מטלות רוחב ומטלות בין-משרדיות . בניית תכניות להמשכיות עסקית של המערכת הפיננסית באירועי חירום משרד מבקר המדינה מעיר כי המתודולוגיה העולה משלבי העבודה שהציגה חברה א' לבנק ישראל אינה מפורטת ברמה המקובלת לפי התקנים השונים בתחום זה. אף שתקנים אלו אינם מחייבים, יש באמור בהם כדי לשמש דוגמה למידת הפירוט הראויה להצגה לפני הנהלת הבנק, כדי לתת לה די מידע לשם קבלת החלטה. מתרשומת הדיונים של ההנהלה שמסר בנק ישראל למשרד מבקר המדינה, אין עולה כי הנהלת הבנק ביקשה שיוצגו לה מתודולוגיות חלופיות להכנת תכנית להמשכיות עסקית, ולא נמצאו מסמכים המעידים כי היא אישרה את ביצוע שלבי העבודה לפי מתודולוגיה זו. לדעת משרד מבקר המדינה, על רח"ל לבחון את תרחישי הייחוס הענפיים המלאים ולא רק מצגת מסכמת, ולאתר טעויות ככל שישנן. משרד מבקר המדינה מעיר כי בתרחיש הייחוס של משרד האוצר למלחמה צוינה הסתברות הכניסה של אחד ממתקני משרד האוצר למעגל הערכת הסיכונים בנשק מסוים באזורים שונים. התרחיש אינו מפרט כיצד נקבעו הסתברויות אלו, שבחלקן התגלו טעויות והן טעונות בחינה נוספת. לדעת משרד מבקר המדינה, על משרד האוצר לפרט את אופן חישוב ההסתברויות האלו, ולהפעיל מערך לבקרת ההנחות והתחשיבים המפורטים בתרחיש הייחוס; ועל רח"ל להעמיק בבדיקותיה בעניין תרחיש הייחוס. לדעת משרד מבקר המדינה, אין די בבירור התשתיות הדרושות לשם עמידה ברמות השירות, אלא יש חשיבות רבה גם לניתוח התשתיות הנדרשות לשם עמידה ביעדי ההתאוששות. נוסף על כך, אף שאפשר שכל אגף האחראי לפעילות חיונית יגדיר את התשתיות הנדרשות למימושה, הרי שהנהלת המשרד צריכה לקבל, במסגרת האסטרטגיה להמשכיות עסקית, את ההחלטות הנדרשות לשם הפעלת התשתיות החיוניות במצבי חירום, בייחוד כשמדובר בתשתיות המשותפות לאגפים שונים, כגון תשתיות בינוי, תשתיות טכנולוגיה וציוד. נמצא כי ההנחיה שהפיץ אגף החירום והביטחון אינה עוסקת בקביעת יעדי ההתאוששות. בהיעדר יעדים להתאוששות, אי -אפשר לקבוע את רמת השירות המבוקשת ולהיערך כנדרש להתמודדות עם מצבי חירום, שבהם יושבתו פעילויות חיוניות. עוד נמצא כי לא נקבעו רמות שירות לכל אגפי משרד האוצר; וכי לחלק מהפעילויות שנקבעו כקריטיות, לא נקבעו רמות שירות כלל. משרד מבקר המדינה מסב את תשומת לב רשות ני"ע כי קביעת הפעולות החיוניות בחירום וקביעת רמת השירות של כל פעילות הן שתי פעולות שונות, כפי שפורט לעיל. לעתים יש קשר בין יעדי ההת אוששות ובין רמות השירות של הארגון, דוגמת קביעת רמות שירות שונות על פני ציר הזמן של התאוששות הפעילות הארגונית. משרד מבקר המדינה מעיר למשרד האוצר כי הדרך שבה רואה הרשות הייעודית במשרד האוצר את משימותיה אינה עולה בקנה אחד עם הגדרת תפקיד הרשות על ידי ועדת מל"ח העליונה29. פעילות האגפים השונים של משרד האוצר נשענת על תשתיות משותפות, ועל כן אין מקום להפקיד חלק מאחריות הרשות אצל אגפי המשרד השונים. על משרד האוצר לשוב ולבחון אילו מהפעילויות הקשורות בהכנת התכניות להמשכיות עסקית יכולות להתבצע באגפיו השונים, ואילו פעילויות ראוי שיבצע גוף מרכזי, כמו אגף הח ירום והביטחון. זאת, כדי למנוע כפילות בהערכת הסיכונים, לטפל באיתור התשתיות הנדרשות וכדי לשפר את היערכות המשרד כולו למצבי חירום. 