רשות ניירות ערך
ISRAEL SECURITIES AUTHORITY
www.isa.gov.il מחלקת תאגידים
עמדה משפטית מספר 199-9: עקרונות מנחים ליישום הערכת אפקטיביות
של בקרה פנימית על הדיווח הכספי והגילוי על ידי הדירקטוריון וההנהלה,
בהתאם לתקנה 9ב לתקנות ניירות ערך (דוחות תקופתיים ומיידיים), התש״ל-1970
נובמבר 2010
1. מטרת הפרסום
מטרת מסמך זה הינה קביעת עקרונות מנחים לעיצוב מודל להערכת אפקטיביות הבקרה הפנימית על הדיווח הכספי והגילוי. יישום נאות של עקרונות אלו, בראיית סגל הרשות, יאפשר לדירקטוריון ולהנהלה להשיג רמה סבירה של בטחון בקשר עם נכונות מסקנתם בדבר אפקטיביות הבקרה הפנימית.
יובהר עם זאת, כי אין במסמך זה כדי לגרוע מאחריותם של הדירקטוריון וההנהלה לבצע הליך נאות של הערכת אפקטיביות הבקרה הפנימית, תוך הבאה בחשבון של כלל העובדות והנסיבות הייחודיות לתאגיד.
2. מבוא
2.1 רקע כללי
ביום 24 בדצמבר 2009 פורסמו תקנות ניירות ערך (דוחות תקופתיים ומיידיים)(תיקון), התש״ע-2009 (להלן ״התקנות״), אשר אימצו את המלצות דוח הועדה לבחינת כללי ממשל תאגידי בישראל (להלן ״ועדת גושן״) בדבר הערכת אפקטיביות הבקרה הפנימית והצהרת המנהלים.
תכלית התקנות היא שיפור איכות הדיווח הכספי והגילוי בתאגידים מדווחים, כמשמעותם בחוק ניירות ערך, התשכ״ח - 1968 (להלן ״החוק״), וזאת באמצעות שיפור תשתית הבקרה הפנימית על הדיווח הכספי והגילוי בתאגיד והגברת מחויבות ההנהלה להשגת תכלית זו. לצורך כך, נקבעה בתקנות חובה על תאגידים מדווחים לצרף לדוחותיהם הצהרת מנהלים בדבר נכונות הדוחות והמידע הכלול בהם, וכן חובת דיווח בדוח נפרד של הדירקטוריון וההנהלה[1] בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי (להלן ״דוח בדבר אפקטיביות הבקרה הפנימית״). כן נקבעה חובת צירוף חוות דעת של רואה החשבון המבקר בקשר עם אפקטיביות הבקרה הפנימית[2].
כפועל יוצא מכך, נדרשת הנהלת התאגיד לקבוע בקרה פנימית על הדיווח הכספי והגילוי אשר נועדה לספק בטחון סביר בדבר נכונות ומהימנות הדיווח הכספי והגילוי בהתאם להוראות הדין. בנוסף, נדרשת ההנהלה לבצע מעקב שוטף אחר הבקרה הפנימית בתאגיד ולהבטיח את התאמתה של הבקרה הפנימית לשינויים החלים בתאגיד ובפעילותו .
בקרה פנימית על הדיווח הכספי והגילוי (להלן גם ״בקרה פנימית״), בהתאם לתקנות, מורכבת משני נדבכים:
האחד, בקרות ונהלים אשר נועדו לספק להנהלת התאגיד בטחון סביר בדבר מהימנות הדיווח הכספי ובדבר הכנת הדוחות הכספיים בהתאם להוראות הדין (להלן ״בקרה פנימית על הדיווח הכספי״).
השני, בקרות ונהלים אשר נועדו להבטיח כי מידע שהתאגיד נדרש לגלות במכלול הדוחות העיתיים שהוא מפרסם על פי הוראות הדין (דוח תקופתי ודוח רבעוני) נאסף, מעובד, מסוכם ומדווח במועד ובמתכונת הקבועים בדין, וכי מידע כאמור מועבר להנהלה, וכל זאת על מנת לאפשר קבלת החלטות במועד המתאים, בהתייחס לדרישת הגילוי (להלן ״בקרה פנימית על הגילוי״).
אם קיימת חולשה מהותית באחת מהבקרות האמורות שהינן חלק ממערך הבקרה הפנימית, הבקרה הפנימית בתאגיד איננה יכולה להיחשב כאפקטיבית.
2.2 דוח בדבר אפקטיביות הבקרה הפנימית
מטרתו העיקרית של הדוח בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי והגילוי היא חיזוק מערך הבקרה הפנימית בתאגיד. מטרה נוספת של דוח זה הינה להביא לתיקון ליקויים בבקרה הפנימית ובדוחות התאגיד, וזאת באמצעות דרישה למתן גילוי בדבר חולשות מהותיות בבקרה הפנימית, ככל שקיימות, ודרישה לביצוע פעולות לתיקונן. הערכת אפקטיביות הבקרה הפנימית על ידי הדירקטוריון וההנהלה תיעשה אחת לשנה תוך מתן מסקנה פוזיטיבית באשר לאפקטיביות הבקרה הפנימית או היעדרה למועד הדוח. יחד עם זאת, על ההנהלה והדירקטוריון לבצע גם בחינה רבעונית אם הובא לידיעתם אירוע או עניין אשר עשוי לשנות את מסקנתם בנוגע לאפקטיביות הבקרה הפנימית ביחס לתקופה קודמת. ההנהלה והדירקטוריון נדרשים להצהיר על העדר אירוע או עניין המחייבים בחינה רבעונית של הבקרה, ואם קיים אירוע או עניין שכאלה, עליהם לתאר את אותו אירוע או עניין, וכן את השלכותיו על אפקטיביות הבקרה הפנימית.
הערכת האפקטיביות של הבקרה הפנימית הנזכרת לעיל צריכה להיעשות בקשר עם כלל הדוחות הנכללים במסגרת הדוחות התקופתיים והדוחות הרבעוניים, לפי העניין.
על מנת להעריך את אפקטיביות הבקרה הפנימית נדרשת ההנהלה לקבוע ולהפעיל נהלי הערכה על מנת להשיג רמה סבירה של ביטחון כי הסבירות בהגעה למסקנה מוטעית לגבי אפקטיביות הבקרה הפנימית הינה נמוכה.
