מטלות רוחב ומטלות בין-משרדיות . בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום משרד מבקר המדינה מעיר כי המתודולוגיה העולה משלבי העבודה שהציגה חברה א' לבנק ישראל אינה מפורטת ברמה המקובלת לפי התקנים השונים בתחום זה. אף שתקנים אלו אינם מחייבים, יש באמור בהם כדי לשמש דוגמה למידת הפירוט הראויה להצגה לפני הנהלת הבנק, כדי לתת לה די מידע לשם קבלת החלטה. מתרשומת הדיונים של ההנהלה שמסר בנק ישראל למשרד מבקר המדינה, אין עולה כי הנהלת הבנק ביקשה שיוצגו לה מתודולוגיות חלופיות להכנת תכנית להמשכיות עסקית, ולא נמצאו מסמכים המעידים כי היא אישרה את ביצוע שלבי העבודה לפי מתודולוגיה זו. לדעת משרד מבקר המדינה, על רח"ל לבחון את תרחישי הייחוס הענפיים המלאים ולא רק מצגת מסכמת, ולאתר טעויות ככל שישנן. משרד מבקר המדינה מעיר כי בתרחיש הייחוס של משרד האוצר למלחמה צוינה הסתברות הכניסה של אחד ממתקני משרד האוצר למעגל הערכת הסיכונים בנשק מסוים באזורים שונים. התרחיש אינו מפרט כיצד נקבעו הסתברויות אלו, שבחלקן התגלו טעויות והן טעונות בחינה נוספת. לדעת משרד מבקר המדינה, על משרד האוצר לפרט את אופן חישוב ההסתברויות האלו, ולהפעיל מערך לבקרת ההנחות והתחשיבים המפורטים בתרחיש הייחוס; ועל רח"ל להעמיק בבדיקותיה בעניין תרחיש הייחוס. לדעת משרד מבקר המדינה, אין די בבירור התשתיות הדרושות לשם עמידה ברמות השירות, אלא יש חשיבות רבה גם לניתוח התשתיות הנדרשות לשם עמידה ביעדי ההתאוששות. נוסף על כך, אף שאפשר שכל אגף האחראי לפעילות חיונית יגדיר את התשתיות הנדרשות למימושה, הרי שהנהלת המשרד צריכה לקבל, במסגרת האסטרטגיה להמשכיות עסקית, את ההחלטות הנדרשות לשם הפעלת התשתיות החיוניות במצבי חירום, בייחוד כשמדובר בתשתיות המשותפות לאגפים שונים, כגון תשתיות בינוי, תשתיות טכנולוגיה וציוד. נמצא כי ההנחיה שהפיץ אגף החירום והביטחון אינה עוסקת בקביעת יעדי ההתאוששות. בהיעדר יעדים להתאוששות, אי -אפשר לקבוע את רמת השירות המבוקשת ולהיערך כנדרש להתמודדות עם מצבי חירום, שבהם יושבתו פעילויות חיוניות. עוד נמצא כי לא נקבעו רמות שירות לכל אגפי משרד האוצר; וכי לחלק מהפעילויות שנקבעו כקריטיות, לא נקבעו רמות שירות כלל. משרד מבקר המדינה מסב את תשומת לב רשות ני"ע כי קביעת הפעולות החיוניות בחירום וקביעת רמת השירות של כל פעילות הן שתי פעולות שונות, כפי שפורט לעיל. לעתים יש קשר בין יעדי ההת אוששות ובין רמות השירות של הארגון, דוגמת קביעת רמות שירות שונות על פני ציר הזמן של התאוששות הפעילות הארגונית. משרד מבקר המדינה מעיר למשרד האוצר כי הדרך שבה רואה הרשות הייעודית במשרד האוצר את משימותיה אינה עולה בקנה אחד עם הגדרת תפקיד הרשות על ידי ועדת מל"ח העליונה29. פעילות האגפים השונים של משרד האוצר נשענת על תשתיות משותפות, ועל כן אין מקום להפקיד חלק מאחריות הרשות אצל אגפי המשרד השונים. על משרד האוצר לשוב ולבחון אילו מהפעילויות הקשורות בהכנת התכניות להמשכיות עסקית יכולות להתבצע באגפיו השונים, ואילו פעילויות ראוי שיבצע גוף מרכזי, כמו אגף הח ירום והביטחון. זאת, כדי למנוע כפילות בהערכת הסיכונים, לטפל באיתור התשתיות הנדרשות וכדי לשפר את היערכות המשרד כולו למצבי חירום. 