3. ברשות ני"ע לא נמצאה אסמכתה לדיונים שנעשו בהנהלת הרשות ולהחלטות שהתקבלו בחלק מהנושאים שפורטו לעיל. לדעת משרד מבקר המדינה, מן הראוי שכל ארגון יבנה תכנית להמשכיות עסקית הבוחנת את מכלול הסיכונים המאיימים עליו, אף אם אינם יוצרים פוטנציאל לנזק לאומי מערכתי. זאת, מכיוון שעלול להיווצר נזק חמור לארגון שלא בהכרח יגרום לנזק ענפי חמור; כן עלול להיגרם נזק ענפי חמור שלא בהכרח יגרום לנזק בעל השפעות לאומיות. בכל הגופים שנבדקו נמצא כי הם לא בדקו אם יש להתגונן מפני רמות סיכון חריגות יותר מאלו שעל בסיסן נבנו תרחישי הסיכון הלאומיים וכיצד; לא נמצא שהנהלת הגוף דנה בדבר כדי לקבוע את סוגי הסיכונים שמפניהם הוחלט להתגונן, ומפני אילו סיכונים לא להתגונן. משרד מבקר המדינה בדק מסמכים המתעדים את עיסוקו של בנק ישראל ברעידת האדמה שהתרחשה ביפן ב - 2011 , ולא מצא בהם עדות כי בנק ישראל בחן את הצורך להתמודד עם רמת סיכון חריגה מהמתוארת בתרחיש הייחוס הלאומי לרעידת אדמה. משרד מבקר המדינה מעיר כי מן הראוי שבדיקה כאמור תתבצע בשלב קביעת תרחישי הייחוס הארגוניים לגבי כלל הסיכונים, ובכלל זה רעידות אדמה. משרד מבקר המדינה מעיר כי בשל האפשרות לשלב בין הטיפול בסיכונים תפעוליים ובין הטיפול בסיכונים אסטרטגיים כחלק מבניית תכנית להמשכיות עסקית, מן הראוי היה שאגף החשכ"ל ורח"ל ישתפו פעולה בהכנת מתכונת עבודה בטרם פרסום הוראות תכ"ם. ואולם, לא נמצאה אסמכתה לעבודה משותפת בעניין זה. לדעת משרד מבקר המדינה פעולות משרד האוצר לבניית תכנית המשכיות עסקית, כפי שתוארו על ידו, נעשו בסדר הפוך מן המקובל על פי כל מתודולוגיה ותקן. קביעת נהלים לאגפי המשרד תחילה, קביעת יעדי השירות ורמתם לאחר מכן וכתיבת תרחיש הייחוס בשלב האחרון אינם מאפשרים היערכות נכונה, מלאה ויעילה לסיכונים שבפניהם ניצב המשרד. לדעת משרד מבקר המדינה, היה מן הראוי שהרשות הייעודית הפיננסית ורח"ל יסדירו ביניהן כבר בשנת 2008 את המחלוקת בכל הנוגע לאחריות להעברת המידע הנדרש לגופים שהרשות הייעודית הפיננסית מנחה. מאחר שתרחיש הייחוס למלחמה משמש אחת מאבני היסוד המרכזיו ת להכנתן של תכניות להמשכיות עסקית, ובשל העלויות הכבדות הכרוכות בפעולות שעל הגופים המונחים לנקוט לשם הכנתן ויישומן, מן הראוי שרח"ל והפיקוח על הבנקים יאיצו את הפעילות לגיבוש תרחיש ייחוס שיספק את כל המידע הדרוש לצורך היערכות הגופים המונחים, בלי לפגוע בביטחון המדינה. על רח"ל לוודא כי הרשויות הייעודיות