הפרקטיקה שהשתרשה ביישום הוראות סעיף 404 ל-Sarbanes Oxley Act (SOX) of 2002 בארה״ב, ובפרט במסגרת בחינת האפקטיביות של הבקרה הפנימית כוללת דרישות רישום, תיעוד, בחינה וניתוח פערים בכל תהליך עסקי הקשור (לפעמים רק בעקיפין) בדיווח הכספי. הוראות אלה זכו לביקורת על כך שהשיתו עלויות גבוהות והכבידו על חברות בכלל ועל חברות קטנות בפרט. כמו כן, נטען כי פרקטיקה זו מביאה לתיחום עבודה גדול ולעיתים אף לחוסר מיקוד בנושאים המהווים את לב ליבו של העסק ולפיזור משאבים לנושאים שאינם בראש תעדוף ניהול הסיכונים בארגון.
לדעת סגל הרשות, הערכת האפקטיביות של הבקרה הפנימית עשויה להתבצע במספר אופנים. סגל הרשות סבור כי על ההנהלה והדירקטוריון של התאגיד לאמץ מודל להערכת אפקטיביות הבקרה הפנימית שהינו מבוסס סיכונים וליישמו בהתייחס לסיכונים הייחודיים לתאגיד הקשורים בדיווח הכספי ובגילוי, וכל זאת תוך מתן דגש על היבט המהותיות (להלן ״מודל מבוסס סיכונים״).
על פי מודל זה, על התאגיד לבחון, לכל הפחות, ארבעה רכיבים עיקריים כמפורט במסמך זה.
מודל מבוסס סיכונים זה משלב בין היתרונות הנובעים משימוש בהוראות ה-SOX בארה״ב כנקודת התייחסות לבין יתרונות שבהשגת מאזן עלות - תועלת טוב יותר על ידי תכולה מצומצמת משמעותית המבוססת על הערכת סיכוני הדיווח הכספי והגילוי הייחודיים לתאגיד. בכך אמור מודל זה להביא לצמצום ניכר בתשומות ובעלויות הנדרשות ליישומו מבלי לפגוע באיכות ההערכה.
לעניין זה, יודגש תפקידו של הדירקטוריון בפיקוח על פעולות ההנהלה בקשר עם קביעת הבקרות והנהלים המרכיבים את מערך הבקרה הפנימית על הדיווח הכספי והגילוי בתאגיד ובקשר עם הערכת האפקטיביות של הבקרה הפנימית כאמור. לפיכך יש לקרוא את האמור להלן בהתייחס להנהלת התאגיד באופן שאינו מתעלם מתפקידו ואחריותו של הדירקטוריון לפקח באופן אקטיבי על פעולות ההנהלה כמוסבר במסמך זה.
בהתאם לכך, על דירקטוריון התאגיד להיות מעורב באופן פעיל בתהליך יישום התקנות, ובכלל זה בהערכת אפקטיביות הבקרה הפנימית. על הדירקטוריון לדון ולאשר את מתווה התהליך כאמור, לפקח באופן אקטיבי על יישום העקרונות שהתווה ועל ביצוע התהליך בפועל, לדון בתוצאות הליך הערכת האפקטיביות של הבקרה הפנימית לרבות קיום דיון בכל אחד מהליקויים המשמעותיים והחולשות המהותיות והדרכים ולוחות הזמנים לתיקונם ולאשר את הדוח בדבר הערכת האפקטיביות של הבקרה הפנימית.
כמו כן, על הדירקטוריון לקבוע, בהתאם לשיקול דעתו, נקודות ציון וצמתי החלטה נוספים בתהליך היישום אשר יובאו לעדכונו או לאישורו.
מאחר והליך הערכת האפקטיביות מושתת בראש ובראשונה על עיקרון המהותיות ומבוסס על זיהוי וניהול סיכוני הדיווח הכספי והגילוי הייחודיים לתאגיד, אין הרשות מוצאת לנכון להבחין בין סוגי תאגידים מדווחים, על פי גודלם או בהתאם לסוג ניירות הערך של התאגיד הרשומים למסחר.
3. מודל ההערכה ־ עקרונות
להלן יובאו העקרונות המרכזיים בבסיס מודל הערכת האפקטיביות לגישת סגל הרשות:
3.1 הערכת סיכוני דיווח כספי וגילוי
ההנהלה נדרשת לזהות ולהעריך את הסיכונים שעשויים לגרום לכך שדוחות התאגיד יכללו הצגה מוטעית מהותית (לרבות השמטה של מידע מהותי) (להלן ״סיכוני דיווח כספי וגילוי״).
לאור השונות הקיימת בין תאגידים (בין היתר בשל גודלם, מאפייני הפעילות שלהם, מורכבותם ואופן ניהולם), תמצא ביניהם שונות גם בסיכוני הדיווח הכספי והגילוי, בבקרות שעל ההנהלה לקבוע לשם הבטחת דיווח וגילוי נאות, ומכאן גם בתהליך הערכת האפקטיביות של בקרות אלה.
תהליך הערכת האפקטיביות של הבקרה הפנימית מבוסס על הערכת הסיכונים הייחודיים של התאגיד הנוגעים לדיווח הכספי והגילוי. לשם כך, על ההנהלה לעשות שימוש בידע ובהכרות שלה את התאגיד, פעילותו, המבנה הארגוני, והתהליכים השונים בו, על מנת לבחון את המקורות והסיכונים הפוטנציאליים להצגה מוטעית מהותית בדוחות. בתוך כך, ההנהלה עשויה לגלות כי יהיה זה שימושי לשאול את עצמה ״מה עלול להשתבש״ לגבי רכיב כלשהו של דיווח כספי או גילוי וכן את הסבירות לכך ששיבוש כאמור יוביל להצגה מוטעית מהותית.
3.2 הערכה ברמת התאגיד המאוחד
מסקנת הדירקטוריון וההנהלה בדבר אפקטיביות הבקרה הפנימית הינה ברמת התאגיד במאוחד (התאגיד המדווח וחברות מאוחדות שלו). מכאן, שעבודת הערכת האפקטיביות של הבקרה הפנימית תהיה אף היא ברמת התאגיד במאוחד. דהיינו, ההנהלה תזהה את אותם סיכונים העלולים לגרום לכך שייכלל בדוחות פרט מטעה שהינו מהותי ברמת התאגיד במאוחד. לעניין זה, תביא ההנהלה בחשבון את אותם שיקולי מהותיות אותם הייתה מביאה בחשבון בעת עריכת הדוחות (לעניין זה, ראה גם בסעיף 7 להלן).
3.3 גישת ה״מעלה-מטה״ (Top-Down Approach)
על מנת לבחור את הבקרות אותן יש לבדוק במסגרת הערכת האפקטיביות של הבקרה הפנימית, על ההנהלה לעשות שימוש בגישת מעלה-מטה, כמפורט להלן.