3. ברשות ני"ע לא נמצאה אסמכתה לדיונים שנעשו בהנהלת הרשות ולהחלטות שהתקבלו בחלק מהנושאים שפורטו לעיל. לדעת משרד מבקר המדינה, מן הראוי שכל ארגון יבנה תכנית להמשכיות עסקית הבוחנת את מכלול הסיכונים המאיימים עליו, אף אם אינם יוצרים פוטנציאל לנזק לאומי מערכתי. זאת, מכיוון שעלול להיווצר נזק חמור לארגון שלא בהכרח יגרום לנזק ענפי חמור; כן עלול להיגרם נזק ענפי חמור שלא בהכרח יגרום לנזק בעל השפעות לאומיות. בכל הגופים שנבדקו נמצא כי הם לא בדקו אם יש להתגונן מפני רמות סיכון חריגות יותר מאלו שעל בסיסן נבנו תרחישי הסיכון הלאומיים וכיצד; לא נמצא שהנהלת הגוף דנה בדבר כדי לקבוע את סוגי הסיכונים שמפניהם הוחלט להתגונן, ומפני אילו סיכונים לא להתגונן. משרד מבקר המדינה בדק מסמכים המתעדים את עיסוקו של בנק ישראל ברעידת האדמה שהתרחשה ביפן ב - 2011 , ולא מצא בהם עדות כי בנק ישראל בחן את הצורך להתמודד עם רמת סיכון חריגה מהמתוארת בתרחיש הייחוס הלאומי לרעידת אדמה. משרד מבקר המדינה מעיר כי מן הראוי שבדיקה כאמור תתבצע בשלב קביעת תרחישי הייחוס הארגוניים לגבי כלל הסיכונים, ובכלל זה רעידות אדמה. משרד מבקר המדינה מעיר כי בשל האפשרות לשלב בין הטיפול בסיכונים תפעוליים ובין הטיפול בסיכונים אסטרטגיים כחלק מבניית תכנית להמשכיות עסקית, מן הראוי היה שאגף החשכ"ל ורח"ל ישתפו פעולה בהכנת מתכונת עבודה בטרם פרסום הוראות תכ"ם. ואולם, לא נמצאה אסמכתה לעבודה משותפת בעניין זה. לדעת משרד מבקר המדינה פעולות משרד האוצר לבניית תכנית המשכיות עסקית, כפי שתוארו על ידו, נעשו בסדר הפוך מן המקובל על פי כל מתודולוגיה ותקן. קביעת נהלים לאגפי המשרד תחילה, קביעת יעדי השירות ורמתם לאחר מכן וכתיבת תרחיש הייחוס בשלב האחרון אינם מאפשרים היערכות נכונה, מלאה ויעילה לסיכונים שבפניהם ניצב המשרד. לדעת משרד מבקר המדינה, היה מן הראוי שהרשות הייעודית הפיננסית ורח"ל יסדירו ביניהן כבר בשנת 2008 את המחלוקת בכל הנוגע לאחריות להעברת המידע הנדרש לגופים שהרשות הייעודית הפיננסית מנחה. מאחר שתרחיש הייחוס למלחמה משמש אחת מאבני היסוד המרכזיו ת להכנתן של תכניות להמשכיות עסקית, ובשל העלויות הכבדות הכרוכות בפעולות שעל הגופים המונחים לנקוט לשם הכנתן ויישומן, מן הראוי שרח"ל והפיקוח על הבנקים יאיצו את הפעילות לגיבוש תרחיש ייחוס שיספק את כל המידע הדרוש לצורך היערכות הגופים המונחים, בלי לפגוע בביטחון המדינה. על רח"ל לוודא כי הרשויות הייעודיות יעבירו את המידע הרלוונטי מתוך תרחיש הייחוס הלאומי לגופים שהן מנחות. לדעת משרד מבקר המדינה, משסברה רח"ל כי יש להיערך לתרחיש צונאמי ברמה הלאומית, היה עליה לפעול לבניית תרחיש ייחוס מתאים ולהעבירו לידי הרשויות הייעודיות על מנת שייערכו על פיו וינחו את הגופים שבאחריותן. התועלת בתרגול תרחיש שהגופים הרלוונטיים לא נדרשו להיערך לקראתו בעוד מועד מועטה בהשוואה לביצוע תרגיל לאחר היערכות. נמצא כי רשות ני"ע לא דאגה כי יוכנו עבורה תרחישי ייחוס לסיכונים הכלולים בתרחישי הייחוס הלאומיים ולסיכונים שאינם כלולים בתרחישי הייחוס הלאומיים. לפיכך, בכל תכניות החירום, הנהלים והפעולות של הרשות בתחום ההמשכיות העסקית היא לא התבססה על תרחישי ייחוס כנדרש. משרד מבקר המדינה מעיר לרשות ני"ע כי עליה לבנות תרחישי ייחוס לכל הסיכונים כאמור לעיל. נמצא כי בנק ישראל, משרד האוצר ורשות ני"ע לא קבעו כי יש לעסוק במסמכים הנוגעים לתכניות של המשכיות עסקית