יעבירו את המידע הרלוונטי מתוך תרחיש הייחוס הלאומי לגופים שהן מנחות. לדעת משרד מבקר המדינה, משסברה רח"ל כי יש להיערך לתרחיש צונאמי ברמה הלאומית, היה עליה לפעול לבניית תרחיש ייחוס מתאים ולהעבירו לידי הרשויות הייעודיות על מנת שייערכו על פיו וינחו את הגופים שבאחריותן. התועלת בתרגול תרחיש שהגופים הרלוונטיים לא נדרשו להיערך לקראתו בעוד מועד מועטה בהשוואה לביצוע תרגיל לאחר היערכות. נמצא כי רשות ני"ע לא דאגה כי יוכנו עבורה תרחישי ייחוס לסיכונים הכלולים בתרחישי הייחוס הלאומיים ולסיכונים שאינם כלולים בתרחישי הייחוס הלאומיים. לפיכך, בכל תכניות החירום, הנהלים והפעולות של הרשות בתחום ההמשכיות העסקית היא לא התבססה על תרחישי ייחוס כנדרש. משרד מבקר המדינה מעיר לרשות ני"ע כי עליה לבנות תרחישי ייחוס לכל הסיכונים כאמור לעיל. נמצא כי בנק ישראל, משרד האוצר ורשות ני"ע לא קבעו כי יש לעסוק במסמכים הנוגעים לתכניות של המשכיות עסקית בדרכים המתחייבות מרגישות המידע הכלול בהם, לא קבעו נהלים לטיפול במסמכים אלו, ולא הקפידו על סיווג המסמכים על פי רגישותם. עוד נמצא כי המפקח על הבנקים, אגף שוק ההון ורשות ני"ע לא הנחו את הגופים שבפיקוחם לנהוג במידע הנוגע לתכניות להמשכיות עסקית שלהם על פי רגישותו כמפורט לעיל. כמו כן נמצא כי משרד האוצר ורשות ני"ע לא דאגו להבטיח בחוזי ההתקשרות עם יועצים בתחום ההמשכיות העסקית כי לא יישאר בחזקתם מידע ומסמכים של הגופים ששכרו את שירותיהם. בנק ישראל, משרד האוצר ורשות ני"ע לא דאגו לרישום המסמכים הרגישים שנמסרו ליועצים ולהשבת החומר אליהם בסיום העבודה. נמצא כי ההנהלה הבכירה של משרד האוצר לא אישרה את החוברת, ולא הייתה מעורבת בקבלת ההחלטות בשום שלב מהשלבים המרכזיים המפורטים בה. לא נמצא כי מלכתחילה ניתנה הנחיה כלשהי של הנהלת המשרד בדבר ההחלטות המרכזיות שיש להביאן להכרעת ההנהלה ולאישורה. נמצא כי על אף אי -הבהירות בנוגע לתחומי האחריות והפעילות של הרשות הייעודית הפיננסית כמובא לעיל, שהשתקפה גם בדיוני הנהלת בנק ישראל, לא פנה הבנק אל ועדת מל"ח העליונה כדי שת בהיר את סמכויות הרשות הייעודית הפיננסית, ואף לא נמצאו מסמכים בדבר קבלת החלטה בהנהלת הבנק בעניין זה. משרד מבקר המדינה מעיר כי בנק ישראל החל לפעול כאמור בלי שוועדת מל"ח העליונה נתנה את אישורה להקמת הרשות הייעודית והגדירה את סמכויותיה. לדעת משרד מבקר המדינה, ראוי שהיקף אחריותה וסמכויותיה של הרשות הייעודית הפיננסית ייקבעו בטרם יתרחש אירוע חירום, שבו עלולים לבוא לידי ביטוי הכשלים העולים ממצב העניינים הנוכחי. מן הראוי שבנק ישראל יפעל לאלתר, בתיאום עם ועדת מל"ח העליונה , להבהרת היקף אחריותה של הרשות הייעודית הפיננסית. לעניין זה, מן הראוי כי תישמע עמדתו של בנק ישראל על סמך הניסיון שנצבר והוראות חוק בנק ישראל. עיון בחוזרים העלה כי ההוראות