נקודת המוצא של גישה זו היא דוחות התאגיד, תוך שילוב ההבנה של הנהלת התאגיד את סיכוני הדיווח הכספי והגילוי. על פי גישה זו, ההנהלה צריכה להתמקד בסעיפי הדיווח הכספי ופריטי הגילוי שהינם מהותיים למשתמשי הדוחות באופן אשר הצגה מוטעית שלהם עשויה להשפיע על קבלת החלטות כלכליות על ידי המשתמשים, ובאותם סעיפי דיווח כספי ופריטי גילוי שיש סבירות גבוהה לטעות מהותית בהם.
בהמשך לכך, ובהתבסס על הבנת ההנהלה את סיכוני הדיווח והגילוי בתאגיד, על ההנהלה לבחון את ניהול סיכוני הדיווח הכספי והגילוי על ידי התאגיד. דהיינו, האם ובאיזו מידה נותנות הבקרות הפנימיות בתאגיד מענה ראוי לסיכונים אלו. לצורך כך, נדרשת ההנהלה לבחון האם קיימים בקרות ונהלים העונים על סיכוני הדיווח הכספי והגילוי (אפקטיביות התכנון של הבקרה הפנימית) ולבחון את הראיות לגבי תפקוד הבקרות והנהלים הלכה למעשה (אפקטיביות התפקוד של הבקרה הפנימית).
יובהר כי גישת המעלה-מטה מתארת את תהליך העבודה של ההנהלה בזיהוי סיכוני הדיווח והגילוי ובזיהוי הבקרות הנבדקות במסגרת הערכת אפקטיביות הבקרה הפנימית על הדיווח הכספי והגילוי, ולא בהכרח את הסדר לפיו יבוצעו נהלי הערכת האפקטיביות על ידה בפועל.
4. מודל ההערכה - רכיבים
המודל מושתת על ארבעת הרכיבים הבאים:
1. בקרות ברמת הארגון (Entity Level Controls);
2. תהליך עריכה וסגירת הדוחות;
3. בקרות כלליות על מערכות המידע (ITGC);
4. תהליכים מהותיים מאוד לדיווח הכספי והגילוי.
(רכיבים 1-3 ייקראו להלן ״רכיבי המעטפת״).
נסקור להלן בקצרה כל אחד מארבעת הרכיבים האמורים .
4.1 בקרות ברמת הארגון (Entity Level Controls)
הבקרות ברמת הארגון (ELC) הן בקרות אשר עשויה להיות להן השפעה כוללת על הארגון. בקרות אלה מהוות את התשתית להלך הרוח ולאופי הפעילות המבוצעת בתאגיד. ככל שתשתית זו מבוססת יותר, צפויה גישה זו לחלחל במורד המבנה הארגוני ולהביא לחיזוק מערך הבקרה הפנימית ולשיפור יעילותו.
בקרות ברמת הארגון כוללות, בין היתר:
א. בקרות הקשורות לסביבת הבקרה[3], לדוגמה נהלים ובקרות בקשר עם יישום כללי ממשל תאגידי: תהליכי קבלה ואישור של החלטות בתאגיד לרבות עצם יחסה של הנהלת החברה לחשיבות של ממשל תאגידי נאות, קיום תוכנית אכיפה פנימית (ציות) ויישומה, איכות הנהלים לאיתור, אישור ודיווח על עסקאות עם בעלי עניין, עסקאות שלבעלי שליטה עניין אישי בהם, ולאיתור ואישור פעולות בניגוד עניינים, נאותות התפקוד של הדירקטוריון וועדותיו, ובתוך כך, יעילות פעילות ועדת הביקורת וועדת המאזן (לרבות, תכיפות התכנסותן והנושאים בהן דנו), הגדרת חלוקת סמכויות ברורה בין הדירקטוריון וההנהלה, מידת עצמאות הדירקטוריון, ועוד.
ב. בקרות שנועדו למנוע או למזער את אפשרות ההנהלה לעקוף בקרות פנימיות שנקבעו בתאגיד (Management Override).
ג. תהליך הערכת הסיכונים וניהולם[4] - האם קיים בתאגיד הליך מיפוי סיכונים כולל המנוהל על ידי ההנהלה הבכירה ונדון על ידי הדירקטוריון; האם נקבעה תוכנית להתמודדות עם סיכונים כאמור; האם תוכניות העבודה נקבעות בהתחשב במיפוי זה; האם תוכנית העבודה של מבקר הפנים מבוססת על מיפוי הסיכונים כאמור, ועוד.
ד. תהליך הערכת תוצאות הפעילות של התאגיד והבקרה עליהן - בחינת עמידה ביעדים וניתוח ביצועים; מימוש תחזיות; חריגה מתקציב, ועוד.
ה. תקשורת ומידע - האם מערכות המידע מספקות בסיס נאות לדיווח הכספי והגילוי (רלוונטי גם עבור ITGC - ראה להלן); האם ובאיזו מידה קיימים ערוצי תקשורת וזרימת מידע בין העובדים וההנהלה; האם נקבעו בתאגיד נהלי דיווח פנימי ברורים, ועוד.
ו. פיקוח - האם ובאיזו מידה מפקח הדירקטוריון באופן אקטיבי על תפקוד ההנהלה; האם ובאיזו מידה מעריך הדירקטוריון את תפקוד המבקר הפנימי; האם ועדת המאזן והדירקטוריון בוחנים באופן סדיר את הממצאים שעלו בביקורת רואה החשבון המבקר; האם קיים ערוץ תקשורת ישיר בין הדירקטוריון למבקר הפנימי ובין הדירקטוריון לרואה החשבון המבקר, ועוד.
הערכת ה-ELC כשלעצמה אינה מספקת הבנה מספיקה על נאותות הבקרה הפנימית בארגון. אולם, היא מהווה נקודת פתיחה טובה להבנה והערכה של נאותות הבקרה הפנימית, היות ולהערכת בקרות אלה (במיוחד כאשר נמצאו בהן ליקויים) יש השפעה רבת חשיבות על ההערכה הכוללת של אפקטיביות הבקרה הפנימית בדבר הדיווח הכספי והגילוי.
4.2 תהליך עריכת וסגירת הדוחות
תהליך זה מתייחס לבחינת המקטע האחרון של תהליך הדיווח הכספי והגילוי, אשר כולל, בין היתר, את הפעולות הבאות :
א. איסוף הנתונים למאזני הבוחן וביצוע בדיקות מבססות לנאותות הנתונים שהתקבלו (למשל
באמצעות בדיקות סבירות, התאמת יתרות בין ספרי העזר למאזן הבוחן וכד׳);
ב. קביעה ויישום של המדיניות החשבונאית בידי התאגיד;
ג. ביצוע התאמות לצורך עריכת הדוחות הכספיים השנתיים או הרבעוניים, לרבות התאמות
לצורך איחוד הדוחות הכספיים;
ד. הכנה ועריכה של הדוחות הכספיים לרבות הגילויים הרלוונטיים;
ה. דיון ואישור הדוחות הכספיים במוסדות הרלוונטיים.