בדרכים המתחייבות מרגישות המידע הכלול בהם, לא קבעו נהלים לטיפול במסמכים אלו, ולא הקפידו על סיווג המסמכים על פי רגישותם. עוד נמצא כי המפקח על הבנקים, אגף שוק ההון ורשות ני"ע לא הנחו את הגופים שבפיקוחם לנהוג במידע הנוגע לתכניות להמשכיות עסקית שלהם על פי רגישותו כמפורט לעיל. כמו כן נמצא כי משרד האוצר ורשות ני"ע לא דאגו להבטיח בחוזי ההתקשרות עם יועצים בתחום ההמשכיות העסקית כי לא יישאר בחזקתם מידע ומסמכים של הגופים ששכרו את שירותיהם. בנק ישראל, משרד האוצר ורשות ני"ע לא דאגו לרישום המסמכים הרגישים שנמסרו ליועצים ולהשבת החומר אליהם בסיום העבודה. נמצא כי ההנהלה הבכירה של משרד האוצר לא אישרה את החוברת, ולא הייתה מעורבת בקבלת ההחלטות בשום שלב מהשלבים המרכזיים המפורטים בה. לא נמצא כי מלכתחילה ניתנה הנחיה כלשהי של הנהלת המשרד בדבר ההחלטות המרכזיות שיש להביאן להכרעת ההנהלה ולאישורה. נמצא כי על אף אי -הבהירות בנוגע לתחומי האחריות והפעילות של הרשות הייעודית הפיננסית כמובא לעיל, שהשתקפה גם בדיוני הנהלת בנק ישראל, לא פנה הבנק אל ועדת מל"ח העליונה כדי שת בהיר את סמכויות הרשות הייעודית הפיננסית, ואף לא נמצאו מסמכים בדבר קבלת החלטה בהנהלת הבנק בעניין זה. משרד מבקר המדינה מעיר כי בנק ישראל החל לפעול כאמור בלי שוועדת מל"ח העליונה נתנה את אישורה להקמת הרשות הייעודית והגדירה את סמכויותיה. לדעת משרד מבקר המדינה, ראוי שהיקף אחריותה וסמכויותיה של הרשות הייעודית הפיננסית ייקבעו בטרם יתרחש אירוע חירום, שבו עלולים לבוא לידי ביטוי הכשלים העולים ממצב העניינים הנוכחי. מן הראוי שבנק ישראל יפעל לאלתר, בתיאום עם ועדת מל"ח העליונה , להבהרת היקף אחריותה של הרשות הייעודית הפיננסית. לעניין זה, מן הראוי כי תישמע עמדתו של בנק ישראל על סמך הניסיון שנצבר והוראות חוק בנק ישראל. עיון בחוזרים העלה כי ההוראות שפורטו בחוזרים מספטמבר 2003 וממרץ 2004 הן קווי מתאר כלליים לתכנית המשכיות עסקית. ההוראות אינן עוסקות בבניית תרחישי הסיכון, בהבטחת השירות ללקוחות במהלך מצב החירום, באתר חלופ י לפעילת הארגון ובהיבטים רבים נוספים, שהם חלק מתכנית יעילה להמשכיות עסקית. לדעת משרד מבקר המדינה אין די בהוראות החוזרים האמורים, ואין ביישומן כדי להבטיח כי לארגון יכולת להתאושש במצב של אסון. לדעת משרד מבקר המדינה, בחוזר אבט חת מידע עוסק הממונה על שוק ההון בהמשכיות העסקית בתור עניין משני בתחום אבטחת המידע, ואין בחוזר מענה הולם לנושא. הטיפול בשרידות מערכות המידע של ארגון הוא אמנם תנאי הכרחי להבטחת ההמשכיות העסקית שלו, אך ודאי שאינו תנאי מספיק. זאת ועוד, בתקנות הפיקוח על שירותים פיננסיים (ביטוח) (דירקטוריון וועדותיו), התשס"ז - 2007 , לא הוטלה על הדירקטוריון חובה מפורשת לדון במדיניות ההמשכיות העסקית של החברה. על כן, השמטת ההוראה המפורשת שקובעת את אחריות הדירקטוריון לקביעת מדיניות בתחום ההמשכיות העסקית, מחלישה מאוד את עקרונות הממשל התאגידי, שתכליתם להבטיח את פיקוח הדירקטוריון על הנהלת החברה ולבסס את מדיניות החברה באמצעותו. מעיון בדוחות הביקורות של אגף שוק ההון עולה כי הביקורות עסקו בעיקר בתחום אבטחת המידע, וכי החלק שיוחד לתחום ההמשכיות העסקית מצומצם מאוד. עוד עולה כי הביקורות שנעשו בתחום ההמשכיות העסקית לא עסקו באיכות מוכנותם של הגופים