משרד הבריאות . היבטים בפעילות אגף בריאות דיגיטלית ומחשוב - משרד הבריאות משרד מבקר המדינה מעיר לאגף המחשוב כי עליו לקיים תהליך ייזום מלא גם עבור הרחבת מערכת קיימת (שו"ש של ממש) או הקמת מודול חדש על תשתית קיימת, כנדרש בהנחיית רשות התקשוב. כמו כן, במקרים שבהם התקיים יום ייזום יש להוציא מסמך מסכם סדור שיכלול את כל נושאי החובה שעל מסמך הייזום לכלול לצורך תיעוד. א. הועלה כי עד מועד סיום הביקורת, אוקטובר 2017 , שנתייםמאז עליית מערכת עופר לאוויר, חלק מ התכולות שתוכננו ל-2016 טרם הוקמו או שהוקמו באופן חלקי או שהיה פיגור גדול במועד הקמתן ביחס לתכנון. לדוגמה: ניהול התקציב הוקם שנה לאחר המועד המתוכנן; ניהול הפורטפוליו וניהול הדרישות - חלקם הוקמו שנה לאחר המועד המתוכנן וחלקם טרם בוצע ונדחה למועד התקנת גרסה חדשה. משרד מבקר המדינה מציין לחיוב את כתיבת הקווים המנחים שהגדיר אגף המחשוב ואת שילובם במסמך המנחה. עם זאת, ראוי שהאגף יכתוב תבניות מתאימות כדי שהנחיותיו יוטמעו בקלות ושהמתודולוגיה שלו תהיה מלאה. על האגף גם לכתוב קווים מנחים לביצוע בקרת עלויות ולשלבם במסמך המנחה. עוד מעיר משרד מבקר המדינה לאגף המחשוב ולאגף התקציבים במשרד כי נוכח הערכות שלא כללו את כל המרכיבים הנדרשים לקיום בקרה נאותה, בהם עלויות תחזוקה שנתית המוערכת בכשליש מעלות הקמת המערכת; ולנוכח היקפם הכספי הגדול של הפרויקטים - עליהם להכין הערכות עלות חדשות ועדכניות לכל פרויקט. על בסיס ההערכות החדשות עליהם לבחון את המקורות התקציביים של כל פרויקט, ואם יש פערים - להעלות זאת בפני מנכ"ל המשרד. עוד מעיר משרד מבקר המדינה לאגף המחשוב ולאגף התקציבים כי עליהם לקבוע מנגנון משותף שיוודא כי מתקיימת בקרה שוטפת על עלויות פרויקטים ביחס להערכות, ויוודא שממצאיה יוצגו בוועדות ההיגוי של כל פרויקט, כדי שצוות הפרויקט יפעל למזעור החריגות מבעוד מועד. .שם הרכיב ההערכה .הראשונה - .סה"כ מזערי ההערכה .השנייה - .סה"כ מזערי שיעור הפער .בין שתי .ההערכות - .מזערי ההערכה .הראשונה .- סה"כ מירבי ההערכה .השנייה - .סה"כ מירבי שיעור הפער .בין שתי ההערכות .משרד מבקר המדינה מעיר לאגף המחשוב כי עליו ל הגדיר מתכונת אחידה לכתיבת הערכת עלויות ולבקרת עלויות. זאת ועוד, עליו ל בצע לכל הפרויקטים החדשים הערכת עלויות מפורטת שתכיל את עלויות שלב ההקמה ועלויות התחזוקה השנתיות . את הערכ ת העלות יש לבצע עוד בשלב הייזום ולעדכן אותה בשלב האפיון. עליו לשמור אותה כתכנית בסיס במערכת לניהול תקציב פרויקטלי, ולבחון לעומתה את עלויות המערכת בפועל. כמו כן, על משרד הבריאות להימנע ככל האפשר מהגדרת עלויות מזעריות ומירביות לכל פרויקט שנבדלות מאוד זו מזו בהיקפן. מהלוח עולה כי קיימים פערים ניכרים בין שתי הערכות העלות לגבי אותם הרכיבים, לדוגמה: ברכיב "יכולת תיאום לאומי" היה פער של כ- 1,000 % בין הסכומים המזעריים שפורטו בכל אחת מהערכות העלות. כמו כן, לא פורטו הסיבות להגדרת סכום מזערי וסכום מירבי לכל רכיב בפערים ניכרים של מאות אחוזים - ולכן לא ברור כיצד בנה המשרד את ההערכות. התברר כי מונו ועדות היגוי ל-16 מ-24 הפרויקטים שנבדקו . בעשרה פרויקטים הוועדה מונתה זמן רב לאחר שהחלו; לדוגמה, במערכת למניעת זיהומים מונתה ועדת היגוי רק שנתיים וחצי לאחר שהפרויקט התחיל, ולפרויקט הרפורמה בתמרוקים, שהחל בספטמבר 2016 , מונתה ועדת היגוי רק במהלך הביקורת - ביוני 2017 - והתקיים דיון ראשון ביולי 2017 .