינה כי .
להערכתן מבנה החברה או גודלה אינם מצריכים העסקת מנמ"ר ייעודי.
שש חברות107 השיבו כי .
יש להן אחראי מחשוב פנימי או חיצוני המטפל בנושאי התקשוב בחברה.
שלוש חברות108 השיבו .
כי מאז המענה לשאלון מונה אצלן מנמ"ר או שהן נמצאות בתהליך גיוס מנמ"ר.
ביצוע סקר סיכונים בתחום התקשוב .
סיכון תקשוב מוגדר על ידי רשות התקשוב הממשלתי (להלן - רשות התקשוב)109 כ"חשיפת .
נכסי התקשוב, תשתיות התקשוב, תהליכי התקשוב או פרויקטי התקשוב לאירוע כשל אשר .
יגרום לפגיעה ביעדים".
סקר לניהול סיכוני תקשוב מוגדר כ "תהליך של זיהוי ו ניתוח סיכוני .
תקשוב לצורך גיבוש דרכי התמודדות עימם".
משרדי ממשלה : על פי הנחיית רשות התקשוב 110 מנהל סיכוני תקשוב משרדי 111 ידווח למנהל .
סיכוני תקשוב ראשי ברשות התקשוב על הנושאים האלה: תוצאות סקר סיכוני התקשוב שבוצע .
במשרד; סיכום הדיון בוועדת ההיגוי המשרדית או ועדת ההיגוי לפרויקט בנושא תוצאות הסקר ; .
סיכונים מהותיים שנבחרו לצורך הכנת תוכניות טיפול; התקדמות בביצוע תוכניות טיפול; שינויים .
מהותיים שבוצעו בסקר הסיכונים; אירועי כשל או כמעט כשל, תהליך הפקת לקחים ותוכנית .
חברות ממשלתיות: על פי חוזר ניהול סיכונים 2020 דירקטוריון החברה אחראי לעריכת סקר .
סיכונים מקיף בחברה אשר יכלול את כל סוגי הסיכונים הרלוונטיים לחברה , לרבות סיכוני .
מפגישות שקיים משרד מבקר המדינה עם רשות החברות עולה כי אין הנחיה ייעודית .
לביצוע סקר סיכונים בתחום התקשוב.
106 דירה להשכיר; החברה לחינוך ימי; החברה לפיתוח חוף אילת; החברה לשיקום ולפיתוח הרובע היהודי; הרשות .
107 האגודה לתרבות הדיור; חל"י; החברה להגנות מצוקי חוף הים התיכון; הכפר הירוק ; המועצה הישראלית לצרכנות; .
108 הקרן למורשת הכותל; חלד; שקמונה.
109 רשות התקשוב הממשלתי, הנחיה 1.
04 - ביצוע סקר סיכוני תקשוב שוטף במשרדי הממשלה (דצמבר 2018.
110 רשות התקשוב הממשלתי, הנחיה 1.
02 - ביצוע סקר סיכוני תקשוב במשרדי ממשלה (נובמבר 2017.
111 מנהלסיכוני תקשוב משרדי - מנמ"ר או מי מטעמו (מנהל בדרג שמתחת למנמ "ר) האמון על תהליך ניהול סיכוני .
התקשוב במשרד ונמצא בקשר רציף עם מנהל סיכוני תקשוב ראשי ברשות התקשוב הממשלתי.
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות בתרשים 21 שלהלן מובאים פרטים על עריכת סקרי סיכונים בתחום התקשוב במשרדי .
הממשלה ובחברות הממשלתיות, על פי התשובות לשאלון בנושא מערכות מידע.
תרשים 21: התפלגות עריכת סקרי סיכונים בתחום התקשוב וביצוע ההמלצות .
מתרשים 21 עולה כי2 (9% ) משרדי ממשלה השיבו כי לא ערכו סקר סיכוני תקשוב.
אלו שהשיבו כי ערכו סקר - 90% מהם יישמו את ההמלצות באופן חלקי, ומשרד אחד- .
בקרב החברות הממשלתיות, על פי תשובותיהן לשאלון - ב-10 .
(20% ) חברות לא נערך סקרסיכוני תקשוב.
לגבי אלו שכן ערכו סקר - רובן (כ-60% ) .
יישמו את ההמלצות באופן חלקי .
לוח 10: רשימת משרדי הממשלה והחברות הממשלתיות שלא ערכו סקר .