המוסדיים למצבי חירום, אלא בעצם הגשמתם של תהליכים כלליים הנדרשים לפי חוזר אבטחת המידע, בין השאר עקב הניסוח הכללי של החוזר. למרות עמדת אגף שוק ההון כי יש בידו תמונת מצב של מוכנות הגופים המוסדיים לאירועי חירום, נמצא כי כתשע שנים לאחר החלת ההוראות בנושא זה על גופים המוסדיים לא היה בידי האגף מידע מקיף ומלא בדבר בניית תכניות להמשכיות עסקית בכל הארגונים האלה ובדבר יכולתם להתמודד עם האתגרים הנובעים מאירועי חירום. נמצא כי הגם שעל פי החלטת הממשלה מנובמבר 2005 ומכוח החלטת ממשלה 1716 נדרש אישורה של ועדת מל"ח העליונה לשם הקמת רשות ייעודית, לא התבקש אישורה להקמת הרשות הייעודית הפיננסית -בנקאית (להלן - הרשות הייעודית הפיננסית), וממילא לא נקבעו תחום פעולתה וסמכויותיה, כפי שנקבע למשל לגבי הרשות הייעודית במשרד האוצר. הרשות הייעודית הפיננסית החלה לפעול בלי שבנק ישראל נתן את דעתו על שלא התקיים התנאי המוקדם לכך. משרד מבקר המדינה מעיר כי עקב הליקויים שמצא אגף שוק ההון בהיערכות לשעת חירום של הגופים המוסדיים שבהם עשה ביקורת, היה על הנהלת האגף לבחון מן השורש אם די בקביעת עקרונות כלליים בלבד לבניית תכניות להמשכיות עסקית בגופים אלה או שנחוץ לקבוע כללים מפורטים יותר. ואולם הממונה על שוק ההון לא פעל באופן נמרץ, כמתבקש מן הממצאים, לבחינת הצורך בגיבוש הנחיה בתחום זה. לדעת משרד מבקר המדינה, ראוי היה כי רשות ני"ע תבצע בחינה יסודית של המצב בפועל קודם פרסומו של החוזר, כדי לזהות כשלים ולקבוע בחוזר הוראות שיביאו לתיקונם. לדעת משרד מבקר המדינה, הפירוט שבנספח לחוזר קובע מתווה כללי בלבד ועקרונות בסיסיים עבור הגופים המונחים, שגם עצם העמידה בהם אינה מבטיחה, בסבירות נאותה, את יכולתם לקיים המשכיות עסקית. מהשוואת העקרונות שנקבעו בחוזר אל העקרונות שנקבעו בהנחיות של רשויות הפיקוח האחרות (בנק ישראל ואגף שוק ההון) עולה כי בשונה מרשויות הפיקוח האחרות, רשות ני"ע בחרה להותיר בידי דירקטוריון הגוף שיקול דעת כמעט מוחלט בעניין הרכיבים המרכזיים של תכנית ההמשכיות העסקית. לדעת משרד מבקר המדינה, על רשות ני"ע לבחון את הרחבת העקרונות המפורטים בחוזר בנוגע לתכנית ההמשכיות העסקית, כדי להנחות ולכוון את הדירקטוריונים של הגופים להכנת תכניות מקיפות ויעילות יותר. משרד מבקר המדינה מציין כי הגדרת התשתיות הנדרשות צריכה להתבצע בזיקה לכל אחת מהפעילויות הקריטיות - הדרישות מאתר שליטה חלופי יתבססו על מצרף התשתיות הנדרשות לביצוע כל אחת מהפעילויות החיוניות. ניתוח התשתיות הנדרשות לכל אחת מהפעילויות החי וניות, מאפשר גם לזהות דרישות מיוחדות הנוגעות לפעילות חיונית מסוימת, להתכונן מראש לשינוי עתידי בתשתיות הנדרשות ולחסוך בעלויות ההיערכות. בביקורת לא נמצאו אסמכתאות לניתוח של רשות ני"ע בנוגע לתשתיות הבינוי הנדרשות לביצוע פעולות חיוניות. לדעת משרד מבקר המדינה, אין די בכך שתקן 24001 הוצג לרשות ני"ע במסגרת בחינת הצעת חברה ב', והיה על הרשות ל בחון את תוכנו של התקן ואת מידת התאמתו לפעילותה. משרד מבקר המדינה מעיר לבנק ישראל, משרד האוצר ורשות ני"ע כי אין להסתפק בהכללת הוראות חוזיות הנוגעות לחשאיות של מידע רגיש, אלא יש לנקוט אמצעים מעשיים לסיווג מידע רגיש ולאבטחתו, לרישום המסמכים הכוללים מידע רגיש שמועברים ליועצים ולאיסופם בתום עבודת הייעוץ. משרד מבקר המדינה