תהליך דומה מבוצע גם בכל האמור לאיסוף המידע אשר על התאגיד לגלותו בהתאם להוראות הדין, עיבודו, עריכתו ופרסומו, וזאת, בכל הנוגע לגילוי הנדרש במכלול הדוחות העיתיים (דוח תקופתי ודוח רבעוני). לפיכך, ולאור דרישת התקנות בדבר חובת הדירקטוריון וההנהלה להעריך את אפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי, תהליך סגירת הדוחות אינו מוגבל אך ורק לדוחות הכספיים, אלא מתייחס לכלל המידע המדווח בדוחות העיתיים שמפרסם התאגיד על כלל הדוחות הנכללים בהם[5]. בהתאם, על ההנהלה לבחון בנוסף את התהליכים, הפעולות והבקרות שמפעיל התאגיד במסגרת תהליך העריכה והסגירה של הדוחות הבאים: פרק תיאור עסקי התאגיד, דוח דירקטוריון, ופרטים נוספים על התאגיד.
בחינת תהליך סגירת הדוחות הינה בעלת חשיבות מכרעת להליך הערכת אפקטיביות הבקרה הפנימית. שלב זה כולל מספר רב יחסית של צמתי הכרעה בהם נדרשת ההנהלה להפעיל שיקול דעת בקשר עם הדיווח הכספי והגילוי, כדוגמת קביעה אילו פריטי מידע הם חשובים למשקיע סביר ועל כן יש לתת להם גילוי, מהי מתכונת הגילוי אשר תשקף באופן המיטבי את מהות המידע כאמור ואת דרישות הדין, קביעת המדיניות החשבונאית המיושמת בדוחות הכספיים ועוד. כמו כן, מעצם טיבו, מרכז תהליך סגירת הדוחות מספר רב של סיכונים למצגים מוטעים מהותיים בדיווח הכספי ובגילוי, ביחס לשלבים אחרים בתהליך הדיווח והגילוי. שלב זה הינו גם השלב האחרון (מבחינה כרונולוגית) בתהליך הדיווח הכספי והגילוי. על כן, ככל שהוא מתוכנן ומבוצע כראוי, קיים בו פוטנציאל רב לאיתור ומניעה של כשלי דיווח וגילוי הנובעים משלבים מוקדמים יותר.
לצורך כך, על תהליך סגירת הדוחות להיות מתוכנן באופן אשר יאפשר זיהוי של כשלים ברישום ואיסוף המידע בשלבים מוקדמים יותר בתהליך הדיווח והגילוי ובכך לאתר ולעיתים אף לפצות על כשלים אפשריים בבקרות ברמה נמוכה יותר אשר נועדו לענות על סיכוני דיווח כספי וגילוי . לדוגמה, עריכת בדיקות סבירות בקשר עם רכיבים שונים בתוצאות הפעילות של התאגיד עשויות להציף כשלים ברישום, באיסוף או בעיבוד המידע הכספי בשלבים מוקדמים יותר ובכך להצביע על ליקויי בקרה ברמה נמוכה יותר.
4.3 בקרות כלליות על מערכות המידע (ITGC)
מערכות המידע מהוות חלק מרכזי ובלתי נפרד בתהליך הדיווח של התאגיד ולפיכך נדרשת התייחסות מיוחדת אליהן במסגרת תהליך הערכת האפקטיביות של הבקרה הפנימית.
על ההנהלה להפעיל שיקול דעת בקביעתה אילו מערכות מידע יכנסו לתחולת בדיקת הבקרות הכלליות על מערכות המידע. לצורך הערכת האפקטיביות של הבקרה הפנימית, על ההנהלה לבחון רק את אותן מערכות מידע הנוגעות לדיווח הכספי והגילוי. לעניין הערכת אפקטיביות הבקרה הפנימית, אין צורך לבחון מערכות מידע הנוגעות בעיקר בהיבטים התפעוליים של התאגיד ושאינן נוגעות ישירות לדיווח הכספי ולגילוי.
במסגרת זו על ההנהלה לבחון למשל נהלי בקרה הנוגעים להרשאות גישה למערכת וביצוע פעולות בה ולבדיקה של קונפליקטים בעת מתן הרשאות כאמור; בדיקת קיומם של נהלים מסודרים לניהול שינויים במערכת וגיבוי ושיחזור מידע; הפרדה בין סביבת ה-Production לסביבת ה-Testing, וכד׳.
4.4 תהליכים מהותיים מאוד לדיווח הכספי והגילוי
4.4.1 הגדרה
״תהליכים מהותיים מאוד לדיווח הכספי והגילוי״ אלה הם תהליכים שעשויה להיות להם השפעה מהותית מאוד על הדיווח הכספי והגילוי בדוחות התאגיד (להלן גם ״תהליכים מהותיים מאוד״).
תהליך לעניין זה הוא רצף של פעולות, המבוצעות על ידי גורמים בתאגיד או מערכות המידע בו מרגע הייזום של עסקה (או אירוע) ועד למתן הביטוי ו/או גילוי לה בדוחות התאגיד.
דוגמאות לתהליכים מהותיים מאוד לדיווח הכספי והגילוי עשויות להיות למשל: בחברה תפעולית - תהליך המכירות, תהליך הרכוש הקבוע או תהליך המלאי; ובחברות החזקה והשקעה - תהליך ביצוע השקעות ומכירתן, זאת, כמובן בהתאם לאופי החברה ופעילותה.
4.4.2 אופן הזיהוי של תהליכים מהותיים מאוד לדיווח הכספי והגילוי
שלב זיהוי התהליכים המהותיים מאוד בתאגיד הינו חשוב ביותר ובעל השפעה מכרעת על הליך הערכת האפקטיביות של הבקרה הפנימית. על ההנהלה להקדיש את הזמן ותשומת הלב הראויים לשלב זה, ולא לבצעו באופן אינטואיטיבי תוך הסתמכות על הכרותה את פעילות התאגיד בלבד. על זיהוי התהליכים המהותיים מאוד בתאגיד להתבסס על מיפוי אותם תהליכים הנוגעים באותם פריטי דיווח כספי וגילוי שהנהלת התאגיד מצאה אותם מסוכנים בהתאם לגישת המעלה-למטה והערכת הסיכונים כמפורט לעיל.