משרדי ממשלהחברות ממשלתיות .
המלצות יושמו במלואן 1 17 .
המלצות יושמו באופן חלקי 19 24 .
לא בוצע סקר סיכוני תקשוב 2 10 .
משרד מבקר המדינה ממליץ למשרד החוץ ולמשרד לשירותי דת לבצע סקר סיכוני .
תקשוב בהתאם להנחיות רשות התקשוב.
נוכח התופעה הקיימת ברוב משרדי הממשלה .
של יישום חלקי בלבד של המלצות סקרי סיכוני התקשוב - מומלץ כי רשות התקשוב .
תעקוב אחר קבלת דיווחים בדבר ביצוע הסקרים על ידי כלל משרדי הממשלה ותפקח .
על כך וכן תוודא יישום מלא של ההמלצות.
כמו כן ממליץ משרד מבקר המדינה גם .
לחברות הממשלתיות שטרם ערכו סקר סיכוני תקשוב לבצע זאת, ולגבי אלו שערכו - .
לוודא את יישום ההמלצות.
תגובות הארגונים הממשלתיים : משרד החוץ, המשרד לשירותי דת, רכבת ישראל, נתיבי ישראל .
ותש"ן השיבו למשרד מבקר המדינה כי ביצעו סקרי סיכונים אשר התמקדו באבטחת מידע או .
משרד החוץ הוסיף כי בכוונתו לבחון ביצוע של סקר סיכונים פרטני לתהליך .
מניעת מעילות במסגרת ת וכנית העבודה של אגף התקשוב, בכפוף למידת ההישענות על .
תשתיות התקשוב ולהחלטת מנהל ה סיכונים הארגוני.
רכבת ישראל מסרה כי ברבעון הרביעי .
של שנת 2021 החל תהליך של ביצוע סקר סיכונים חדש המקיף את תחום הסייבר, אבטחת .
המידע והתקשוב, אשר צפוי להסתיים בסוף שנת 2022.
שתי החברות האחרות השיבו כי הן .
מקבלות את ההמלצה - החברה לפיתוח חוף אילת מסרה כי חמ"ת (חברת האם) תבחן את .
הנושא ותשקול לכלול את נושא התקשוב בסקר הסיכונים המקיף הקרוב שיבוצע, בשים לב .
לתקציב החברה, ובשים לב להחלטותיה באשר לשירותי התקשוב המסופקים כיום לחברה .
לפיתוח חוף אילת; הכפר הירוק מסרה כי ההמלצה מקובלת עליה, וכי מבקר הפנים ביצע סקר .
סיכונים תקשובי, בהתאם לדרישת ם של הדירקטוריון וועדת הביקורת של החברה, אשר כלל .
ביקורת על תפקוד החברה בכל הקשור למערכות מידע, וכי הלקחים הוטמעו.
חלמיש השיבה כי המערכת הראשית והמרכזית של החברה שבה מנוהלים תיקי הדיירים היא .
תוכנה של חברת עמידר , המשמשת מבחינתה זרוע של המדינה.
לחלמיש אין היכולת לפקח על .
תחזוקת התוכנה או לקחת אחריות לתחזוקתה.
החברה פועלת במישור המשפטי לשינוי המצב .
האמור , אולם בפועל כיום האחריות לתחזוק המערכת היא של עמידר .
עמידר מסרה כי חלמיש .
אחראית על תפעול רשת המחשבים שלה וכי פיתוח התוכנה ועדכונ ה מבוצע על פי תהליכי .
העבודה וההנחיות המקצועיות שנקבעים ע ל ידי חלמיש.
משרד מבקר המדינה ממליץ לחלמיש כי תפעל לביצוע סקר סיכונים תקשובי, אשר .
כמפורט לעיל אמור לסייע בזיהוי ו בניתוח של הסיכונים התקשוביים העומדים בפני .
החברה בכל מערכות המידע בהן היא משתמשת, לצורך גיבוש דרכי ההתמודדות עימם.
בתשובתה מדצמבר 2021 מסרהרשות התקשוב למשרד מבקר המדינה כי היא משמשת גורם .
מטה ומנחה מקצועי ומבקר של אגפי הטכנולוגיות הדיגיטליות והמידע ב משרדי הממשלה .
עם זאת, האחריות לכלל היבטי התקשוב - מרמת המדיניות ועד רמת הביצוע .