מעיר כי עם קבלת מכתב זה היה על הבנק לפעול לאיתור התרחיש המסווג כסודי ולבדוק אם אכן נמסר לבנק. נמצא כי בכל הגופים שנבדקו לא נקבעה שיטה שלפיה יוגדרו יעדי ההתאוששות ורמות השירות הנדרשות מהגופים האחראים להפעלת מערכות המידע בשעת חירום, על סמך ניתוח התשתיות הטכנולוגיות שיידרשו בשעת חירום. אגף החירום והביטחון במשרד האוצר הנחה את אגפי המשרד למפות את מערכות המידע והתקשורת שלהם ולהגדיר "אילו מהן חיוניות להבטחת קיום תפקידי הליבה של האגף במצב חירום". אולם לא נמצא כי אגפי משרד האוצר פעלו על פי הנחיה זו. לדעת משרד מבקר המדינה, עדכון תרחישי הייחוס נעשה בשל שינוי שחל במפת האיומים החיצוניים, ואינו משמש תחליף לניתוח רגישות לסטיות בתרחישי הייחוס, שאמור להתבצע כחלק מבנייתם הראשונית של תרחישי הייחוס. על פי הוראות תכ"ם, אין חובה לשלב את ניהול הסיכונים התפעוליים ואת הטיפול באלו הנכללים בהכנת תכנית להמשכיות עסקית, והדבר נתון לשיקול דעתה של הנהלת המשרד. הנהלת משרד האוצר לא נתנה את דעתה לצורך לבחון ולקבל החלטה בעניין זה. לדעת משרד מבקר המדינה, ניהול סיכונים תפעוליים לפי הוראות תכ"ם המשולב במסגרת ההיערכות למצבי חירום כחלק מהתכנית להמשכיות עסקית, מקנה יתרונות רבים. בין השאר, חלק מהסיכונים התפעוליים המטופלים לפי הוראות תכ"ם עלולים לבוא לידי ביטוי בפגיעה במשרדי הממשלה, הדומה לזו שעלולה להיגרם כתו צאה מסיכונים אסטרטגיים מסוימים; הוראות תכ"ם בעניין ניהול סיכונים תפעוליים קובעות מתודולוגיה משותפת לכלל משרדי הממשלה, שיטה שעשויה לייעל גם את הטיפול בסיכונים אסטרטגיים; פעולות להפחתת סיכונים תפעוליים עשויות אפוא להשתלב היטב בפעולות משרדי הממשלה להפחתת סיכונים אסטרטגיים. נמצא כי אף על פי שבנק ישראל ומשרד האוצר עסקו בהבטחת זמינותן של תשתיות במצבי חירום, הם לא ביצעו סקירה מלאה של תשתיות הבינוי הנדרשות עבור כל אחת מהפעילויות החיוניות. משרד מבקר המדינה מעיר למשרד האוצר כי הכנת תרחישי ייחוס לאגפיו בנפרד מהתרחיש שהכין אגף החירום והביטחון כרוכה בחוסר יעילות ובבזבוז משאבים; זאת מאחר שאגפי המשרד פועלים באמצעות תשתיות חיוניות משותפות, ובשל כך אינם אמורים להכין תרחישי ייחוס עצמאיים. לא נמצאו מסמכים המעידים שהנהלת משרד האוצר או הנהלת רשות ני"ע קבעו את היעדים ואת המטרות הכלליות של פעילותם בעת חירום כקו מנחה לבניית תכנית להמשכיות עסקית. עבודת המטה שבוצעה בשנת 2007 עבור בנק ישראל לא כללה תרחיש ייחוס לטרור קיברנטי28 , אף שהוסבר בה כי "ניסיון להפעלת טרור קיברנטי נגד מערכות המידע של בנק ישראל הוא תרחיש ייחוס רלבנטי". חברה א' הכינה לבנק ישראל תרחיש ייחוס כאמור רק באוגוסט 2010 . זאת ועוד, למרות ניתוח מעמיק של הנזק האפשרי כתוצאה מפגיעת טיל במבנה הבנק או בקרבתו, לא נעשה ניתוח יסודי בדבר סיכונים מסוימים של פיגועי טרור, אף שהיה ראוי לבחון אותם ביסודיות יתרה. כמו כן לא עסקה העבודה בחשש מפגיעה בו-זמנית בהנהלה הבכירה של הבנק, ובצורך לשמר רציפות תפקודית במצב זה. משרד מבקר המדינה מעיר כי מהמסמכים שהמציא לו משרד האוצר עולה כי הוא לא קבע מתודולוגיה לבניית תכנית להמשכיות עסקית על שלביה השונים; לא נמצאו פרוטוקולים המעידים על דיונים שהתקיימו בהנהלת המשרד בעניין זה; ולא נמצאו אישורים של הנהלת המשרד לבניית התכנית ולשלבים השונים שיש לכלול