איך לנצל את שנת החסד שנתנה הרשות

>> בשבוע שעבר פירסמה רשות ניירות ערך את טיוטת התקנה המעודכנת בעניין יישום חוק סרביינס אוקסלי (SOX) בחברות ציבוריות. התקנה המוצעת מטילה על חברות, מנכ"ליהן וסמנכ"לי הכספים שלהן ("פונקציית הכספים הבכירה בארגון") חובה להצהיר בדו"ח התקופתי כי מערך הבקרה הפנימית על הדיווח הכספי הוא אפקטיווי. על הצהרות אלה נדרשות החברות לקבל חוות דעת מרואה החשבון המבקר שלהן.



חוק SOX - אימתן של החברות הציבוריות בארה"ב - יצא לאוויר העולם כבר ב-2002, לאחר הקריסות הגדולות של חברות בארה"ב. מאז הספיק לעבור תהפוכות בגישת היישום, בתקינה ובפרקטיקה.

בטיוטת התקנה הוגדר כי חברה תידרש להתייחס לארבעה נדבכים עיקריים: בקרות ברמת הארגון או "בקרות על" (Entity Level Controls), תהליך סגירת הדו"חות הכספיים, בקרות מערכות מידע כלליות (ITGC) וכן בחינת מספר מצומצם של תהליכים קריטיים לדיווח הכספי והגילוי.



הרשות בישראל דחתה את תחילת יישומה המלא של התקנה ומעוניינת ביישום מדורג. בשלב ראשון, בדו"חות המוגשים בסוף דצמבר 2009 יידרשו מנהלים לחתום על הצהרת מנהלים מקוצרת. לפי ההצהרה, מכל הבחינות המהותיות הדו"חות משקפים את תוצאות החברה והם לא כוללים מצג שווא של עובדות. בנוסף, יידרש דירקטוריון החברה לדווח כי נקבעה תוכנית היערכות ליישום הפרויקט ונקבע אחראי ליישום הפרויקט בתאגיד. כמו כן, תידרש החברה לדווח על מיפוי התהליכים, היחידות העסקיות והחשבונות בתאגיד, שאותם הוא רואה כמהותיים מאוד לדיווח הכספי.



בשלב הבא, בדו"חות שיוגשו בסוף יוני 2010, בדו"ח הדירקטוריון יידרש דיווח אודות ביצוע הליך הערכת סיכונים ותיעוד התהליכים העסקיים והבקרות הפנימיות הקיימות על הדיווח הכספי. כמו כן, יידרשו החברות לציין כי בוצע תהליך של ניתוח פערי בקרה. בדו"חות שיוגשו בסוף דצמבר 2010 יסתיים התהליך המדורג והחברות הציבוריות יידרשו לספק דיווח מלא הכולל חוות דעת של רואה חשבון.



נכנס בדלת האחורית



מבלי שרבים שמו לב, נכנס יישומו של החוק בישראל בדלת האחורית, וכמה מגזרים שאינם בהכרח ציבוריים מיישמים את ה-SOX כבר כמה שנים. ב-2004 החלו ליישם את החוק החברות הישראליות שנסחרות בנאסד"ק ובהמשך אומץ החוק על ידי רשות החברות הממשלתיות, המפקח על הבנקים והמפקח על שוק ההון (ביטוח, פנסיה, גמל). בקרוב תצטרף גם רשות ניירות ערך ליישומו בחברות ציבוריות הנסחרות בישראל.



אחת הטענות נגד יישום החוק גורסת כי העלות והמשאבים שדורש יישום ה-SOX בחברה אינם פרופורציונליים לתועלת. עוד נטען כי במקרים רבים החוק גורם לביורוקרטיה מיותרת בארגון, שאינה תורמת לאיכות הבקרה.



בשנים האחרונות נעשו מאמצים רבים בעולם לצמצום החלקים ה"כואבים" בחוק, או לפחות לוותר על אכיפתו בחברות הקטנות. למרות זאת, החוק נותר בתוקף ובחברות רבות השתלב כאילו היה שם מאז ומעולם. בנוסף, קולות רבים קוראים לחיזוק מערך הבקרה על הדיווח הכספי דווקא בתקופה זו.



האמת היא שניתן ליישם את ה-SOX באופן שפוי תוך התאמה לגודל החברה, התמקדות בעיקר ויצירת ערך מוסף להנהלה. להלן צרור עצות ליישום יעיל:



1. בצע סקר סיכונים מעמיק וזהה את מוקדי הסיכון כבר בשלב הראשון. באמצעות התמקדות בעיקר ניתן לחסוך משאבים רבים.



2. חזק את הבקרה ברמת כלל החברה (שלטון תאגידי). באמצעות יצירת בקרות רוחביות (כגון: בקרה תקציבית, קוד אתי אפקטיווי, בניית מערך דיווח יעיל ופעילות שוטפת של הביקורת הפנימית) ניתן לצמצם סיכונים בכמה תהליכים במקביל, לחסוך ביישום בקרות פרטניות בתהליכים - וכך לחסוך משאבים.