בפועל - נתונה בידי משרדי הממשלה תוך בקרה של רשות התקשוב , בכלל זאת, האחריות .
לביצוע סקרי הסיכונים.
הרשות מבקרת את פעילות המשרדים בעיקר בכמה נקודות ממשק .
לאורך שנת העבודה כגון אישור תוכניות עבודה משרדיות, דיון בפרויקטים נבחרים בוועדת .
התקשוב העליונה ובביקורות מדגמיות עיקריות.
עם זאת היא לא מבצעת בקרה שוטפת לגבי כל .
מערכת או פעילות של משרד, בפרט לגבי השאלה האם בוצע סקר הסיכונים כפי שמונחים .
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות המשרדים והאם הממצאים שעלו בסקר מיושמים בפועל.
רשות התקשוב סבורה כי "זהו האיזון .
הנכון בין אחריות המשרדים לבין ההנחיה המרכזית שהרשות מייצרת באופן רוחבי לממשלה".
שימוש בבקרות ממוחשבות להתמודדות עם מעילות .
התפתחות הטכנולוגיה והשימוש במערכות מידע מביאים לצבירת מידע רב על אודות הפעולות .
ניתן להשתמש בכלים ממוחשבים לעיבוד המידע הצבור ו להמרתו לידע .
( Knowledge ) רלוונטי, אשר יאפשר סריקה אוטומטית של תנועות ואיתור סממנים להתנהלות לא .
הגישות העיקריות לשימוש בכלים ממוחשבים למניעת מעילות ואיתורן הן: .
ניתוח נתונים ( Data Analysis)112; ( כריית נתונים Data Mining )113; ומדע נתונים ) Data Science)114.
בתרשים22 שלהלן מוצגים היתרונות והאתגרים העיקריים בעת שימוש בכלים ממוחשבים .
לאיתור מעילות ומניעתן.
112 ניתוח נתונים או Data Analysis - מאפשר קבלת החלטות והפקת תובנות ברמת עומק בסיסית, תוך כדי שימוש בכלים, .
כגון מערכות בינה עסקית (BI ) או שאילתות על בסיס הנתונים.
113 כריית נתונים או Data Mining - הסקת תובנות, מציאת אנומליות וזיהוי מתאמים (קורלציות), שלא ניתן לגלות באופן .
כריית נתונים מיושמת באמצעות מערכות ייעודיות שאליהן מזינים כללים וחוקים, תוך כדי שימוש ביכולת .
ניתוח סטטיסטית מבוססת גילוי ( discovery ( ), ניבוי prediction ( ) או תיאור descriptive .
114 מדע נתונים או Data Science - תהליך רב-שלבי של טיפול בנתונים הכולל בין השאר: הבנת ה בעיה העסקית, הגדרת .
מרחב הנתונים הנדרש, טיפול מקדמי בנתונים, בחינת אופי הנתונים וטיבם, הרצת מודל אחד או יותר של כריית .
נתונים, בחינת התוצאות המתקבלות ויישום הפתרון בפועל.
כל זאת מתוך שילוב יכולות אנליטיות מבוססות מודלים .
סטטיסטיים, מודלים מתמטיים, יכולות תכנות ועוד.
תרשים 22: יתרונות ואתגרים עיקריים בעת שימוש בכלים ממוחשבים לאיתור .
על פי אלקלעי 2021 , בעיבודמשרד מבקר המדינה.
כפי שצוין לעיל, השימוש בכלים טכנולוגיים לאיתור ומניעת מעילות הוא חלק בלתי נפרד .
מדרישות הממשל התאגידי של כל חברה וכן מן הדרישות המקצועיות מרואה החשבון המבקר .
של החברה והמבקר הפנימי: החברה עצמה : כאמור בשנת 2016 פרסם ארגון ה- COSO מדריך לניהול סיכוני מעילות115 .
,במסגרת המדריך מפורטים חמישה עקרונות לניהול סיכוני מעילות, וביניהם "הארגון בוחר .
מפתח ומיישם פעילויות בקרה למניעה ולאיתור מעילות, להפחתת הסיכון להתרחשותם .
של אירועי מעילות או אי - זיהויים בזמן".
כדי להשיג עיקרון זה, הארגון נדרש בין היתר .
להגדיר פעולות בקרה כלליות ולהטמיע אותן במערכות המידע שלו.
רואה חשבון מבקר: כאמור בשנת 2002 פרסמה AICPA את תקן ביקורת SAS99, אשר דן .