נוסף על כך, שבע ועדות היגוי לא התכנסו בשנים 2017-2016 . יוצא אפוא שהוועדות לא קיימו בקרה על התקדמות הפרויקטים ותוצריהם העיקריים, לא אישרו אבני דרך ולא קיבלו החלטות בנושאים עקרוניים כגון שינוי בתכניות העבודה, בתקציב הפרויקטים ובתכולות שלהם. משרד מבקר המדינה מעיר למנכ"ל משרד הבריאות כי להצלחת הפרויקטים נדרשות מחויבות ההנהלה ומעורבותה, ומכאן חשיבות הקמתן של ועדות היגוי בראשות גורם בכיר שבסמכותו לקבל החלטות, וקיום דיונים לפחות פעמיים בשנה, בייחוד בפרויקטים במשבר. על המשרד לפעול לאלתר למינוי ועדות היגוי לכל הפרויקטים שבניהול אגף המחשוב בהתאם להנחיית רשות התקשוב ולוודא כי יתכנסו בתדירות שתאפשר להן לקיים בקרה נאותה על הפרויקטים. כמו כן, על אגף המחשוב לעדכן את המסמך המנחה על פי הנחיית הרשות. הועלה כי בניגוד לנוהל מפת"ח, המסמך המנחה והנחיית רשות התקשוב, לא נכתבו מסמכי ייזום למחצית מ -24 הפרויקטים שנבדקו. בסך הכול התקבלו מסמכי ייזום של 53 פרויקטים (כ-67% ). עוד נמצא כי במרבית מסמכי הייזום שנכתבו היו חסרים פרטים מהותיים, כמפורט בלוח 3 .להלן .מהלוח עולה כי ברוב מסמכי הייזום לא היו נתונים על לוחות הזמנים לפרויקטים ולא על עלותם הצפויה, אבטחת המידע הנדרשת והסיכונים. באף לא אחד מהמסמכים פורטו מדדי תפוקה ומדדי הצלחה לפרויקט. ב-11 ממסמכי הייזום לא צוין מועד הכתיבה, ורק תשעה מבין 53 מסמכי ייזום (כ-17% ) נכתבו בהתאם לתבנית מסמך הייזום שבנספח למסמך המנחה. משרד מבקר המדינה מעיר לאגף המחשוב כי כתיבת מסמכי ייזום שלא על פי המתכונת המחייבת ובלא נתונים מהותיים מעוררת קושי בתהליך קבלת ההחלטות על הצורך בפיתוח מערכת חדשה ועל חיוניותה בהיבטי היעילות ו הכלכליות. הביקורת העלתה כי מחצית מ מנהלי הפרויקטים לא השתמשו במערכת עופר בעבודתם לפחות אחת לחודש. על פי דוח שהפיק אגף המחשוב בתחילת נובמבר 2017 , שלושה מנהלים (כ -4% ) ;לא נכנסו למערכת יותר משנה11 (כ-14% ) לא נכנסו למערכת מחצי שנה עד שנה; 25 (כ-32% ) לא נכנסו מחודש עד חצי שנה. משרד מבקר המדינה מעיר כי על אגף המחשוב לדרוש מכל מנהלי הפרויקטים להשתמש במערכת לפחות אחת לחודש, כדי שהיא תשקף נאמנה את מצב הפרויקטים בפועל ותהיה כלי שימושי בקבלת החלטות. משרד מבקר המדינה בחן את תכניות העבודה השנתיות של יחידות המטה והתחומים באגף המחשוב לשנים 2017-2015 , ומצא שלשניים מהתחומים לא היו תכניות עבודה לשנים 2017-2015 , וליתר התחומים וליחידות המטה היו תכניות עבודה חלקיות בלבד. רק תחום אחד - תחום שירותי פיתוח ובדיקות, שהוקם ב-2016 - הכין תכנית עבודה מלאה ל-2017 שפורטו בה כל הנתונים הדרושים. להלן פרטים: משרד מבקר המדינה מעיר לאגף המחשוב כי עליו להנחות את ראשי יחידות המטה והתחומים להכין תכניות עבודה שנתיות שיפרטו את הפעילויות המרכזיות שהם מתכננים לשנת העבודה, ובכללן אבני הדרך המרכזיות בכל פרויקט שהם מנהלים או מתחזקים, בהלימה לתקציבן. בהיעדר תכנית עבודה כזו נפגמת יכולת הנהלת המשרד ואגף המחשוב להקצות משאבים ביעילות, לזהות חריגות בלוחות הזמנים ולפקח על ביצוע הפעילויות. .