בתהליך הכנתה. נמצא כי בכל הגופים שנבדקו, למעט הפיקוח על הבנקים בבנק ישראל, לא נבדקו ביסודיות פעילויות שנקבעו כחיוניות, על מנת לאתר מידע לא ממוחשב הנדרש לשם ביצוען ולהשגת יעדי ההתאוששות ורמות השירות. יצוין כי אגף החירום והביטחון במשרד האוצר נתן לאגפי המשרד הנחיה למפות את סוגי המידע החיוניים לפעילותם במצבי חירום, אולם לא נמצא כי מי מהאגפים מיפה מידע לא ממוחשב. בדיקת משרד מבקר המדינה העלתה כי למעט רשימת עובדים ופרטי יצירת הקשר עמם, לא בוצע במשרד האוצר וברשות ניירות ערך ניתוח שיטתי ויסודי של כוח האדם הנדרש לצורך כל אחת מהפעילויות הארגוניות החיוניות; על כן, בגופים אלו חסר מידע על אודות עובדים, שעשוי להיות רלוונטי בשעת חירום. כתוצאה מכך מתעורר חשש שעקב אי -זמינות של עובדים במצב חירום, לא יעמוד לרשות הגופים הללו כוח האדם הנדרש לשם ביצוע פעילויותיו החיוניות. משרד מבקר המדינה מסב את תשומת לב הרשות הייעודית במשרד האוצר לאמור בתשובת רשות ני"ע בכל הנוגע לאי-קבלת המידע הרלוונטי עבורה מכלל תרחישי הייחוס הלאומיים. הדבר מדגיש את הצורך במעקב של רח"ל אחר העברת מידע זה לגופים המונחים על ידי הרשויות הייעודיות. עם זאת, היה ראוי שרשות ני"ע תפנה מיזמתה לרשות הייעודית במשרד האוצר ובאמצעותה אל רח"ל, לשם קבלת המידע האמור. לדעת משרד מבקר המדינה, בשל חשיבותן של תכניות להמשכיות עסקית לשרידותם של ארגונים, ראוי שרשות ני"ע תבחן את הצורך להכווין ביתר בהירות את הגופים שנתונים לפיקוחה ותנהיר את התחומים הקריטיים שיש לתת להם מענה בתכניות אלה. משרד מבקר המדינה סבור כי בהיעדר מעמד לגופים המפוקחים אלו במערך מל"ח, ובהיותם נתונים לפיקוח ולאחריות של הרשות הייעודית במשרד האוצר ושל רשות ני"ע, חלה על רשויות אלה החובה להעמיד לרשות הגופים המפוקחים את הידע והכלים הנדרשים לבניית תכניות להמשכיות עסקית. לדעת משרד מבקר המדינה, ראוי לקבוע כי על גופים שהחוזר חל עליהם תחול חובה לגלות ללקוחותיהם את דבר מוכנותם למצבי חירום, כחלק מתנאי ההתקשרות עמם, ואת התממשות אירועי החירום ודרכי הטיפול בהם. נוסף על כך, ראוי שתיושם מתכונת של דיווח שוטף של הגופים לרשות ני"ע על התממשותם והשפעותיהם של אירועי חירום. בדיקת משרד מבקר המדינה העלתה כי אף שהאחריות הכוללת לגיבוש נוהלי המשרד בנושאי הביטחון ולהכנת מערך כוח האדם לשעת חירום נמצאת בידי הסמנכ"לית הבכירה למינהל ומשאבי אנוש במשרד האוצר, גב' רות אשכנזי, לא נמצאה אסמכתה למעורבותה בניהול ההמשכיות העסקית. האחראי בפועל להיערכות לשעת חירום במשרד האוצר, לרבות בתחום ההמשכיות העסקית, הוא ראש אגף בכיר לחירום וביטחון. לדעת משרד מבקר המדינה, החלטה של גוף מנחה להחיל אסדרה המבוססת על עקרונות בתחום ניהול ההמשכיות העסקית, מעלה את הצורך לנהוג בזהירות רבה, להפעיל מערך ביקורות מקיף ויסודי, לבחון בשיטתיות את התכניות להמשכיות עסקית של הגופים שבאחריותו ולגלות מעורבות בפעולותיהם. כמו כן, ראוי שגם באסדרה המבוססת על עקרונות תהיה הכוונה לעסוק בנושאים מהותיים שונים ודרישה לעמוד בתנאים מזעריים. כשמדובר באסדרת ניהול הה משכיות העסקית, ראוי שייכללו נושאים שתכליתם להבטיח הגנה על אזרחים הנזקקים לשירותי הגופים הפיננסיים בשעת חירום, וכן נושאים אחרים, למשל בעניינים שבהם הקשר בין גופים פיננסיים שונים בשעת חירום מחייב