בפעולות שעל המבקר לבצע, בכל הנוגע לבחינת הסיכונים בתחום המעילות וההונאות .
להן חשוף הארגון המבוקר.
בין היתר, על רואה החשבון המבקר לבדוק את הספר הראשי .
של הארגון כדי לזהות פקודות יומן חריגות העשויות להעיד על מעילה.
115 :להרחבה ראו summary.
pdf- executive- guide- management-risk-fraud- https://www.
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות מבוססת מחשב נדרשת בין היתר כדי לבחון מידע שעשוי להיות קיים רק בצורה .
מבקר פנימי: כאמור בשנת 2009 פרסם ה -IIA את הוראה GTAG 13116 בנושא "מניעת .
מעילות והונאות ואיתורן בעולם הטכנולוגי" .
ההוראה קובעת כי שימוש בטכנולוגיה מאפשר .
לארגונים להטמיע בקרות אוטומטיות למניעת מעילות ולאיתורן, ולהתקדם מביקורת חד .
פעמית או תקופתית לניטור מתמשך בזמן אמת.
כמו כן, בשנת 2011 פרסם ה -IIA את .
הוראה GTAG 16117, בנושא "שילוב תחקור נתונים בביקורת", אשר מטרתה לסייע במעבר .
מביקורת ידנית לטכנולוגיות תחקור נתונים מתקדמות.
התקן מציין כי כמעט בלתי אפשרי .
לבצע ביקורת יעילה ומועילה ללא שימוש בטכנולוגיה.
התקן גם מציין כי שימוש .
בטכנולוגיה מאפשר לצפות בנתונים במבט -על ולתחקר אותם פרטנית, דבר המאפשר זיהוי .
חריגים העשויים לחשוף מעילה אפשרית בארגון.
להלן בתרשים 23 פרטים על השימוש בבקרות ממוחשבות לאיתור חריגות וזיהוי מגמות במשרדי .
הממשלה ובחברות הממשלתיות, על פי תשובותיהם לשאלון: .
תרשים 32: השימושבבקרות ממוחשבות לאיתור חריגות ומגמות 118 .
116 :להרחבה ראו https://chapters.
org/montreal/ChapterDocuments/GTAG13.
117 :להרחבה ראו- ractice guidance/p- guidance/recommended- https://na.
משרד התקשורת לא השיב על שאלה זו חברות ממשלתיותמשרדי ממשלה .
אין בקרות ממוחשבות כלל 12 7 .
יש בקרות ממוחשבות לפחות בחלק .
מתחומי הפעילות36 1575%68%25%32% .
מתרשים23 עולה כי ב-7 (32% ) ממשרדי הממשלה וב-12 (25% )מהחברות ה ממשלתיות .
אין בקרות ממוחשבות לאיתור חריגות ומגמות.
לוח 11: רשימת משרדי הממשלה והחברות הממשלתיות שאין להםבקרות .
ממוחשבות לאיתור חריגות ומגמות .
לאור החשיבות הרבה בבקרות ממוחשבות למניעת מעילות ולאיתורן, מומלץ כי משרדי .
הממשלה והחברות הממשלתיות יבחנו יישום של בקרות כאלו בסביבת המחשוב שלהם.
תגובות הארגונים הממשלתיים: ארבעה משרדי ממשלה 119 השיבו למשרד מבקר המדינה כי הם .
מסתמכים על הבקרות המובנות במערכת מרכב"ה.
שלוש חברות ממשלתיות 120 השיבו כי לאחר .
בחינת היקף הפעילות ושיקולי עלות לעומת תועלת הוחלט כי אין צורך ב הטמעת בקרות .
ממחושבות לאיתור ולמניעה של מעילות.
נצר השרון השיבה כי בכוונתה להביא את ההמלצה .
לפני מבקר הפנים של החברה ומנהל הסיכונים לכשימונה, על מנת שאלו יבחנו אם נדרשות .
מערכות מסוג זה בחברה, בהתחשב בגודלה של החברה (המונה תשעה עובדים בלבד) ובהיות .
עמידר השיבה כי קיימים בחברה תהליכים רבים שבהם בקרות ממוחשבות .
(כגון אבטחת מידע, מ ערכת הגבייה, רכש ומכר דירות, מערכת BI), וכיהחברה תפעל להרחבת .
השימוש בבקרות ממוחשבות בנושאים נוספים כפי שיתאפשר.