אגף המחשוב מנהל עשרות פרויקטים רב-שנתיים, מרביתם במיליוני ש"ח וחלקם אף בעשרות מיליוני ש"ח ועד יותר ממאה מיליון ש"ח. פרויקטים אלו מנוהלים יחד תחת תקנות תקציב מועטות, ורובם מתנהלים באמצעות תקציב מזומן בלבד, בלא תקצוב הרשאה להתחייב המתאים לתקצוב של פרויקטים רב-שנתיים. ב-2015 הוסיף משרד האוצר תקנה לפיתוח פרויקטים במחשוב ובה נכלל באופן חד-פעמי סכום של הרשאה להתחייב, אך בתקציב השנים 2017- 2016 לא הוקצ ו לה כספים, ולכן היא לא שימשה לפיתוח פרויקטים חדשים. משרד מבקר המדינה מעיר כי משרד הבריאות לא המציא מסמכים המעידים כי ההחלטה לעלות לאוויר בתחילת 2017, למרות התכולות החסרות והבדיקות החלקיות, התקבלה בשיתוף בית החולים. אף לא הומצאו מסמכים שעולה מהם שכל עיכוב בעלייה לאוויר מעבר לתחילת 2017 יגרור דחייה בשנה נוספת, ואף לא אסמכתאות לחישוב עלויות בגין של כ-10 מיליון ש"חבגין דחיית הפעלת המערכת. הועלה כי עד מועד סיום הביקורת, אוקטובר 2017 , לא מינה מנכ"ל המשרד לפרויקט מזור מנהל פרויקט ארגוני מטעם בתי החולים. נמצא כי מ ינהלת השינוי שמינה אגף המחשוב החלה בעבודתה רק ביוני 2016 , שנה וחצי לאחר שהחל הפרויקט וחצי שנה בלבד לפני העלייה לאוויר. עוד עלה שהעבודה נעשתה במשרה חלקית וללא בקיאות מספקת בתהליכים הייחודיים של בית החולים. לכן התרומה לתהליך ניהול השינוי לא הייתה גדולה. משרד מבקר המדינה מעיר לחטיבת המרכזים הרפואיים כי לנוכח התהליך הלוקה בחסר של ניהול השינוי בבית החולים רמב"ם, עליה למנות בכל בית חולים לפני יישום השלבים הבאים מנהל שינוי בעל תפקיד בכיר בבית החולים, שיהיה בקיא בתהליכים העסקיים של הארגון ושיהיה מעורב בפרויקט משלב אפיון התהליכים ועד הטמעת המערכת. מנהלים אלו יהיו כפופים מקצועית למנהל הפרויקט הארגוני וידווחו לו באופן שוטף על סטטוס ניהול השינוי. משרד מבקר המדינה מעיר לאגף המחשוב כי ביצוע בדיקות קבלה חלקיות, לאחר מועד העלייה לאוויר של המערכת ושלא בידי משתמשיה באופן עצמאי, פוגע בתכלית הבדיקות ומסכן את הפרויקט, מאחר שתקלות שהמשתמשים היו אמורים לגלות לפני העלייה לאוויר עשויות להתגלות רק בעת הפעלת המערכת. הנזקים שעשויים להיגרם מכך הם בין היתר פגיעה בעבודה התקינה במערכת ללא פתרון חלופי, עקב תקלות בתהליכים משמעותיים שטרם נבדקו; הזנת נתונים מיותרים במסגרת בדיקת המערכת בשלב הייצור; והשבתת פעילות המערכת לצורך תיקונים, שתגרור אי-שביעות רצון של המשתמשים בה. עד מועד סיום הביקורת, אוקטובר 2017 , לא הוסדר תקצוב תחזוקת הפרויקטים המשותפים למטה ישראל דיגיטלית ולמשרד הבריאות, אף שהקמתם בעיצומה, שכבר הושקעו בהם מאות מיליוני ש"ח, ואף שבעתיד הקרוב יהיה צורך לשלם עשרות מיליוני ש"ח בשנה בגין תחזוקתם. על משרד הבריאות ומשרד האוצר לפעול לאלתר להסדרת תקצוב תחזוקת הפרויקטים האמורים. .