לפני 30 שנה, בשלהי הכנסת ה-12, בימים שבהם חוקקו חוקי היסוד שהביאו למהפכה החוקתית (כבוד האדם וחירותו וחופש העיסוק) חוקק חוק הביקורת הפנימית, התשנ"ב-1992 (להלן - חוק הביקורת). המהלך החקיקתי הציב את ישראל בקדמת המדינות המערביות שבחרו להסדיר את עבודתו של המבקר הפנימי וחובת מינויו בחוק מסגרת חוצה מגזרים.
אך מה נותר מ"תקדים" עולמי זה? האם עדין ישראל הנה אור לגויים? האם חוק הביקורת עדין מהווה כלי המבטיח את אפקטיביות הביקורת הפנימית? על-רקע כנס ייחודי שנערך באוניברסיטת חיפה במעמד מבקר המדינה, שעסק בהיבטים השונים של השלכות של חקיקת חוק הביקורת הפנימית, נערך מחקר שבקש לבחון סוגיות אלה.
בנייר המחקר שפורסם לאחרונה
1, ושעותק ממנו נשלח לוועדה לשר המשפטים, השר הממונה על החוק, וליו"ר ועדת ביקורת המדינה, ניתח צוות החוקרים שעליו נמנים מחברי שורות אלו, את מצבה של הביקורת הפנימית בישראל בראי החוק, המשפט והפרקטיקה.
המחקר מעלה כי למרות שחלו בביקורת הפנימית תמורות שהפכו את עורה, מביקורת פנימית מסורתית השמה במרכז את הבקרה לביקורת פנימית מבוססת סיכונים, חוק הביקורת נותר בפועל ללא שינוי. ביטוי בולט לכך ניתן לראות דרך התמורות בהגדרת המקצוע. כעולה מסעיף "תפקידי המבקר" שנחקק אז הקובע את קווי המתאר של תפקידיו באופן העולה בקנה אחד עם הגדרת הביקורת הפנימית שנהגה אז (בחינת יעילות הבקרה). אולם, ההגדרה המקובלת היום גורסת שביקורת פנימית "הינה פעילות בלתי תלויה ואובייקטיבית של הבטחה (assurance) וייעוץ, אשר מיועדת להוסיף ערך ולשפר את פעולות הארגון. היא מסייעת לארגון להשיג את מטרותיו בהבאת גישה שיטתית וממוסדת, לשם הערכה ושיפור האפקטיביות של תהליכי ניהול סיכונים, בקרה, פיקוח וממשל תאגיד" (תקני IIA).
כלומר: כאשר הפכה הביקורת הפנימית מכלי להערכת "הלימותן ויעילותן של מערך הבקרה בארגון" לכלי ייעוץ והבטחה שנועד "להוסיף ערך לארגון", נותר חוק הביקורת כפי שהוא. לשון אחר, כאשר מבקר הפנים נדרש לתת כיום הבטחה (assurance) וייעוץ בתחומי ידע שהתווספו אחרי שנחקק החוק (ניהול סיכונים, סייבר וכו'), חוק הביקורת, שנותר ללא שינוי, מכוון מבקרי פנים לערוך ביקורת מסורתית, בעוד הפרקטיקה המקצועית מחייבת אותם לערוך ביקורת המבוססת על סיכונים (לסקירת ההבדלים ראה טבלה בהמשך).
על-מנת לנסות ולהצעיד את חוק הביקורת אל המאה ה-21 העלה צוות החוקרים רשימה מקיפה של המלצות ובהם:
א. להגדיר את חוק הביקורת הפנימית כחוק מסגרת, כפי שנקבע בדוח זיילר
3, כדי ליצור האחדה במאפייני המקצוע שהוסדרו בחקיקה בחוקים שונים.
ב. להסדיר בחוק את מעמד המבקר בארגון כנושא תפקיד בכיר, כדי שבכירותו תאפשר לו לבקר בכירים בארגון וכדי להגביר את היענות הארגון לאמץ את המלצות הביקורת.
ג. לעדכן את הגדרת כשירות המבקר ולכלול בחוק תחומי ידע עדכניים (ניהול סיכונים, סייבר, משפטים).
ד. לעדכן את הגדרת תפקידי המבקר ולכלול בחוק את החובה לערוך ביקורת המבוססת על סיכונים.
ה. להטיל חובת מעקב אחר ממצאיו של מבקר פנימי במסגרת צוות מעקב לתיקון ליקויים (כיום הוראה זו נוהגת רק בחקיקה המוניציפלית), כדי להגביר את אפקטיביות הביקורת.
ו. לעגן, כפי שנעשה בהצעת חוק העיריות, את זכות העיון וזכות הטיעון של המבוקרים (בג"ץ 7805/00) כדי להבטיח שמירה על זכויותיהם.
ז. להקים בכל ארגון ועדת ביקורת. יש ארגונים, כגון משרדי ממשלה, שאין בהם ועדה כזו. מומלץ לשקול לשלב בחוק את החובה להקים ועדת ביקורת בכל גוף שימונה לו מבקר פנימי
יש בכוחם של המלצות אלה, המבקשות לעשות רביזיה בחוק הביקורת, כדי להבטיח כי פונקציית הביקורת הפנימית תמשיך, למרות התמורות, להוות מגדלור המסייע למקבלי החלטות במתן תובנות המשמש כשומר סף בודד בקו השלישי התומך בממשל תאגידי נאות. נייר מחקר זה אם כן מעלה תרומה חשובה בהפניית תשומת הלב לצורך בתיקון חוק הביקורת על-מנת להבטיח כי הוא מקדם את ייעודו, ואנו קוראים למקבלי החלטות לבחון לשקול לתקן את חוק הביקורת הפנימית בהתאם.