על מנת לזהות את התהליכים המהותיים מאוד לדיווח הכספי ולגילוי, יעריך התאגיד את גורמי הסיכון להצגה מוטעית מהותית בפריטי דיווח כספי או גילוי הקשורים בתהליך. דהיינו, על התאגיד לשקול את הסיכון להתרחשות הצגה מוטעית מהותית בקשר עם התהליך, יחד עם בחינת מידת ההשפעה של הצגה מוטעית מהותית (לרבות השמטת מידע מהותי) בדיווח או גילוי הנוצר בקשר עם אותו תהליך על דוחות התאגיד בכללותם.
לפיכך, לשם זיהוי תהליכים מהותיים מאוד לדיווח הכספי והגילוי, יביא התאגיד בחשבון, בין היתר, את היקף הפעילות אליה מתייחס התהליך מתוך סך הפעילות העסקית של התאגיד, ההיקף הכספי של הסעיפים הנובעים מהתהליך בדוחות הכספיים או את חשיבות פריטי הגילוי הנובעים מהם להבנת פעילות התאגיד ומצבו העסקי על ידי משקיע סביר, וכן את אופי התהליכים, מורכבותם ורמת החשיפה שלהם לטעויות בדיווח הכספי ובגילוי.
על מנת לבחור את התהליכים שבהם קיים סיכון להתרחשות הצגה מוטעית מהותית בדיווח הכספי או בגילוי, תשקול הנהלת התאגיד, בין היתר, את הגורמים הבאים:
א. היקף הרישומים ועיבודי המידע הקשורים בתהליך ורמת ההומוגניות שלהם.
ב. רמת המורכבות הטבעית בדיווח ובגילוי הנובעים מהתהליך ביחס ליתר תחומי הפעילות בתאגיד והמידה בה הגורמים העוסקים בדיווח ובגילוי כאמור הינם בעלי כישורים נדרשים לשם כך.
ג. מידת שיקול הדעת שיש לגורמים בתאגיד בקשר עם הכרה ומדידה של סעיפי דיווח ו/או גילוי הנובעים מהתהליך, לרבות משקלם של הערכות ואומדנים משמעותיים.
ד. יכולת מערכות המידע עליהן מושתת התהליך לעבד מידע בהתאם למורכבות התהליך.
ה. קיומו של ניגוד עניינים פוטנציאלי בתהליך.
ו. מידת הסיכון להונאה או מעילה הגלום בתהליך.
ז. טעויות בתקופות דיווח קודמות[6] או הצגות מוטעות מהותית אחרות בדוחות עבר, בקשר עם פריטי דיווח כספי או גילוי הנובעים מהתהליך. זאת, בין אם התגלו בתקופות דיווח מאוחרות יותר ובין אם זוהו על ידי רואה החשבון המבקר או גורם אחר, מבלי שהתגלו על ידי הבקרה הפנימית של התאגיד.
יצוין כי לא יהיה זה סביר לקבוע כי לא קיים בתאגיד תהליך כלשהו אשר ההנהלה רואה בו תהליך מהותי מאוד לדיווח הכספי והגילוי.
באשר לתהליכים מהותיים מאוד אלו, לשם עמידה בהוראות התקנות, על התאגיד להתמקד בבחינת נהלים ובקרות הרלוונטיים לדיווח הכספי והגילוי בלבד, ולא ובנהלים ובקרות תפעוליות שאין להם נגיעה להיבט הדיווח הכספי והגילוי.
יובהר, כי עמדת סגל הרשות הינה כי יישום העקרונות המובאים במסמך זה לצורך יישום הוראות התקנות אין משמעותו צמצום חובת הגילוי והדיווח הכספי, או צמצום האחריות בגין הפרתה. סגל הרשות סבור, כי באמצעות ביצוע הבדיקות בקשר עם רכיבי המעטפת, ובכלל זה תהליך עריכת וסגירת הדוחות, בשילוב התמקדות והעמקה בקשר עם התהליכים המהותיים מאוד, יכולה ההנהלה לגבש את מסקנתה בדבר אפקטיביות הבקרה הפנימית ולהשיג רמה סבירה של בטחון בקשר עם נכונות מסקנה זו (לעניין זה ראה גם סעיף 7 להלן).
5. יחידות עסקיות שונות בתאגיד
5.1 הבאה בחשבון של יחידות עסקיות שונות בתאגיד
מסקנת הדירקטוריון וההנהלה בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי והגילוי תינתן ברמת התאגיד המאוחד.
ככלל, בעת הערכת הסיכונים המיוחסים לדיווח הכספי והגילוי, על הנהלת התאגיד להבין ולזהות את כלל הסיכונים המתייחסים לכל היחידות העסקיות בתאגיד. דהיינו, על ההנהלה להעריך את הסיכון להצגה מוטעית מהותית המיוחסת לאתר או ליחידה עסקית ולהתאים את אופי והיקף הבדיקות המבוצעות באתר או ביחידה העסקית לדרגת הסיכון[7].
עם זאת, סגל הרשות סבור כי ככלל על מנת להשיג ביטחון סביר כי הסיכון למסקנה שגויה בקשר עם אפקטיביות הבקרה הפנימית הינו נמוך, על תאגיד ליישם נהלי הערכה נפרדים, בנוסף לאלו המבוצעים ברמת התאגיד המדווח עצמו, גם ביחידות עסקיות מסוימות שלו, כמפורט להלן.
5.2 יחידה עסקית רלוונטית להערכת האפקטיביות של הבקרה הפנימית
יחידה עסקית רלוונטית להערכת האפקטיביות של הבקרה הפנימית (להלן תיקרא גם ״יחידה עסקית רלוונטית״) היא יחידה עסקית נפרדת של התאגיד אשר יש להתייחס אליה בנפרד מהתאגיד המדווח עצמו, במסגרת הערכת האפקטיביות של הבקרה הפנימית על הדיווח הכספי והגילוי.
לעניין זה, יחידה עסקית הינה יחידה (או אתר) של התאגיד אשר יש לה פעילות עצמאית או עצמאית למחצה, כדוגמת חברה בת או סניף.
על מנת לזהות יחידות עסקיות נפרדות תשקול ההנהלה, בין היתר האם היחידה העסקית עוסקת בפעילות שונה או בעלת מאפיינים ייחודיים ביחס לפעילות התאגיד המדווח עצמו או ליחידות עסקיות אחרות בתאגיד, האם המיקום הפיזי של היחידה העסקית שונה מזה של התאגיד המדווח עצמו או מיחידות עסקיות אחרות בתאגיד, האם קיימת לה הנהלה נפרדת, האם המדיניות הארגונית, התהליכים העסקיים המרכזיים והבקרה עליהם מבוצעים באופן שונה, וכדומה.
