הכשל הבא מסתתר בעסק שלכם: כך נראית תוכנית אכיפה אפקטיבית

בשבועות האחרונים עלו לכותרות כמה אירועים שהחזירו למוקד את שאלת הבקרות הפנימיות בחברות. חברת התשתיות אליקים בן-ארי טוענת, כי קצין רכב שפעל עבורה מכר 70 כלי רכב שלה. חברת בסט פתחה בבדיקה בעקבות פנייה של רשויות המס בנוגע לקבלן משנה, והתברר שהועברו לבעלי השליטה מיליוני שקלים שלא בהתאם לנוהלי החברה.

ההעברות הפגומות לבעלי בסט הגיעו ל-2.2 מיליון שקל - כפליים מהדיווח הקודם

תביעה: קצין הבטיחות גנב 70 כלי רכב ב-7 מיליון שקל

מעבר לפרטים הקונקרטיים, שני המקרים ממחישים שאלה שרלוונטית כמעט לכל ארגון: כיצד מזהים סיכון כאשר אינו מופיע כפעולה חריגה, אלא נטמע דווקא בשגרת העבודה, במכירת נכס, בהתקשרות עם קבלן משנה, בתשלום לספק או במתן הרשאה במערכת?

כאן נכנסת לתמונה תוכנית האכיפה. במובן המעשי, זו המסגרת שבאמצעותה הארגון מתרגם את החובות המשפטיות ואת הסיכונים הייחודיים לפעילותו לנהלים, חלוקת סמכויות, בקרות, מנגנוני דיווח ודרכי תגובה. תוכנית אפקטיבית ממפה את נקודות התורפה בפעילות השוטפת ובונה סביבן מנגנוני מניעה, איתור ותגובה.

הסיכון אינו תיאורטי. לפי דו"ח 2026 של ACFE, ארגון בינלאומי המתמחה בחקירה ובמניעה של הונאות בארגונים, 2,402 מקרי הונאה תעסוקתית שנבדקו ב-143 מדינות וטריטוריות גרמו יחד לנזק של יותר מ-3.4 מיליארד דולר. ההפסד החציוני עמד על 104,000 דולר למקרה.

תוכנית אכיפה צריכה להתחיל מהעסק

השאלה הראשונה בבניית תוכנית אכיפה היא לא רק אילו חוקים חלים על החברה. צריך לשאול גם איפה עובר הכסף, מי יכול להזיז נכסים, מי מתקשר עם ספקים, מי משנה מידע קריטי, אילו הרשאות ניתנות לכל בעל תפקיד ומי בודק את מי.

מוקדי הסיכון משתנים מחברה לחברה. בנדל"ן הם עשויים להימצא בהתקשרויות עם קבלני משנה ובאישור חשבונות; במסחר - במלאי, זיכויים והנחות; ובחברת טכנולוגיה - בהרשאות למערכות ובהתקשרויות עם סוכנים ומפיצים. תוכנית גנרית יכולה להיות מנוסחת היטב מבחינה משפטית ועדיין להחמיץ את הסיכון בפועל.

מבחן פרקטי הוא לבחור כמה פעולות מהותיות שהחברה מבצעת מדי יום, למשל פתיחת ספק, ביצוע תשלום, מכירת נכס או מתן הרשאה, ולעקוב אחר כל אחת מתחילתה ועד סופה: מי יוזם, מי מאשר, מי מבצע ומי בוחן את התוצאה.

• כיצד הגיע בנק צפון אמריקה לגרעון של 97 מיליון שקל
• הרגע שבו אף אחד לא מסתכל: הגורם האנושי שמצליח שוב ושוב להערים על הבנקים

אם עובד יכול לפתוח ספק חדש, להזין את פרטי חשבון הבנק שלו, לאשר חשבונית ולהעביר אותה לתשלום, נוצרה נקודת תורפה גם אם כל אחד מהשלבים מוסדר בנוהל. אותו עיקרון חל על נכסים: נדרשת התאמה בין הנכס שנגרע מהמערכת, תיעוד העסקה והתמורה שנכנסה לחשבון החברה.

ההיגיון הזה מוכר גם ממודל "משולש המעילה", המתאר שלושה גורמים שחוזרים במקרים רבים של מעילה: לחץ, רציונליזציה והזדמנות. מבחינת הארגון, ההזדמנות היא הרכיב שעליו ניתן להשפיע באופן הישיר ביותר. הרשאות עודפות, העדר הפרדת תפקידים וביקרות שקל לעקוף - כל אלה מרחיבים את מרחב ההזדמנות. תוכנית אכיפה נועדה לצמצם אותו.

הדבר נכון גם לצדדים שלישיים. קבלני משנה, יועצים, סוכנים ונותני שירות אינם בהכרח חלק מהארגון, אך לעיתים יש להם גישה לכסף, מידע, נכסים או לקוחות. לכן בדיקת נאותות בתחילת ההתקשרות היא רק ההתחלה. צריך לדעת מה אותו גורם רשאי לעשות, מי מפקח עליו והאם התשלומים והפעילות בפועל תואמים את מה שאושר.