לקבוע תקנים אחידים למוכנותם. לדעת משרד מבקר המדינה, חוסר יכולתה של רשות ני"ע לקיים ביקורת בהיקף ראוי בגופים הנתונים לפיקוחה, בשל מחסור בכוח אדם, מראה בעליל כי עליה להביא בחשבון גם שיקול זה בהחלטתה בדבר אופי האסדרה שיש לקיים בתחום ההמשכיות העסקית. משרד מבקר המדינה מסב את תשומת הלב של הרשות הייעודית במשרד האוצר לאמור בעניין זה בתשובת רשות ני"ע. משרד מבקר המדינה מעיר לבנק ישראל כי מן הראוי היה לדון גם בהמלצותיהם של יועצים חיצוניים של הבנק, למנות עובד במשרה עיקרית בתור האחראי לנושא ההמשכיות העסקית ולהגדיר את היקף סמכויותיו, במקום להמשיך להעסיק במשך שנים עובד בלא סמכות והגדרת תפקיד ברורה. עם זאת, ראוי לציין לחיוב את פעילותו הרבה של האחראי להמשכיות עסקית בבנק ישראל בשנים 2007 -2012 , מר איתן מורג, אשר גילה יזמה רבה ויסודיות בביצוע התפקיד בלא שהוגדר היקפו, ובתמיכת הנהלת הבנק הצליח לרתום את יחידות הבנק השונות לקידום ממשי ורב ערך למוכנות הבנק למצבי חירום. נמצא כי בעבודת המטה שביצעו רח"ל והנציבות לא הובא בחשבון שבחלק מהמשרדים, בהם משרד האוצר, לא הושלמה הגדרת המפעלים החיוניים20 ,. על כן כמות המפעלים שכבר מוגדרים חיוניים אינה יכולה לשמש קריטריון ברור להיקף הפעילות הנדרשת של המשרד בתחום ההיערכות לשעת חירום. נוסף על כך לא נבחנו מהותם של המפעלים החיוניים בכל משרד והשירות שהם מספקים, אלא נעשתה בחינה כמותית בלבד, שאין בה די לבירור היקף העבודה הנדרשת מכל משרד ממשלתי במסגרת הפיקוח על מפעלים חיוניים 21 . עוד נמצא כי משרד האוצר נזכר בטבלת הסיכום של עבודת המטה בתור משרד ללא תפרוסת גאוגרפית, דבר שאינו הולם את האמור במכתבו של סגן ראש המל"ל שנזכר לעיל, ואינו מתיישב עם מסמכי משרד האוצר שלפיהם פעילותו על יחידותיו השונות נעשית בכ -70 בניינים ברחבי הארץ. לדעת משרד מבקר המדינה ראוי שרשות ני"ע תשקול לכלול בחוזר הוראות לבניית תרחישי ייחוס, מיפוי תשתיות קריטיות והבטחת התייצבותם של עובדים שיוגדרו חיוניים. כמו כן, על הרשות לוודא כי יהיו בידי הגופים המונחים כלים וידע הדרושים להם להסדרת הפעילות בתחומים אלו, כחלק מן התכניות שלהם להמשכיות עסקית. משרד מבקר המדינה מעיר כי לא נמצא שהנציבות ורח"ל נתנו את דעתן להשתלבות תחום הטיפול בהמשכיות העסקית במשרדי הממשלה, בצורכי כוח האדם ובהגדרות התפקידים העולים מהוראות תכ"ם האמורות, לרבות בעניין מינוי מנהל סיכונים תפעוליים משרדי, שנדרש להיות עובד בכיר במעמד של חבר הנהלה. לדעת משרד מבקר המדינה, על רשות ני"ע לבחון את ההיקף הרחב של הפעולות שבאחריותו של המזכ"ל ולשקול אם הן מאפשרות לו לייחד את הזמן הנדרש למילוי תפקיד האחראי להמשכיות עסקית ברשות - בימי שגר ה, ובמיוחד בעת חירום. משרד מבקר המדינה מעיר, כי אף שבבנק יש רישומים מפורטים של דיונים שקיימה ההנהלה בתקופה הרלוונטית בנושא ההמשכיות העסקית, לא נמצאו אסמכתות לדיונים בהנהלת הבנק, בהם נדונה המתודולוגיה שהציגה חברה א', וגם לא לפעולות לאיתור מתודולוגיות שביצע האחראי להמשכיות עסקית. אף שהתקנים שצוינו בתשובת הבנק חוברו אחרי עבודת חברה א', הרי שבעת שזו בוצעה כבר היו כמה תקנים אחרים בתחום ההמשכיות העסקית. .