בתאריך 19 בדצמבר 2011, משרד הבריאות, פרסם נוהל המחיל על קופות החולים את הוראות חוק סרביינס-אוקסלי ("SOX"), המחייב בעלי תפקידים להצהיר על קיומן של בקרות נאותות בארגון בכל הקשור לדיווח הכספי.

רקע לפרסום הנוהל

בשנת 2002 נחקק בארה"ב חוק סרביינס-אוקסלי, בעקבות מספר מקרים בהם קרסו במפתיע חברות עסקיות ציבוריות וזאת בעיקר בשל אי סדרים או מעילות שהובילו לדיווחים כספיים מטעים. עם פרסום החוק החלו הרגולטורים השונים גם בישראל לאמץ את החוק וליישמו בבנקים, חברות אשראי, חברות ביטוח, חברות ממשלתיות, קרנות פנסיה וקופות גמל וכן בתאגידים מדווחים.

קופות חולים מנהלות כספי ציבור בהיקף של עשרות מיליארדי שקלים. לאור החשיבות בניהול אותם כספי ציבור ואחריות הדרג הניהולי שלהן לספק שירותי בריאות ברמה הנגזרת מן החוק לביטוח בריאות ממלכתי, התשנ"ד-1994, הוחלט להחיל את הנוהל על קופות החולים.

מטרות הנוהל

• שיפור איכות הדיווח הכספי והגילוי בקופות החולים באמצעות שיפור תשתית הבקרה הפנימית על הדיווח הכספי והגילוי בקופת החולים והגברת מחויבות ההנהלה להשגת תכלית זו.

• חיזוק הבקרה על נכונות הדוחות הכספיים והגברת אמינות הדיווח הפיננסי של קופות החולים.

• חיזוק מערך הבקרה הפנימית.

• חיזוק הקשר בין המבקר הפנימי והדרג הניהולי הרחב בקופת החולים.

• אחריות אישית של הנהלת קופת החולים לתהליכי הבקרה הפנימית בקופה.

• אימוץ מסגרת בקרה פנימית מקובלת.

• מיפוי התהליכים העיקריים בקופת החולים, בחינת הבקרות והערכת הסיכונים הטמונה בהם.

• שמירת תיעוד מלא לתהליכי העבודה בקופת החולים וזרימת המידע בין יחידות הקופה השונות.

• צמצום חשיפה כתוצאה מטעויות, מעילות והונאות העלולות להשפיע על דיווחי קופת החולים.

• ביקורת חיצונית של רואי חשבון אחר תהליכי הבקרה בקופות החולים.

• להביא לתיקון ליקויים בבקרה הפנימית ובדוחות, באמצעות מתן גילוי למשתמשי הדוחות בדבר חולשות מהותיות בדוחות ובבקרה על דיווח הכספי ככל שקיימות ודרישה לביצוע פעולות לתיקונן.

בהתאם לנוהל נקבע כי קופת החולים תצרף לדוחות הכספיים השנתיים דוח נוסף בדבר הערכת מועצת/דירקטוריון קופת החולים וההנהלה את אפקטיביות הבקרה הפנימית על דיווח כספי, בהתבסס על מודל בקרה מפורט, שבו יפורטו החולשות המהותיות, במידה וקיימות, וייכללו הצהרות חתומות של כל נושא משרה החתום על הדוחות הכספיים, לרבות מנכ"ל והסמכות הבכירה בתחום הכספים.

לדוח הנוסף יצורף דוח של רואה החשבון המבקר של קופת החולים, שיכלול את חוות דעתו בדבר אפקטיביות הבקרה הפנימית על דיווח כספי בקופת החולים ובדבר חולשות מהותיות שהוא זיהה.

בנוסף, בהתאם לנוהל בהקשר עם הדיווחים הרבעוניים, קופת החולים תצרף לדוח הרבעוני דוח בדבר הערכת המועצה/הדירקטוריון וההנהלה את אפקטיביות הבקרה הפנימית.

לאור מורכבות יישום הנוהל, להלן הצגת שלבי העבודה העיקריים הנדרשים ביישומו:

1. תכנון העבודה והיקפה: מיסוד תהליך הערכה של הבקרה הפנימית לדווח הפיננסי, קביעת יחידות מהותיות והגדרת דרך הפעולה ליישום הפרויקט.