לא מספיק למנוע, צריך גם לדעת לאתר

גם מערכת בקרה טובה אינה יכולה להבטיח שאירוע לעולם לא יתרחש. תוכנית אכיפה אפקטיבית צריכה לכן לדעת לזהות חריגה לפני שהנזק מצטבר. במקרים רבים הנתונים כבר נמצאים בארגון. שינוי בפרטי חשבון בנק של ספק, חשבוניות שנמצאות שוב ושוב מעט מתחת לרף שמחייב אישור נוסף, תשלום שחורג מדפוס הפעילות הרגיל או שינוי חריג בהרשאות - אלו הן דוגמאות לסימנים שיכולים להצדיק בדיקה.

איתור אינו מבוסס רק על נתונים. מנגנון דיווח פנימי נגיש ובטוח, אפשרות לדיווח אנונימי, תיעוד מסודר של פניות והגנה על עובדים המדווחים בתום לב, יכולים להציף מידע שמערכות אינן יודעות לזהות. חשוב לא פחות לקבוע מראש מי בודק את הדיווח ומה נעשה בעקבותיו.

• החלטה נדירה בעליון: אמן יפונה מביתו בשל חובות עתק
• חובותיו של מיזם "פרטנרס" לעורכי דין: לפחות 17 מיליון שקל

גם בינה מלאכותית וכלי ניתוח נתונים יכולים לסייע בזיהוי דפוסים שקשה לאדם לאתר ידנית. אולם אם הארגון אינו יודע אילו חריגות הוא מחפש ומי אחראי לבדוק אותן, גם מערכת מתקדמת תייצר בעיקר עוד התראות. לכן לעיתים השאלה המעשית החשובה אינה איזו מערכת חדשה לרכוש, אלא איזה דו"ח חריגים מגיע להנהלה מדי חודש, מי בוחן אותו ומה קורה כאשר משהו אינו מתאים לדפוס הרגיל.

מתוכנית ציות למנגנון הגנה

הרובד השלישי הוא תגובה. עוד לפני שמתעורר חשד, צריך לדעת מי מקבל את המידע, מי מוסמך לבדוק אותו, מתי מערבים ייעוץ משפטי, מי יכול לעצור תשלום או להגביל הרשאה, כיצד נשמרים מסמכים וראיות ומתי האירוע מגיע להנהלה או לדירקטוריון.

לתוכנית כזו יש משמעות החורגת מעצם הציות. היא מסייעת להגן על נכסי החברה ועל ערך ההשקעה של בעלי המניות, ומאפשרת להנהלה ולדירקטוריון לקבל תמונת סיכון טובה יותר. כאשר היא מיושמת ומתועדת, היא גם יוצרת תשתית ניהולית שמראה כיצד זוהו סיכונים, למי הוקצתה האחריות, אילו בקרות הופעלו ומה נעשה כאשר התגלתה חריגה.

בהתאם לכך, הנהלה ודירקטוריון צריכים לבחון יותר מאשר את עצם קיומה של תוכנית אכיפה או מספר ההדרכות שבוצעו. השאלות החשובות הן מהם מוקדי הסיכון המרכזיים, אילו חריגות נמצאו, כמה זמן לקח לטפל בהן, האם התגלו הרשאות עודפות ואילו תהליכים שונו בעקבות אירועים או כמעט-אירועים.

לתוכנית יש גם תפקיד תרבותי. נהלים ובקרות פועלים טוב יותר בארגון שבו ברור שמצפים מעובדים ומנהלים להעלות שאלות, לדווח על חריגות ולא להתעלם מדגלים אדומים. תרבות של ציות ויושרה אינה תחליף לבקרה, אבל היא זו שמאפשרת למנגנוני הבקרה לעבוד בפועל.

אך גם התוכנית הטובה ביותר מתיישנת. עובדים מתחלפים, מערכות משתנות, ספקים חדשים נכנסים והחברה צומחת. מכאן הצורך בתוכנית אכיפה שפועלת כמעגל מתמשך של מיפוי סיכונים, בניית בקרות, הדרכה, איתור חריגים, הפקת לקחים ועדכון.

בסופו של דבר, תוכנית אכיפה פנימית לא נועדה רק למנוע הפרות. כשהיא בנויה ומיושמת נכון, היא מסייעת להגן על נכסי החברה ועל ערך ההשקעה של בעלי המניות, מחזקת את יכולת הפיקוח של ההנהלה והדירקטוריון, מצמצמת חשיפות משפטיות ועסקיות ותורמת לאמון של משקיעים, מממנים ושותפים עסקיים. במובן הזה, תוכנית אכיפה אינה רק חובת ציות, אלא חלק ממערך ההגנה והממשל התאגידי של החברה. המבחן הוא האם הארגון יודע לזהות בזמן מתי הפעולה הרגילה מפסיקה להיות רגילה.

עו"ד ליאורה אלון-ביין, שותפה מייסדת במשרד פרופ' ביין, עוסקת בתוכניות אכיפה וציות (צילום: שי רגב)