משרד מבקר המדינה מעיר לאגף המחשוב כי כלל הליכי הבחינה והאישור שמקיים משרד הבריאות חייבים להיות מושתתים על נתונים תקציביים אחידים. לא סביר שאין תמונה תקציבית אחת המשקפת את תקציב הפיתוח ותקציב התחזוקה שמתכנן האגף לשנה מסוימת. כמו כן, לא סביר שהאגף מוסר לרשות התקשוב נתונים שונים באופן ניכר מאילו שאישר המנכ"ל, בייחוד אם נמסרו לאחר אישור המנכ"ל. משרד מבקר המדינה מעיר למשרד הבריאות כי לא סביר שנתוני התקציב שמאשר המנכ"ל יהיו שונים לחלוטין מאלו שהוצגו לרשות התקשוב ארבעה חודשים לפני כן, מה עוד שבמרץ 2017 , לאחר אישור המנכ"ל באותו חודש , הוגשו לרשות התקשוב נתוני תקציב מעודכנים שונים מאלו שאישר המנכ"ל. כמו כן, ראוי שהמנכ"ל יאשר את תכנית העבודה השנתית והתקציב לפני תחילת השנה ולא בסוף הרבעון הראשון של השנה העוקבת. .הביקורת העלתה כי בשנים 2016-2014 העביר מטה ישראל דיגיטלית למשרד הבריאות כרבע מיליארד ש"ח למימוש הפרויקטים המשותפים לו ולמשרד בלי שתכניות העבודה השנתיות שגובשו בידי משרד הבריאות ומטה ישראל דיגיטלית אושרו בידי מנכ"לי שני המשרדים ובלי שהתכניות לשנים 2015-2014 פירטו עבור כל פרויקט את התקציב הנדרש, אבני הדרך העיקריות ולוחות הזמנים למימושן. להלן פירוט: . מהאמור לעיל עולה כי התכניות התקציביות השנתיות של אגף המחשוב אינן אחודות ואינן כוללות את כל הפרויקטים המפותחים באגף ואת כל פעילויות התחזוקה והתשתיות. עוד נמצא כי נתוני התקציב המוגשים לרשות התקשוב שונים מהנתונים המוגשים למנכ"ל. משרד מבקר המדינה מעיר לאגף המחשוב כי עליו להכין בכל שנה תכנית תקציבית שלמה שתשקף את כלל הפעילויות שהוא מנהל, ובכללן פעילויות של פרויקטים משותפים עם משרדים אחרים, ולהציגה למנכ"ל המשרד ולכלל הגורמים המעורבים בה; זאת כדי שתעמוד בפניהם התמונה ה מלאה של הפעילויות המתוכננות בתחום המחשוב, דבר שיאפשר להם לקבל החלטות על בסיס נתונים מלאים. הביקורת העלתה כי אגף התקציבים במשרד אינו מקיים בקרה נאותה על ביצוע תקציב אגף המחשוב שכן תחת כל תקנה מאוגדים עשרות פרויקטים בעשרות מיליוני ש"ח כל אחד, וכאמור מרבית הפרויקטים לא מתוקצבים באמצעות הרשאה להתחייב. משרד מבקר המדינה מעיר לאגף התקציבים במשרד הבריאות כי עליו לקבוע מתכונת לבקרה על ביצוע התקציב ביחס לתכנון בפרויקטים שמנהל אגף המחשוב. .משרד מבקר המדינה מעיר כי על המשרד לתקן את הליקויים ולפעול ליישום לאלתר של הפעולות שלהלן: לבנות תכנית עבודה ותכנית תקציבית מלאות ועדכניות לפרויקט; למנות מנהלי שינוי בכל בתי החולים, שיפעלו משלבי ההקמה, יבחנו את התהליכים שאופיינו למערכת ויאשרו שהם תואמים לדרישותיהם; להגדיר את ההרשאות לפני העלייה לאוויר בכל בית חולים; לקיים בדיקות קבלה בידי משתמשים באופן שידמה את הפעלת המערכת; לתכנן את ההדרכות מבעוד מועד ולקיימן בצורה מקצועית; ולפקח באופן שוטף על התקדמות הפרויקט כדי שיעמוד ביעדיו ויסתיים בהצלחה. ראוי שמנהלי בתי החולים הממשלתיים יהיו מעורבים בניהול הפרויקט ובהחלטות העיקריות שמתקבלות לגביו, וכן שהמנכ"ל, אגף התקציבים במשרד ורשות התקשוב יהדקו את בקרתם על הפרויקט כדי להבטיח את הצלחתו תוך עמידה בכל יעדיו. עלה כי עד מועד סיום הביקורת, אוקטובר 2017 ,טרם סיים משרד הבריאות את הכנת המדיניות להגנת הסייבר ואבטחת המידע.
משרד מבקר המדינה מעיר למשרד הבריאות כי מאחר שמערכת מזור עתידה לנהל נתונים רגישים, ראוי שהמשרד יגדיר עוד בשלב האפיון מטריצת הרשאות שתכיל את כל סוגי בעלי התפקידים ויבחן את תפקודה עוד בשלב הבדיקות. כמו כן, לפני העלייה לאוויר בכל בית חולים, על צוות הפרויקט באישור הנהלת בית החולים להגדיר לכל משתמש הרשאה בהתאם לתפקידו.