2. הדרכה: הצגה של עיקרי הדרישות הקבועות בסעיף 404 והדרכים ליישומן בפני ההנהלה הבכירה והדירקטוריון של הקופה, הדרכות למובילי התהליכים (Process Owners).

3. תיעוד הבקרות: תיעוד תהליכי העבודה ובקרות מהותיות לכל היחידות המהותיות.

4. ניתוח פערי הבקרה, זיהוי ליקויים והמלצות לתיקונם: ביצוע ניתוח פערים בין הבקרות הקיימות לבין מודל בקרה פנימית מקובל. מתן הערות לגבי עיצוב הבקרות ביחס למודל מקובל.

5. תיקונים: עיצוב בקרות נוספות וביצוע עבודת תיקון הליקויים.

6. הערכת אפקטיביות אמצעי הבקרה: הערכת אפקטיביות הבקרות הפנימיות לדיווח הפיננסי, תיעוד התוצאות וביצוע הערכה למשמעותן. זיהוי הליקויים המהותיים והחולשות המהותיות.

7. דיווח על הבקרות הפנימיות: הכנת הצהרת ההנהלה על הערכת אפקטיביות הנהלים והבקרות הפנימיות הקשורות לדיווח הכספי.

בימים אלו החלו קופות החולים להיערך ליישום הנוהל וזאת בהתאם למפורט בסעיף 6 לנוהל. להלן אבני הדרך לפיהם יש לפעול:

1. אבן הדרך הראשונה - ליישום עד אוגוסט 2012:

במסגרת דוח מועצת קופת החולים לרבעון השני של שנת 2012, על קופת החולים לתת גילוי בדבר הפעולות שביצעה עד למועד זה, ובין היתר את הפרטים הבאים:
• ציון כי נקבעה תוכנית היערכות ליישום הפרויקט;
• ציון שם האחראי ליישום הפרויקט בקופה;
• מיפוי התהליכים, היחידות העסקיות והחשבונות המהותיים לדיווח הכספי של הקופה.

2. אבן הדרך השניה - ליישום עד נובמבר 2014:

במסגרת דוח מועצת/דירקטוריון קופת החולים לרבעון השלישי של שנת 2014, קופת החולים תיתן גילוי בדבר הפעולות שביצעה עד למועד זה, ובין היתר את הפרטים הבאים:
• תיעוד תהליכים מהותיים.
• ביצוע הערכת סיכונים.
• ניתוח הסיכונים והבקרות המהותיות בכל תהליך.
• ניתוח הפערים (ליקויים) בין הבקרות הרצויות לבקרות המצויות (Gap Analysis).

3. אבן הדרך השלישית - ליישום עד למועד הגשת הדוחות הכספיים לשנת 2015 (מרץ 2016):

• תצורף הצהרה של המנכ"ל והסמכות הבכירה בתחום הכספים על אפקטיביות הבקרות הפנימיות על הדיווח הכספי.
• יצורף לדוחות התקופתיים של הקופה דוח נוסף של המועצה/הדירקטוריון והנהלת הקופה בנוגע לאפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי.
• תצורף, בנפרד מחוות הדעת הרגילה, חוות דעת רואה החשבון המבקר על אפקטיביות הבקרות ועל חולשות מהותיות שזוהו על ידו.

תהליך ה-SOX מתמקד בבקרה על הדיווח הכספי, אך לרוב יישום נאות של התהליך מביא לערכים מוספים שמהם נהנות קופות החולים:

הגברת המודעות לבקרה אצל מנהלים ועובדים

• מודעות העובדים לדיווח "כלפי מעלה" על אירועים ו/או ליקויים מאפשרת למנהלים להיות מעודכנים באופן שוטף על בעיות/חשיפות ולהגיב מהר יותר במקומות בהם נדרשת תגובה/תרופה.
• קביעת אחריות מנהלים לתהליכים - הגברת מעורבות המנהלים באמצעות התהליך ושיפור בתחום השליטה והבקרה על התהליכים שבאחריותו של כל מנהל תהליך.
• מאות מנהלים/עובדים בארגונים גדולים מעורבים בתהליך SOX, כולל בהדרכות, והדבר תורם לתפישת הבקרה שלהם ושבאופן טבעי משפרת את רמת הבקרה בפעילותם השוטפת שאינה קשורה באופן הדוק לדיווח הכספי.
• פעילות SOX מסייעת למנהלים ולעובדים להכיר מודלים לבקרה שלא היו מודעים להם קודם לכן.
• לכל תהליך עיקרי בארגונים יהיה תאור במלל של עיקר הפעילות, תרשימי זרימה ופירוט בקרות רצויות וקיימות. התיעוד האמור מהווה מאגר מידע רחב שלא היה קיים קודם לכן.

