8 כללי אצבע לבחירת יועץ לעריכת סקר סיכונים
על מה יש לשים לב שבוחרים יועץ לעריכת סקר סיכונים
בעשור האחרון עלתה בקרב מקבלי החלטות בגופים ציבוריים, בייחוד בחברות ציבוריות ובמוסדות פיננסים, ההכרה בצורך באימוץ פרקטיקה לניהול סיכונים."הכרה" זו מקורה בדרישותיהם רגולציה בייחוד של הרשות לניירות ערך, המפקח על הבנקים והמפקח על שוק ההון.
גישת ניהול הסיכונים מחייבת מנהלים להתמקד בסיכונים לא רק ברווחים, והיא מחדדת את ההכרה בצורך בניהול הארגון בכל היבטיו, בצורה הלוקחת בחשבון את הסיכונים הצפויים. גישה זו מציעה פרקטיקה לעריכת סקר לזיהוי סיכונים, הערכתם ודירוגם, ומאידך, לאחר שמפת הסיכונים הושלמה, מתודולוגיה לניהול הארגון בראי הסיכונים. חשיבותה של גישה זו היא בכך שהיא לא רק מכריחה מנהלים להתייחס בהחלטותיהם גם לסיכונים, אלא היא מאלצת אותם לבחון זאת כל עת שמפת הסיכונים של הארגון משתנה.
תחום ניהול הסיכונים צבר תאוצה בשנים האחרונות בעיקר בעקבות הרגולציה בחברות הציבוריות, בגופים המוסדיים והפיננסים, המחייבת בדיווח על הסיכונים ואף במינוי אחראי לכך– קצין ניהול סיכונים (CRO). תמורות אלה השפיעו אף על הביקורת הפנימית, שהוחל עליה חובה לבסס את תוכנית עבודה על ממצאי סקר סיכונים וכן לערוך ביקורת מבוססת סיכונים.
לאור העלייה בצורך ביישום פרקטיקות של ניהול סיכונים בגופים ציבוריים עלה גם ההיצע, וכיום עומדים בפני אלה המבקשים לערוך סקר סיכונים היצע רב יחסית של יועצים, ובהם משרדי רו"ח, עו"ד, יועצים בתחום הנדסה, ביקורת פנימית, ביקורת IT ועוד. אחת הסיבות לגיוון הרב הוא העדרה של הסמכה ותקינה אחידה. אם כן כיצד בוחרים ביועץ מתאים לעריכת סקר סיכונים? ובכן, מלבד פרמטרים כמו השכלה, ניסיון וגובה שכ"ט ישנם פרמטרים נוספים שמומלץ לקחת אותם בחשבון, והם:
1. מסגרת אינטגרטיבית לניהול סיכונים
אחד הכלים האפקטיביים והמקיפים ביותר הקיימים בתחום זיהוי סיכונים הוא מסגרת אינטגרטיבית לניהול סיכונים (ERM). בספרות ידוע על למעלה מעשר מסגרות שונות, ובהן: TBS,IRM, HM Orange Book ועוד. המודל השכיח והמקובל שאומץ גם על-ידי רגולטורים בישראל הוא מודל ERM של COSO. מודל זה כולל פרמטרים שיש לבחון בהליך הערכת הסיכונים, בראי היעדים שהארגון מנסה להשיג, וכן מצביע על הרמות הארגוניות שבהן צריכה הבחינה להיערך. לאור האומר מוצע לדרוש מהיועץ לפרט, כחלק מתנאי המכרז, את הבסיס המתודולוגי לעריכת סקר הסיכונים.
2. הסמכה של עורך הסקר
בעולם קיימים מספר גופים מקצועיים, המציעים הסכמה שונות בתחום ניהול סיכונים ובהם PRM (של PRIMA) FRP (של GARP) ו- CRMA (של IIA). הסמכות אלה שהשגתם דורשת עמידה במבחנים הנה למעשה הערובה היחידה לכך שעורך הסקר מודע ובקי במתודולוגיה המקובלת בתחום.
3. אינטרדספלינריות
סקר סיכונים כולל חייב להקיף לא רק את הסיכונים הפיננסים והתפעוליים אלא את מכלול הסיכונים אליהם חשוף הארגון, ובהם סיכונים סביבתיים, משפטים וכו'. מכיוון שכך לרקע ההשכלתי של הסוקרים חשיבות דרסטית להבטחה כי אכן יזוהו כל הסיכונים בארגון. לאור השונות הרבה הקיימת מארגון לארגון, לא ניתן לקבוע את התמהיל המדויק הנדרש מצוות סוקרים שכזה, אך יחד עם זאת ניתן לציין כי כלל, על הצוות לכלול לפחות מבקר פנימי, כלכלן/חשבונאי, משפטן ומבקר מערכות מידע.