פעמים רבות עשויה להתקיים חפיפה בין היחידות העסקיות בתאגיד ובין ישויות משפטיות נפרדות בו (כדוגמת חברות בנות), אך מעצם ההגדרה לעיל, עשויה ההנהלה לזהות מספר יחידות עסקיות נפרדות בישות משפטית אחת.
על מנת לזהות את היחידות העסקיות הרלוונטיות להערכת האפקטיביות של הבקרה הפנימית על הדיווח הכספי והגילוי ישקול התאגיד את הגורמים הבאים:
א. גודלה והיקפה הכספי של היחידה העסקית - גודל היחידה והיקפה הכספי משפיעים ישירות על מידת ההשפעה של הצגה מוטעית מהותית בדיווח או בגילוי בקשר עם אותה יחידה על דוחות התאגיד בכללותם. ככל שגודל היחידה והיקפה הכספי עולים, כך גדלה הסבירות כי ההנהלה תראה בה יחידה עסקית רלוונטית להערכה אשר יש לבצע לגביה נהלי הערכה בנפרד מהתאגיד המדווח.
לצורך בחינת גודל היחידה והיקפה הכספי עשויה הנהלת התאגיד לקבוע מספר מדדי מפתח (Key Performance Indicators), אשר התאגיד רואה אותם כרלוונטיים לפעילותו. מדדי מפתח יכולים להיות למשל סך הנכסים, סך ההכנסות, רווח תפעולי, רווח לפני מס וכדו', כאשר בבחינת מדד כאמור יבחן השיעור המתקבל מהיחס שבין המדד המחושב עבור היחידה העסקית לבין סכום המדד המחושב עבור הדוח המאוחד[8].
ב. מידת התאימות באופי הפעילות, התהליכים והבקרות, בין היחידה העסקית לתאגיד המדווח עצמו, ומידת הפיקוח והשליטה של התאגיד המדווח על היחידה העסקית - ככל שרמת התאימות והפיקוח והשליטה כאמור קטנות, דהיינו היחידה העסקית הינה עצמאית ואוטונומית יותר, כך גדלה הסבירות כי ההנהלה תראה בה יחידה עסקית רלוונטית להערכה.
לצורך בחינת מידת התאימות ומידת הפיקוח והשליטה של התאגיד המדווח כאמור לעיל על היחידה העסקית עשויה ההנהלה להביא בחשבון, בין היתר, גורמים כגון:
- מיקומה הפיזי של היחידה העסקית ביחס למיקום התאגיד המדווח;
- קיום אורגנים עצמאיים כגון דירקטוריון והנהלה;
- שונות מערכות מידע ביחידה העסקית ביחס לאלו של התאגיד המדווח;
- שונות סיכוני הדיווח והגילוי המאפיינים את היחידה העסקית ביחס לתאגיד;
- אופן המעורבות של התאגיד בסגירת הדוחות של היחידה העסקית.
- מידת קיומה של מערכת בקרה פנימית עצמאית (לעומת מערכת כאמור המשותפת
- ליחידה העסקית ולחברת האם)
ג. טעויות, הונאות או מעילות שהתגלו ביחידה העסקית.
6. תיחום העבודה והבדיקות הנדרשות
6.1 נהלי הערבה של אפקטיביות הבקרה הפנימית
לאחר שהנהלת התאגיד העריכה את סיכוני הדיווח והגילוי, קבעה מהם התהליכים המהותיים מאוד לדיווח הכספי והגילוי ומהן היחידות העסקיות הרלוונטיות להערכת האפקטיביות של הבקרה הפנימית כהגדרתם לעיל, נדרשת ההנהלה, לבצע פעולות ונהלי הערכה נוספים, כמפורט להלן :
א. מיפוי ותיעוד הבקרות הקיימות בתאגיד - הכוונה לאותן בקרות אשר נועדו לתת מענה לסיכוני הדיווח והגילוי. המיפוי עשוי להיות מבוצע, בין היתר, באמצעות תיאור תהליכים, תרשימי זרימה ומפרטי הבקרות הקיימות בתאגיד.
יודגש כי סגל הרשות אינו קובע מבנה מחייב לתיעוד התהליכים והבקרות, וכי תיעוד התהליכים והבקרות מטרתו, בין היתר, לשרת את הנהלת התאגיד בביצוע הערכת אפקטיביות הבקרה הפנימית ועל כן עליו להיות מותאם לצרכי ההנהלה (ראה גם בסעיף 8 להלן).
ב. הערכת אפקטיביות התכנון של הבקרות וניתוח פערי הבקרה הקיימים - בשלב זה תעריך ההנהלה על בסיס תיעוד התהליכים והבקרות המבוצעות בפועל על ידי הגורמים השונים בתאגיד[9], האם הבקרות השונות שבמסגרת תחולת עבודת הערכת האפקטיביות מתוכננות באופן נאות על מנת לענות על סיכוני הדיווח והגילוי הרלוונטיים.
בהמשך לכך, תבוצע השוואת הבקרות הקיימות מול בקרות רצויות, ובחינת האופן בו נותנות הבקרות הקיימות מענה לסיכוני הדיווח והגילוי שזוהו.
ג. תיקון ליקויים בתכנון הבקרה ובחינת קיומן של בקרות מפצות - כאשר מאתרת ההנהלה פערי בקרה (מקום בו מוצאת ההנהלה במסגרת הערכת אפקטיביות התכנון כי הבקרות הקיימות אינן נותנות מענה לסיכוני הדיווח והגילוי שזוהו), תפעל ההנהלה לתיקון פערים אלה. באשר לפערי בקרה שלא תוקנו, תבחן ההנהלה קיומן של בקרות מפצות[10].
ד. הערכת אפקטיביות התפקוד של הבקרות - על מנת לבחון את אפקטיביות התפקוד של הבקרה הפנימית, יש להתייחס לשני גורמים עיקריים:
- האם הבקרה הנבחנת פועלת כפי שתוכננה (בהנחה כי תכנונה נמצא כאפקטיבי);
- האם לגורם המבצע את הבקרה קיימת כשירות מקצועית מתאימה לביצועה.
לצורך הערכת אפקטיביות התפקוד של הבקרה הפנימית, על ההנהלה לבחון ראיות שונות לתפקוד הבקרה, כדוגמת ניירות עבודה, ראיונות עם גורמים רלוונטיים בארגון, דוחות חריגים, התראות מערכת IT ועוד.
ה. הערכה כוללת של אפקטיביות הבקרה הפנימית - הערכה אילו מבין ליקויי הבקרה, לבד או ביחד עם ליקויים אחרים, מהווים ליקוי משמעותי או חולשה מהותית (ראה גם בסעיף 9 להלן).
ו. גיבוש מסקנות וניסוח דוח הדירקטוריון וההנהלה על אפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי - בהתאם להוראות התקנות (ראה גם בסעיף 10 להלן).