הצפת הליקויים והטיפול בהם

• קביעת מדרג לליקויים >> שינוי בתרבות הארגונית.
• חובה לקביעת לוח זמנים לתיקון הליקויים.
• חלק מהליקויים שיוצפו ב-SOX הינם ליקויים תפעוליים, ועשויים לצמצם את הסיכון התפעולי כולל סיכוני מעילות והונאות - ממשק לפרויקט ניהול הסיכונים התפעוליים.
• חלק מהליקויים שיוצפו מתייחסים לממשל תאגידי, תיקון הליקויים משפר את רמת הממשל התאגידי גם ברמת הארגון וגם ברמת החטיבות.
• כפועל יוצא מהתהליך מזוהים ליקויים/חשיפות הדורשים מעורבות/תשומת לב של המנהלים ואשר לא היו עולים בבקרה שוטפת (לדוגמא: תלות בעובד מפתח).

ייעול תהליכים

• ייעול – הנוהל יאתר מקרים בהם היתה קיימת כפילות בביצוע תהליכים או חלקם לרבות ביצוע בקרות כפולות המונעות את אותו סיכון.
• מיקוד נוסף הוא בצמצום הפעילות הידנית וייעול הטיפול באמצעות מיכון הפעילויות. עלות האחזקה של הפעילות הידנית הופכת להיות "יקרה יותר" ומחייבת החלפה המביאה מחד לבקרה אפקטיבית יותר אולם גם לחסכון בטווח הארוך.
• זיהוי בקרות לא יעילות או יקרות - החלפה בבקרה ממוחשבת.
• אחד התוצרים של מיפוי הבקרות ב-SOX יביא לצמצום משמעותי של מספר הבקרות ומיקוד הבקרות, תוך ייעול התהליכים.

בקרות ברמת הארגון (ELC)

חיזוק הבקרה ברמת כלל הארגון באמצעות יצירת בקרות רוחביות (כגון: בקרה תקציבית, קוד אתי אפקטיבי, בניית מערך דיווח יעיל (דיווחון), פעילות שוטפת של הביקורת הפנימית וכו').

בקרות כלליות במערכת המידע (ITGC)

• חיזוק הבקרות הכלליות בתחום מערכות המידע (ITGC) לרבות אבטחת המידע, בקרות על ביצוע שינויים במערכות המידע ועוד.
• ארגון בו הבקרות במערכות המידע חלשות יידרש לבצע בדיקות מבססות לנתונים המדווחים, להגדיל מדגמי בדיקות ולהוסיף בקרות ידניות מסורבלות ויקרות.

יתרונות נוספים ליישום הנוהל:

• פעילות ה-SOX תציף רעיונות לחידוש ושינוי תהליכים ובקרות.
• התיעוד המקיף של תהליכי העבודה ופירוט הבקרות שייווצרו במסגרת ה-SOX יקלו על שמירת ה"זיכרון הארגוני", וכן יקלו על תהליכי קליטת עובדים חדשים לרבות רוטציה בין עובדים/מנהלים.
• קפיצת מדרגה ברמת מהימנות הדיווחים הכספיים הפנימיים לגורמי ההנהלה השונים בכל הדרגים - שיפור בתהליך קבלת ההחלטות בארגון.
• הגברת שיתוף הפעולה בין יחידות בארגון, כתוצאה מתהליכי רוחב חוצי ארגון.

לסיכום

הנוהל לאפקטיביות הבקרה הפנימית על הדיווח הכספי בקופות החולים הינו תהליך המחוייב מכח הרגולציה. מנהלי קופות החולים אשר יטמיעו ויישמו את הנוהל כיאות, ייהנו מערכים מוספים שצויינו ויביאו להתייעלות כספית בקופות ולניהול נכון יותר של כספי הציבור.