4. שימוש בשיטות שונות לאיתור סיכונים
המתודולוגיות השונות בתחום זה כוללות שיטות שונות לאיתור סיכונים, למן תרחישי סיכון (what if) וכלה בשימוש בכלים לאיתור כשלים בתהליכים (SWOT Analysis, scorecards). ככול שעורך הסקר ישתמש בכלים שונים, כך ההסתברות שיאותרו כל גורמי הסיכון המהותיים בארגון גדלה. הואיל וכך מומלץ לקבוע בתנאי המכרז חובה לציין את הכלים לאיתור סיכונים ייעשה שימוש בסקר.
5. בדיקת בקרות ותאבון לסיכון
סקר סיכונים אפקטיבי חייב לא רק לזהות את סיכונים אלא גם לבחון את ההחלטות של הנהלת הארגון ביחס לאותם סיכונים, החלטות המכונות "התיאבון לסיכון" (סיכון קביל או לא) ואת מידת האפקטיביות של אמצעים אלה (הגנות ובקרות). לא ניתן לדרג סיכונים בצורה אפקטיבית ללא שקלול פרמטרים אלה.
6. שימוש בbenchmark
הערכת הסיכונים הנה תהליך סובייקטיבי. הואיל וכך, יש צורך להשוות את הערכת הסיכונים למדדים חיצונים (benchmark). כך למשל ניתן לחשב סטטיסטית, ע"פ ניסיון עבר, את הסיכוי שאירוע מסוים יתרחש ולהשוות את הערכה של עורך הסקר עם הערכות חיצוניות כמדדי השוואה. כמו כן הואיל ומדובר בהליך הערכה, חיוני כי דירוג הסיכונים יעשה על-ידי צוות חשיבה ולא על-ידי סוקר בודד.
7. ריכוז נתונים בכלים ממוחשבים
היקף הסיכונים אליהם חשופים ארגונים הנו כה רב עד שניהולם ללא שימוש באמצעי מחשב (כגון גיליון אלקטרוני) אינו אפשרי. למסד נתונים שכזה יתרונות רבים, גם לצורך תחזוקה של רשימת הסיכונים וניהולם. מכיוון שכך מומלץ לקבוע כתנאי במסמכי המכרז כי עם סיום העבודה יעביר היועץ את רשימת הסיכונים הממוחשבת להנהלה.
8. הצגת נתונים בצורה מוחשית
מיפוי תהליכים וחישוף סיכונים מותיר את עורך הסקר בתחושה שמרוב עצים לא רואים את היער. רשימת הסיכונים ממוצעת כוללת מאות ואף יותר מכך של סיכונים בעוצמות ובדרגות שונות. מכיוון שכך הפרקטיקה המקובלת היא להציג את הסיכונים בצורה מוחשית, כגון על-ידי מפתח חום (Heat Map).
ארגונים רבים נדרשים לערוך סקר סיכונים, בין אם מחמת חובה רגולטיבית או החלטה של ההנהלה, ברם לא אחת אין בקרב עובדי הארגון כאלה בעלי ידע בתחום ניהול הסיכונים. למעשה כיום רק במוסדות פיננסים חלה חובה למנות קצין ניהול סיכונים, הכשיר לבצע פעולות אלה. מכיוון שכך ארגונים רבים מוצאים את עצמם שוכרים שירותי ייעוץ מבלי לדעת כיצד ומה לדרוש. רשימה זו יכולה לסייע למנהלים בגופים ציבוריים לבחור בצורה מושכלת יועץ שיסיע בעדם לנווט את ספינתם בים של אי-וודאות הרווי בסיכונים.
עו“ד אלון קוחלני (. LL.B ) עוסק זה כשני עשורים בביקורת פנימית ובקרה, ולמעלה מעשור בתחומי ניהול סיכונים וציות. הוא שותף בחברת ג'י.אר.סי יועצים בע"מ ומשמש שנים רבות מבקר פנימי ראשי ברשויות מקומיות וביצע פרויקטים של ביקורת וסקרי סיכונים בגופים שונים. המחבר הינו בעל הסמכה CRMA בתחום ניהול הסיכונים ובעל תואר MA בביקורת פנימית (אוניברסיטת חיפה). הוא פרסם מאמרים בתחומים אלה. כמו כן, שימש המחבר במשך שנים חבר המועצה המקצועית של לשכת המבקרים הפנימיים ועמד בראש כתיבת תדריכי ביקורת בתחום הונאות ומעילות וסקר סיכונים.