שפורטו בחוזרים מספטמבר 2003 וממרץ 2004 הן קווי מתאר כלליים לתכנית המשכיות עסקית. ההוראות אינן עוסקות בבניית תרחישי הסיכון, בהבטחת השירות ללקוחות במהלך מצב החירום, באתר חלופ י לפעילת הארגון ובהיבטים רבים נוספים, שהם חלק מתכנית יעילה להמשכיות עסקית. לדעת משרד מבקר המדינה אין די בהוראות החוזרים האמורים, ואין ביישומן כדי להבטיח כי לארגון יכולת להתאושש במצב של אסון. לדעת משרד מבקר המדינה, בחוזר אבט חת מידע עוסק הממונה על שוק ההון בהמשכיות העסקית בתור עניין משני בתחום אבטחת המידע, ואין בחוזר מענה הולם לנושא. הטיפול בשרידות מערכות המידע של ארגון הוא אמנם תנאי הכרחי להבטחת ההמשכיות העסקית שלו, אך ודאי שאינו תנאי מספיק. זאת ועוד, בתקנות הפיקוח על שירותים פיננסיים (ביטוח) (דירקטוריון וועדותיו), התשס"ז - 2007 , לא הוטלה על הדירקטוריון חובה מפורשת לדון במדיניות ההמשכיות העסקית של החברה. על כן, השמטת ההוראה המפורשת שקובעת את אחריות הדירקטוריון לקביעת מדיניות בתחום ההמשכיות העסקית, מחלישה מאוד את עקרונות הממשל התאגידי, שתכליתם להבטיח את פיקוח הדירקטוריון על הנהלת החברה ולבסס את מדיניות החברה באמצעותו. מעיון בדוחות הביקורות של אגף שוק ההון עולה כי הביקורות עסקו בעיקר בתחום אבטחת המידע, וכי החלק שיוחד לתחום ההמשכיות העסקית מצומצם מאוד. עוד עולה כי הביקורות שנעשו בתחום ההמשכיות העסקית לא עסקו באיכות מוכנותם של הגופים המוסדיים למצבי חירום, אלא בעצם הגשמתם של תהליכים כלליים הנדרשים לפי חוזר אבטחת המידע, בין השאר עקב הניסוח הכללי של החוזר. למרות עמדת אגף שוק ההון כי יש בידו תמונת מצב של מוכנות הגופים המוסדיים לאירועי חירום, נמצא כי כתשע שנים לאחר החלת ההוראות בנושא זה על גופים המוסדיים לא היה בידי האגף מידע מקיף ומלא בדבר בניית תכניות להמשכיות עסקית בכל הארגונים האלה ובדבר יכולתם להתמודד עם האתגרים הנובעים מאירועי חירום. נמצא כי הגם שעל פי החלטת הממשלה מנובמבר 2005 ומכוח החלטת ממשלה 1716 נדרש אישורה של ועדת מל"ח העליונה לשם הקמת רשות ייעודית, לא התבקש אישורה להקמת הרשות הייעודית הפיננסית -בנקאית (להלן - הרשות הייעודית הפיננסית), וממילא לא נקבעו תחום פעולתה וסמכויותיה, כפי שנקבע למשל לגבי הרשות הייעודית במשרד האוצר. הרשות הייעודית הפיננסית החלה לפעול בלי שבנק ישראל נתן את דעתו על שלא התקיים התנאי המוקדם לכך. משרד מבקר המדינה מעיר כי עקב הליקויים שמצא אגף שוק ההון בהיערכות לשעת חירום של הגופים המוסדיים שבהם עשה ביקורת, היה על הנהלת האגף לבחון מן השורש אם די בקביעת עקרונות כלליים בלבד לבניית תכניות להמשכיות עסקית בגופים אלה או שנחוץ לקבוע כללים מפורטים יותר. ואולם הממונה על שוק ההון לא פעל באופן נמרץ, כמתבקש מן הממצאים, לבחינת הצורך בגיבוש הנחיה בתחום זה. לדעת משרד מבקר המדינה, ראוי