משרדי הממשלה והגופים הציבוריים השונים, בכללם הגופים הפיננסיים המרכזיים במדינת ישראל, עומדים דרך שגרה מול מגוון רב של גורמים המסכנים את תפקודם. יש סיכונים הנובעים מאסונות טבע, ויש סיכונים שהם חמורים יותר מהסיכונים שבהם נתונים גופים במדינות אחרות, או שההסתברות להתממשותם היא רבה יותר בשל הסביבה הגאו-פוליטית. הממצאים שהועלו בדוח זה מעידים על ליקויים בתהליך בניית התכניות להמשכיות עסקית בגופים הפיננסיים שנבחנו - משרד האוצר, רשות ני"ע ובנק ישראל - ובחלוקת האחריות לפיקוח על מוכנות גופי המערכת הפיננסית לאירועי חירום, וליקויים אלה עלולים לפגוע ביכולתם של אותם גופים להתמודד עם אירועי החירום. כפי שפורט בדוח זה, חומרת הליקויים והיקפם שונים מגוף לגוף. נמצא כי רח"ל לא וידאה שהרשויות הייעודיות שנבדקו יוכלו להעביר אל הגופים שהן מנחות את מלוא המידע הנדרש מתוך תרחישי הייחוס הלאומיים; משרד האוצר ורשות ני"ע לא בחנו את מכלול תרחישי הייחוס הנוגעים לחלק מסוגי האיומים כדי לבנות תמונה מלאה של הסיכונים. נוסף על כך, בכל הביקורות שעשה אגף שוק ההון בגופים המונחים על ידו נמצאו ליקויים בהיערכותם למצבי חירום. לדעת משרד מבקר המדינה, אף שבמערכת הפיננסית חל בשנים האחרונות שיפור ניכר בכל הנוגע להיערכותה לאירועי חירום, על הגופים שנבדק ו - בנק ישראל, משרד האוצר ורשות ני"ע - להשלים את היערכותם למצבי חירום ולניהול המשכיות עסקית ולתקן את הליקויים שהועלו בדוח זה בהקדם. בנייתה של תכנית להמשכיות עסקית וביסוסה בגופים המרכזיים הפועלים במערכת הפיננסית הם תנאים חיוניים לשמירה על יכולת תפקודה של מערכת זו גם בעתות חירום. במהלך הביקורת לא נמצאו מסמכים המתעדים את הפעולות שבוצעו ברשות ני"ע ובמשרד האוצר, כמתואר על ידם, בעניין הטיפול בספקים חיוניים, למעט בקשה ששלחה רשות ני"ע לגורמי מל"ח להכרה בספק מסוים כמפעל חיוני. משרד מבקר המדינה מעיר למשרד האוצר כי לא נמצאו מסמכים בעניין הדיונים שהתקיימו. בהיעדר ניתוח של הזיקה בין הפעילויות החיוניות ובין התשתיות הנדרשות להן, אין בידי משרד האוצר מלוא המידע הנדרש לשם תעדוף השימוש בתשתיות אלו בעת הצורך, והיכולת לעדכן את רכיבי התכנית להמשכיות עסקית ולתחזקה נפגעת. זאת ועוד, נוהלי אגף המינהל נכתבו ואושרו בטרם הגדירו סופית כל אגפי משרד האוצר את הפעילויות הקריטיות, וממילא לא היה אפשר להשלים את ניתוח התשתיות הנדרשות לשם ביצוען של הפעילויות האמורות. לדעת משרד מבקר המדינה, יש חשיבות רבה להצגת טווח של תרחישים אפשריים הנוגעים לסוגי האיומים השונים, לרבות ניתוח רגישות לשינויים. וא ולם, משרד מבקר המדינה לא העלה בבדיקתו כי בנק ישראל עמד על קבלת ניתוח רגישות לשינויים בתרחישי הייחוס, שהיה אמור לקבל. נמצא כי למרות התקופה הארוכה שחלפה מאז הקמת הרשות הייעודית במשרד האוצר והגדרת אחריותה לקבוע תרחיש ייחוס לאיומים רלוונטיים, רק בשנת 2011 .הכין אגף החירום והביטחון במשרד תרחיש ייחוס במתאר מלחמה למשרד האוצר תרחיש הייחוס אינו עוסק בסיכונים אחרים, כגון רעידות אדמה, מתקפות מקוונות, פיגועי טרור, הצפות, שיטפונות והפסקת שירות של ספקי תשתיות חיוניות. כמו כן, לא הוכן כל תרחיש ייחוס ענפי, העוסק במכלול הגופים בשוק ההון, שהרשות הייעודית במשרד האוצר אחראית להיערכותם לפי החלטת ועדת מל"ח העליונה.
משרד מבקר המדינה העלה בבדיקתו כי בנק ישראל קבע את יעדי ההתאוששות שלא על סמך ניתוח הפגיעה הצפויה כתוצאה מהשבתת הפעילויות החיוניות שלו לפרקי זמן שונים.