6.2 ביצוע הבדיקות בקשר עם ארבעת הרכיבים - שיקולי יחידות עסקיות
הנהלת התאגיד קובעת את תיחום עבודת ההערכה ואת ההיקף ואופי הבדיקות המבוצעות במסגרתה בהתבסס על הבנתה את סיכוני הדיווח והגילוי הייחודיים לתאגיד אשר זוהו במסגרת הערכת הסיכונים אשר בוצעה על ידי ההנהלה. זאת, בהתייחס לרכיבי המעטפת ובהתחשב בתהליכים אשר ההנהלה מצאה אותם כמהותיים מאוד לדיווח הכספי והגילוי בתאגיד וביחידות העסקיות שנמצאו כרלוונטיות להערכה.
ככלל, על ההנהלה לבצע נהלי הערכה ובדיקה של הבקרות של רכיבי המעטפת (תהליך עריכת וסגירת הדוחות, ELC ו-ITGC) ושל התהליכים המהותיים מאוד לדיווח הכספי והגילוי בקשר עם התאגיד המדווח עצמו, וכן בקשר עם היחידות העסקיות הרלוונטיות להערכה.
עם זאת, על ההנהלה להפעיל שיקול דעת בקביעת תיחום עבודת הערכת האפקטיביות ואופי הבדיקות. למשל:
- מקום בו מערכות המידע בחברה הינן מספר מערכות נפרדות (ולא מערכת אינטגרטיבית אחת כדוגמת מערכת ERP), לא נדרשת ההנהלה לבצע הליכי הערכה ובדיקות של בקרות כלליות של מערכות המידע (ITGC) בקשר עם מערכות מידע שאינן נוגעות בתהליך עריכת וסגירת הדוחות ובתהליכים מהותיים מאוד לדיווח הכספי והגילוי.
- ההנהלה רשאית להפעיל שיקול דעת באשר לאופן הערכת האפקטיביות בקשר עם התהליכים המהותיים מאוד. זאת, מתוך הכרה שתהליך מהותי מאוד, מעצם טיבו, מורכב ממקטעים שונים שניתן לאבחן ביניהם ולהתאים את אופי והיקף נהלי הערכה הנדרשים ביחס אליהם, לפי מהותם. לדוגמא, הנהלה אשר קבעה את תהליך הרכוש הקבוע כתהליך מהותי מאוד לדיווח הכספי והגילוי, עשויה לזהות בתהליך זה, בין היתר, מקטעים אלה: רכישת הרכוש הקבוע והקמתו, פחת, ערך שייר וירידות ערך, גריעת הרכוש הקבוע (היעדר שימוש, היעדר קיום או מכירה), ניהול ספרי הרכוש הקבוע, חכירות (מימונית או תפעולית), הצגה בספרים, ועוד[11]. בהתאם לעקרון המהותיות ולגישה המבוססת סיכונים המתוארים במסמך זה, רשאית ההנהלה, כחלק מהראייה הכוללת של התהליך, לקבוע מידת התייחסות שונה לכל אחד מהמקטעים בהתאם למידת הסיכון הגלומה בו להתרחשות הצגה מוטעית מהותית בדוחות התאגיד. כמו כן, רשאית ההנהלה, לקבוע מידת התייחסות שונה למקטעים מסוימים בתהליך המהותי מאוד בכל אחת מהיחידות העסקיות הרלוונטיות. כך למשל, עשויה ההנהלה למצוא כי ביחס ליחידה עסקית רלוונטית מסוימת, יש להתמקד בבדיקת מקטעים מסוימים של התהליך המהותי מאוד, בעוד שעבור יחידה עסקית רלוונטית אחרת יהיה זה נכון להתמקד בבדיקת מקטעים אחרים באותו תהליך.
7. מהותיות
כאמור לעיל, מטרתה של הבקרה הפנימית היא לספק להנהלת התאגיד בטחון סביר בהתייחס לנאותות ומהימנות הדיווח הכספי והגילוי, דהיינו, שלא נכללה בדוחות הצגה מוטעית מהותית (או השמטה של מידע מהותי). לעניין זה, נקודת המבט והלך המחשבה המלווה את עבודת הערכת האפקטיביות של הבקרה הפנימית, הינם ברמת התאגיד המאוחד.
מסמך זה מגדיר מספר מושגים אשר משמשים בהליך הערכת האפקטיביות של הבקרה הפנימית ובכללם ״תהליכים מהותיים מאוד לדיווח הכספי והגילוי״ ומבהיר את העקרונות בהם יש לנקוט בקשר עם תיחום העבודה והבדיקות המבוצעות בקשר עימם.
לעניין זה, יובהר כי התייחסות העקרונות המובאים במסמך זה ל״מהותי מאוד״ נוגעת לקביעת התהליכים המהותיים מאוד כאמור, ולהם בלבד. מרגע שנקבע תיחום העבודה, יבוצעו נהלי הערכת האפקטיביות ביחס לארבעת הרכיבים האמורים במסמך זה תוך התייחסות לעיקרון המהותיות, דהיינו, על מנת לבחון באם קיימת אפשרות סבירה שהצגה מוטעית מהותית בדוחות התאגיד לא תימנע או תתגלה במועד.
ככלל, ובכפוף ליישום נאות המביא בחשבון את הנסיבות והסיכונים הייחודיים של התאגיד, לדעת סגל הרשות, יישום העקרונות המובאים במסמך זה, ובכללם ביצוע בדיקות ונהלי הערכה בקשר עם שלושת רכיבי המעטפת, ביחד עם ביצוע בדיקות ונהלי הערכה בקשר עם התהליכים המהותיים מאוד בתאגיד כמפורט לעיל, מאפשר להנהלה להשיג רמה סבירה של ביטחון בדבר נכונות מסקנתה לגבי אפקטיביות הבקרה הפנימית. דהיינו, להגיע למסקנה נאותה האם הבקרה הפנימית בתאגיד מונעת קיומו של חשש סביר להכללת הצגה מוטעית מהותית בדוחות התאגיד.
יובהר, עם זאת, כי יישום העקרונות המובאים במסמך זה לצורך יישום הוראות התקנות אין משמעותו צמצום חובת הגילוי והדיווח הכספי, או צמצום האחריות בגין הפרתה.