היה כי רשות ני"ע תבצע בחינה יסודית של המצב בפועל קודם פרסומו של החוזר, כדי לזהות כשלים ולקבוע בחוזר הוראות שיביאו לתיקונם. לדעת משרד מבקר המדינה, הפירוט שבנספח לחוזר קובע מתווה כללי בלבד ועקרונות בסיסיים עבור הגופים המונחים, שגם עצם העמידה בהם אינה מבטיחה, בסבירות נאותה, את יכולתם לקיים המשכיות עסקית. מהשוואת העקרונות שנקבעו בחוזר אל העקרונות שנקבעו בהנחיות של רשויות הפיקוח האחרות (בנק ישראל ואגף שוק ההון) עולה כי בשונה מרשויות הפיקוח האחרות, רשות ני"ע בחרה להותיר בידי דירקטוריון הגוף שיקול דעת כמעט מוחלט בעניין הרכיבים המרכזיים של תכנית ההמשכיות העסקית. לדעת משרד מבקר המדינה, על רשות ני"ע לבחון את הרחבת העקרונות המפורטים בחוזר בנוגע לתכנית ההמשכיות העסקית, כדי להנחות ולכוון את הדירקטוריונים של הגופים להכנת תכניות מקיפות ויעילות יותר. משרד מבקר המדינה מציין כי הגדרת התשתיות הנדרשות צריכה להתבצע בזיקה לכל אחת מהפעילויות הקריטיות - הדרישות מאתר שליטה חלופי יתבססו על מצרף התשתיות הנדרשות לביצוע כל אחת מהפעילויות החיוניות. ניתוח התשתיות הנדרשות לכל אחת מהפעילויות החי וניות, מאפשר גם לזהות דרישות מיוחדות הנוגעות לפעילות חיונית מסוימת, להתכונן מראש לשינוי עתידי בתשתיות הנדרשות ולחסוך בעלויות ההיערכות. בביקורת לא נמצאו אסמכתאות לניתוח של רשות ני"ע בנוגע לתשתיות הבינוי הנדרשות לביצוע פעולות חיוניות. לדעת משרד מבקר המדינה, אין די בכך שתקן 24001 הוצג לרשות ני"ע במסגרת בחינת הצעת חברה ב', והיה על הרשות ל בחון את תוכנו של התקן ואת מידת התאמתו לפעילותה. משרד מבקר המדינה מעיר לבנק ישראל, משרד האוצר ורשות ני"ע כי אין להסתפק בהכללת הוראות חוזיות הנוגעות לחשאיות של מידע רגיש, אלא יש לנקוט אמצעים מעשיים לסיווג מידע רגיש ולאבטחתו, לרישום המסמכים הכוללים מידע רגיש שמועברים ליועצים ולאיסופם בתום עבודת הייעוץ. משרד מבקר המדינה מעיר כי עם קבלת מכתב זה היה על הבנק לפעול לאיתור התרחיש המסווג כסודי ולבדוק אם אכן נמסר לבנק. נמצא כי בכל הגופים שנבדקו לא נקבעה שיטה שלפיה יוגדרו יעדי ההתאוששות ורמות השירות הנדרשות מהגופים האחראים להפעלת מערכות המידע בשעת חירום, על סמך ניתוח התשתיות הטכנולוגיות שיידרשו בשעת חירום. אגף החירום והביטחון במשרד האוצר הנחה את אגפי המשרד למפות את מערכות המידע והתקשורת שלהם ולהגדיר "אילו מהן חיוניות להבטחת קיום תפקידי הליבה של האגף במצב חירום". אולם לא נמצא כי אגפי משרד האוצר פעלו על פי הנחיה זו. לדעת משרד מבקר המדינה, עדכון תרחישי הייחוס נעשה בשל שינוי שחל במפת האיומים החיצוניים, ואינו משמש תחליף לניתוח רגישות לסטיות בתרחישי הייחוס, שאמור להתבצע כחלק מבנייתם הראשונית של תרחישי הייחוס. על פי הוראות תכ"ם, אין חובה לשלב את ניהול הסיכונים התפעוליים ואת הטיפול באלו הנכללים