שימוש בטכנולוגיות חדשניות להתמודדות עם מעילות .
בסקר121 שביצע איגוד חוקרי המעילות וההונאות הבין-לאומי ( ACFE ) בפברואר2019 אשר כלל .
כ- 1,000 בוחני מע ילות והונאות בארגונים מסוגים שונים בעולם (מתוכם כ -170 גופים במגזר .
119 המשרד לשירותי דת; המשרד לשיתוף פעולה אזורי; משרד החינוך; משרד הכלכלה.
120 חברת הפחם; החברה לשיקום ולפיתוח הרובע היהודי; הרשות לחינוך והכשרה ימיים.
121 :להרחבה ראו study.
html- detection-fraud-for- releases/2019/june/ai- https://www.
com/th_th/news/press חברות ממשלתיות .
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות הממשלתי והציבורי) 122, עלה בין היתר כי כ-72% מהארגונים צופים כי עד שנת2021 ישתמשו .
בטכנולוגיות לניטור אוטומטי, להצפת חריגים ואיתור אנומליות, תוך כדי שימוש בניתוח על בסיס .
ניבוי והדמיית נתונים 123.
לשם המחשה, תרשים24 מפרט את סוגי הטכנולוגיות החדשניות, אשר .
על פי הסקר נעשה בהן שימוש או מתוכנן שימוש לאיתור מעילות ולמניעתן: .
תרשים 24: שימוש בטכנולוגיות חדשניות להתמודדות עםמעילות, סקר .
מתרשים 24 עולהלדוגמה כי 52% מהארגונים אשר השיבו על הסקר צופים כי הם .
משתמשים או ישתמשו בטכנולוגיית בלוקצ'יין124 להתמודדות עם סיכוןהמעילות .
משרדי ממשלה : מפגישות שקיים משרד מבקר המדינה עם נציגי אגף החשכ"ל במאי וביוני .
עלה כי אין הנחיה להשתמש בטכנולוגיות חדשניות למניעת מעילות ולאיתורן .
חברות ממשלתיות: מפגישות שקיים משרד מבקר המדינה עם רשות החברות במאי וביולי .
2021 עלה כי אין הנחיה להשתמש בטכנולוגיות חדשניות למניעת מעילות ולאיתורן, אולם .
הרשות מעודדת שימוש בהן, ומתכוונת להציג כיצד מטמיעים מערכת כזו במסגרת פורום רבעוני .
מנהלי סיכונים מהחברות הממשלתיות הגדולות .
122 מתוך המשיבים, כ-21% משתייכים למגזר הפיננסי, כ-17% משתייכים למגזר הציבורי והממשלתי, כ-16% למגזר .
נותני שירותים, והיתר מפוזרים על כ-20 .
123 שימוש בדימויים חזותיים לשם ניתוח, הבנה ותקשור יחסים בין נתונים כמותיים.
124 :בלוקצ'יין (מאנגלית Blockchain) היא תפיסה טכנולוגית במחשוב, המאפשרת פעילות עסקית מאובטחת באינטרנט .
ואימות של פעילויות עסקיות בין צדדים שונים ללא צורך בישות ניהול מרכזית.
שימוש בתפיסה זו מבטל את הצורך .
בבסיס נתונים מרכזי אשר מהווה נקודת תורפה באבטחת מידע של סביבות מחשוב.
0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%ביומטריבלוקצ'ייןרובוטים/בוטים מציאות מדומה .
לא בשימוש כיום אך צפוי להיות בעוד שנה-שנתיים .
לא בשימוש כיום אך יבוצע בהן שימוש בעוד למעלה משנתיים .
לא צפוי להיות בשימוש .
להלן בתרשים 25 פרטים על השימוש שעושים משרדי הממשלה והחברות הממשלתיות .
בטכנולוגיות חדשניות להתמודדות עם מעילות, על פי התשובות לשאלון בנושא מערכות מידע: .
תרשים 25: שיעור השימוש בטכנולוגיות חדשניות להתמודדות עםמעילות .
במשרדי ממשלה וחברות ממשלתיות .
מתרשים 25 עולה כי נכון לפברואר2021 רוב משרדי הממשלה והחברות הממשלתיות .
(91% ממשרדי הממשלה ו -78% מהחברות הממשלתיות) לא השתמשו בטכנולוגיות .
חדשניות להתמודדות עם מעילות.