בקרות ברמת כלל החברה הן מרכיב קריטי ביישום יעיל של SOX. הנטייה בעולם כיום היא לתת משקל רב ל"בקרות-על ישירות". כלומר, בקרות המבוצעות ברמת ההנהלה, שמטרתן היא ניטור וסקירה של נתונים פיננסיים ואימות של ביצוע בקרות ברמת התהליך העסקי. לכן, יש להשקיע בבניית מערך בקרות-על ישירות, כמו: סקירות אנליטיות, סקירות של מידע תפעולי ורשימות תיוג המרכזות ביצוען של בקרות מפורטות.



3. חזק את הבקרות הכלליות בתחום מערכות המידע (ITGC) לרבות אבטחת המידע, בקרות על ביצוע שינויים במערכות ועוד. חברה שבה בקרות במערכות המידע חלשות תידרש לבצע בדיקות מבססות לנתונים המדווחים, להגדיל מדגמי בדיקות ולהוסיף בקרות ידניות מסורבלות.



4. שתף את כל מנהלי החברה בתהליך. פרויקט ה-SOX אינו של מחלקת הכספים לבדה. רק בעזרת שיתוף פעולה של כל המנהלים בחברה ניתן לעמוד בדרישות ולייצר ערך מוסף לחברה. יש להגביר את מעורבות המנהלים באמצעות הצגת היתרונות שיצמחו לכל אחד מהם - ויש יתרונות רבים. בין היתר הצג לכל מנהל את השיפור שיצמח לו בתחום השליטה והבקרה על התהליכים שבאחריותו. שאף למקסימום בקרות ממוחשבות בתהליכים, מכיוון שקל יותר לתחזק ולבדוק אותן.



5. העדף בקרות מונעות על בקרות מגלות. בקרה מונעת אחת יכולה "לחסוך" ביצוע של כמה בקרות מגלות.



6. בצע ניתוח אמיתי של תהליך העבודה בחברה שלך בזמן ניתוח הסיכונים והבקרות, ואל תתפתה להשתמש ברשימות תיוג כלליות, שככל הנראה יובילו אותך להוספת בקרות מיותרות. זה אולי חוסך זמן בעת תיעוד התהליכים, אבל גורם לבזבוז משאבים ובעיות בשלב היישום.



7. הקדש משאבים ניהוליים ראויים לצורך ניהול ה-SOX. יישום החוק בחברה הוא פרויקט מורכב שדורש תיאום בין הגופים השונים בחברה לבין גופים חיצוניים, בהם יועצים ורואי חשבון. בניית תוכנית מפורטת הכוללת לוחות זמנים, תחומי אחריות, תוצרים לכל שלב וכדומה, תאפשר זיהוי בעיות בזמן אמת ותמנע בזבוז משאבים.



8. הקם ועדת היגוי הכוללת מנהלים בכירים שבאפשרותם להניע תהליכים בזמן אמת. ועדת היגוי חזקה שתקבל דיווחים שוטפים, תקבל החלטות ותוודא את יישומן היא מה שמפריד לעתים בין פרויקט מוצלח לפרויקט כושל. עדכן את ועדת הביקורת באופן שוטף אודות התקדמות הפרויקט, ליקויים שאותרו ותוכנות ההנהלה להמשך טיפול.



9. עדכן את רואה החשבון המבקר בתהליך מתחילתו, במטרה לתאם ציפיות ולוודא כי העבודה מבוצעת בהתאם למתודולוגיה מקובלת מבחינתו. יש להביא בחשבון את תיקון הליקויים שעולים במסגרת ה-SOX לעתים נדרשים שני רבעונים או יותר.



10. נצל את התהליך לשיפור כלל התהליכים בארגון, אף שהוא מתמקד בבקרה על הדיווח הכספי. מניסיוננו, תהליך מיפוי התהליכים, הסיכונים והבקרות מוביל במקרים רבים גם לייעול תהליכים תפעוליים ואיתור סיכונים עסקיים. אם כבר חייבים ליישם, אז לפחות נפיק את המיטב.



11. מנה מיישם SOX בעל יכולת מקצועית שיאפשר עמידה וטיעון מול רואה החשבון המבקר שלך. רואה החשבון, שאמור לחתום על חוות דעת באשר לטיב הבקרה הפנימית בחברתך, תמיד ירצה מערכת בקרה טובה יותר ממה שהאמצעים הכספיים של החברה מרשים.



להכין את החברה לצמיחה



דע כי ביכולתך ליישם את SOX בהצלחה גם בהיקף משאבים מוגבל. למשל, יישום דקדקני של SOX אולי ידרוש גיוס כוח אדם נוסף למחלקת הכספים. מיישם מנוסה יציע חלופות שיאפשרו הפרדת תפקידים טובה גם ללא תוספת של כוח אדם.



יישום SOX בחברה הוא פרויקט מורכב הדורש השקעת משאבים ניכרת. עם זאת, ניתן לבצע תהליך יעיל ומאוזן שמאפשר עמידה בדרישות תוך הקצאת משאבים ביחס לגודל החברה ויצירת ערך מוסף רב לכלל המנהלים בארגון.



ייתכן שתקופת המשבר שבה אנו נמצאים היא המתאימה ביותר למיפוי מעמיק של מערך הבקרה בחברה, שכן מיפוי כזה יאפשר בין היתר ייעול תהליכים, צמצום חשיפות והכנת החברה לתקופת הצמיחה הבאה.



-



הכותב הוא שותף בחברת פאהן קנה ניהול בקרה