בהכנת תכנית להמשכיות עסקית, והדבר נתון לשיקול דעתה של הנהלת המשרד. הנהלת משרד האוצר לא נתנה את דעתה לצורך לבחון ולקבל החלטה בעניין זה. לדעת משרד מבקר המדינה, ניהול סיכונים תפעוליים לפי הוראות תכ"ם המשולב במסגרת ההיערכות למצבי חירום כחלק מהתכנית להמשכיות עסקית, מקנה יתרונות רבים. בין השאר, חלק מהסיכונים התפעוליים המטופלים לפי הוראות תכ"ם עלולים לבוא לידי ביטוי בפגיעה במשרדי הממשלה, הדומה לזו שעלולה להיגרם כתו צאה מסיכונים אסטרטגיים מסוימים; הוראות תכ"ם בעניין ניהול סיכונים תפעוליים קובעות מתודולוגיה משותפת לכלל משרדי הממשלה, שיטה שעשויה לייעל גם את הטיפול בסיכונים אסטרטגיים; פעולות להפחתת סיכונים תפעוליים עשויות אפוא להשתלב היטב בפעולות משרדי הממשלה להפחתת סיכונים אסטרטגיים. נמצא כי אף על פי שבנק ישראל ומשרד האוצר עסקו בהבטחת זמינותן של תשתיות במצבי חירום, הם לא ביצעו סקירה מלאה של תשתיות הבינוי הנדרשות עבור כל אחת מהפעילויות החיוניות. משרד מבקר המדינה מעיר למשרד האוצר כי הכנת תרחישי ייחוס לאגפיו בנפרד מהתרחיש שהכין אגף החירום והביטחון כרוכה בחוסר יעילות ובבזבוז משאבים; זאת מאחר שאגפי המשרד פועלים באמצעות תשתיות חיוניות משותפות, ובשל כך אינם אמורים להכין תרחישי ייחוס עצמאיים. לא נמצאו מסמכים המעידים שהנהלת משרד האוצר או הנהלת רשות ני"ע קבעו את היעדים ואת המטרות הכלליות של פעילותם בעת חירום כקו מנחה לבניית תכנית להמשכיות עסקית. עבודת המטה שבוצעה בשנת 2007 עבור בנק ישראל לא כללה תרחיש ייחוס לטרור קיברנטי28 , אף שהוסבר בה כי "ניסיון להפעלת טרור קיברנטי נגד מערכות המידע של בנק ישראל הוא תרחיש ייחוס רלבנטי". חברה א' הכינה לבנק ישראל תרחיש ייחוס כאמור רק באוגוסט 2010 . זאת ועוד, למרות ניתוח מעמיק של הנזק האפשרי כתוצאה מפגיעת טיל במבנה הבנק או בקרבתו, לא נעשה ניתוח יסודי בדבר סיכונים מסוימים של פיגועי טרור, אף שהיה ראוי לבחון אותם ביסודיות יתרה. כמו כן לא עסקה העבודה בחשש מפגיעה בו-זמנית בהנהלה הבכירה של הבנק, ובצורך לשמר רציפות תפקודית במצב זה. משרד מבקר המדינה מעיר כי מהמסמכים שהמציא לו משרד האוצר עולה כי הוא לא קבע מתודולוגיה לבניית תכנית להמשכיות עסקית על שלביה השונים; לא נמצאו פרוטוקולים המעידים על דיונים שהתקיימו בהנהלת המשרד בעניין זה; ולא נמצאו אישורים של הנהלת המשרד לבניית התכנית ולשלבים השונים שיש לכלול בתהליך הכנתה.
נמצא כי בכל הגופים שנבדקו, למעט הפיקוח על הבנקים בבנק ישראל, לא נבדקו ביסודיות פעילויות שנקבעו כחיוניות, על מנת לאתר מידע לא ממוחשב הנדרש לשם ביצוען ולהשגת יעדי ההתאוששות ורמות השירות. יצוין כי אגף החירום והביטחון במשרד האוצר נתן לאגפי המשרד הנחיה למפות את סוגי המידע החיוניים לפעילותם במצבי חירום, אולם לא נמצא כי מי מהאגפים מיפה מידע לא ממוחשב.