0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%משרדי ממשלהחברות ממשלתיות .
מניעת מעילות במשרדי ממשלה ובחברות ממשלתיות לוח 12: רשימת משרדי הממשלה והחברות הממשלתיות אשר לא משתמשים .
בטכנולוגיות חדשניות להתמודדות עם מעילות .
מומלץ כי רשות החברות ומנהל הסיכונים הראשי יבחנו את הצורך בקידום ובהטמעה של .
טכנולוגיות חדשניות לאיתור מעילות ומניעתן הן בחברות הממשלתיות והן במשרדי .
החשכ"ל מסר בתשובתו כיחטיבת הביקורת בשיתוף עם היחידה לניהול סיכונים באגף החשכ"ל .
בוחנים כלים מיכוניים לאיתור מעילות, ובמסגרת עבודה זו החל בשנת 2021 ( ניסויפיילוט ) .
שמטרתו איתור מעילות והונאות בהתבסס על הסיכונים למעילות והונאות בתהליכים תפעוליים .
רשות החברות מסרה בתשובתה כי ההמלצה מקובלת עליה, וכי בכוונתה להציג לחברי פורום .
מנהלי סיכונים פתרון טכנולוגי לאיתור מעילות והונאות שיושם בהצלחה בחברה ממשלתית .
תגובות הארגונים הממשלתיים: שישה משרדי ממשלה 125 השיבו כי הם מסתמכים על הבקרות .
המובנות במערכת מרכב"ה.
שמונה חברות ממשלתיות126 השיבו כי לאחרבחינת היקף הפעילות .
ושיקולי ע לות לעומת תועלת הוחלט כי אין צורך בהטמעת טכנולוגיות מתקדמות לאיתור .
ארבעה משרדי ממשלה ושבע חברות ממשלתיות 127 השיבו כי יבחנו את .
אפשרויות השימוש בטכנולוגיות מתקדמות לאיתור ולמניעה של מעילות.
משרד החינוך ציין כי .
מינהל תקשוב י יערך ליישום כלים טכנולוגיים לאיתור ולמניעה של מעילות ולשימוש בכלים אלה .
בהתאם להנחיה של אגף ביקורת פנים במשרד החינוך.
משרד התרבות והספורט ומשרד המדע .
השיבו כי אם יועלו דרישות לשימוש בטכנולוגיות חדשניות או אם יעלה הצורך, הרי שאגף .
מערכות מידע ישקול לשלבן בפיתוח.
איסורד השיבה כי בנושא זה היא נשענת על תשתיות גוף .
האם ולמיטב ידיעתה נעשה בו שימוש במערכות המתקדמות ביותר.
תהליך ניהול שינויי תוכנה מורכב מכמה שלבים עיקריים - פיתוח השינוי, בדיקתו והטמעתו .
הפרדת שלוש סביבות המחשוב - פיתוח, בדיקות וייצור (להלן - שלוש .
הסביבות) - נועדה להשיג שתי מטרות עיקריות: מניעת פגיעה במידע בסביבת הייצור או שיבושו; .
שמירה על עקרון "הצורך לדעת", שלפיו כל עובד חשוף רק למידע הנדרש לו לצורך מילוי .
ללא הפרדה נאותה של סביבות מחשוב עלולה להתבצע מעילה באמצעות הכנסת קוד זדוני על .
ידי מפתח התוכנה אשר עוקף בקרות שהוגדרו בסביבת הייצור של התוכנה.
אפשרויות להכנסת קוד זדוני כאמור: .
• הכנסת קוד שישנה את מספר חשבון הבנק ישירות בבסיס הנתונים של תוכנת הרכש.
• הכנסת קוד להעתקת מספרי כרטיסי אשראי של לקוחות.
• הכנסת קוד לשינוי מחירונים של פריטים והעברת ההפרש לחשבון העובד.
125 המשרד לשירותי דת; המשרד לשיתוף פעולה אזורי; משרד האוצר; משרד החקלאות; משרד הכלכלה ; משרד ראש .
126 דירה להשכיר; חברת הפחם; חל"י; החברה לשיקום ולפיתוח הרובע היהודי; הכפר הירוק; הרשות לחינוך והכשרה .
ימיים; מקורות פיתוח וייזום; נתג"ז.
127 משרד החוץ; משרד החינוך; משרד התרבות והספורט; משרד המדע; חמ"ת; החברה למתנ"סים; החברה לפיתוח .