8. תיעוד
ההנהלה אחראית לשמור חומר ראייתי תומך הן ביחס לתהליך ההערכה שבוצע על ידה (למשל קביעת היקף העבודה, לוחות הזמנים, דיונים שונים במהלך ביצוע הפרויקט והמסקנות שהוסקו), הן ביחס לאפקטיביות הבקרות שהוערכו (למשל תיעוד התהליכים והבקרות, דירוג הערכת אפקטיביות התכנון והתפקוד, נהלי הבדיקה שיושמו להערכת אפקטיביות התפקוד והראיות הקיימות לתפקוד אפקטיבי של הבקרות שנבדקו), והן ביחס לשיקול הדעת אותו הפעילה בקבלת ההחלטות בתהליך הערכת האפקטיביות (למשל בקביעת התהליכים המהותיים מאוד, בזיהוי הליקויים המשמעותיים והחולשות המהותיות בבקרה הפנימית וכד').
בנוסף לחשיבותו למתן תמיכה להערכת האפקטיביות של הבקרה הפנימית שבוצעה, משמש התיעוד כראיות לכך שנהלים ובקרות במערך הבקרה הפנימית (לרבות שינויים שחלו בהם) זוהו על ידי ההנהלה, והם ניתנים להערכה על ידה. כמו כן, סגל הרשות מצפה כי ההנהלה תשמור לעצמה תיעוד בדבר שינויים והתאמות שבוצעו במערך הבקרה הפנימית, ובכלל זה, תיעוד הנוגע בליקויי בקרה שאותרו ובפעולות בהן נקטה על מנת לתקנם.
צורת התיעוד ותוכנו עשויים להשתנות בהתאם לגודל התאגיד, אופיו ומורכבותו. התיעוד עשוי להתבצע ולהיות מוצג במספר דרכים (לדוגמה, ספרי מדיניות, מודלים לתיאור תהליכים, תרשימי זרימה, תיאורי תפקיד, מסמכים, תזכירים פנימיים, טפסים וכד').
ההנהלה רשאית שלא לכלול במסגרת התיעוד את כל הבקרות המשפיעות על הדיווח הכספי והגילוי. משיקולים של עלות-תועלת עשויה ההנהלה למקד את התיעוד בעיקר באותן הבקרות אשר לדעתה הינן מספקות לצורך מתן מענה נאות לסיכוני הדיווח הכספי והגילוי.
9. דיווח על אפקטיביות הבקרה הפנימית
חולשה מהותית מוגדרת בתקנות כ״ליקוי או צירוף של ליקויים בתכנון או בהפעלה של הבקרה הפנימית, כך שקיימת אפשרות סבירה שהצגה מוטעית מהותית בדוחות התאגיד לא תימנע או תתגלה במועד״.
יובהר, כי לצורך יישום הוראות התקנות, קיימת אפשרות סבירה להתרחשות אירוע, במקרה בו הסבירות להתרחשות אותו אירוע היא יותר מקלושה ([12]Remote).
בהתאם לתקנות נדרש לתת גילוי לליקויי בקרה אשר נקבע כי הם מהווים חולשה מהותית במסגרת הדוח בדבר אפקטיביות הבקרה הפנימית. בדוח זה יש לפרט בין היתר, את כל החולשות המהותיות, השפעתן על הדיווח הכספי והגילוי, הפעולות שננקטו לתיקונן עד למועד הדוח ולוחות הזמנים והפעולות שבכוונת התאגיד לנקוט להשלמת תיקונן. כמו כן, יש לפרט את הפעולות בהן נקט התאגיד על מנת להבטיח כי על אף קיומה של החולשה המהותית, הדוחות ערוכים כדין.
אם נמצאה חולשה מהותית אחת או יותר בבקרה הפנימית, תחשב הבקרה הפנימית כלא אפקטיבית וזאת, עד לתיקון החולשה.
ליקויי בקרה אשר אינם מהווים חולשה מהותית אך נקבע כי הם מהווים ליקוי משמעותי, ידווחו לדירקטוריון, לוועדת הביקורת ולרואה החשבון המבקר. הצהרה של המנכ״ל וסמנכ״ל הכספים על דיווחם לגורמים אלה אף נדרשת במסגרת הצהרת המנהלים.
לפיכך, סיום הליך הערכת האפקטיביות של הבקרה הפנימית הינו הערכה של ההנהלה את ליקויי הבקרה שזוהו ואשר לא עלה בידה לתקנם למועד הדוח. על ההנהלה לקבוע האם ליקוי בבקרה, בנפרד או בצירוף עם ליקויי בקרה נוספים, מהווה ליקוי משמעותי, חולשה מהותית או אף אחד מאלה (ליקוי בקרה אשר אינו מגיע לכדי ליקוי משמעותי).
9.1 בחינה של ליקויי בקרה
לצורך הבחינה האם ליקוי בבקרה, בנפרד או בצירוף עם ליקויי בקרה נוספים, מהווה חולשה מהותית, על ההנהלה לשקול את מידת הסיכון כי הבקרה הפנימית תיכשל במניעה או באיתור במועד של הצגה מוטעית מהותית בדוחות, וכן את עוצמת ההשפעה הפוטנציאלית של הצגה מוטעית כאמור על דוחות התאגיד.
בחינת ההנהלה את מידת החומרה של ליקוי הבקרה תכלול הן גורמים כמותיים והן גורמים איכותיים. חומרת ליקויי הבקרה תיבחן באמצעות הבדיקה האם קיימת אפשרות סבירה כי הבקרה הפנימית תיכשל במניעה או איתור במועד של הצגה מוטעית מהותית.
יודגש, כי מידת החומרה של ליקוי הבקרה אינה תלויה בהתרחשות בפועל של ההצגה המוטעית או בהתרחשות של אחד או יותר מהמצבים המובאים בסעיף 9.2 להלן, אלא בשאלה האם קיימת אפשרות סבירה לכך שלא תימנע או תאותר במועד על ידי מערך הבקרה הפנימית בתאגיד.
השאלה בדבר קיומה של אפשרות סבירה כי הבקרה הפנימית תיכשל במניעה או באיתור במועד של הצגה מוטעית מהותית מושפעת מגורמי סיכון שונים, ובכלל זה:
א. אופי פריט הדיווח הכספי או הגילוי (לדוגמה, פריטי דיווח או גילוי הנוגעים בעסקאות עם בעלי עניין הינם בעלי סיכון גבוה יחסית);
ב. רגישות סעיף הדיווח להפסד או לתרמית;
ג. מידת הסובייקטיביות, מורכבות, או שיקול הדעת הנדרשים לקביעת סכומים בדיווח הכספי או הגילוי (כך שסובייקטיביות, מורכבות, או שיקול דעת גדולים, כגון אלו הקשורים לאומדנים חשבונאיים, מגדילים את הסיכון);
ד. יחסי הגומלין של הבקרה עם בקרות אחרות, ובכלל זה, האם הן תלויות הדדית (Interdependent) או חופפות;
ה. האם קיים יותר מליקוי בקרה אחד בקשר עם אותו פריט גילוי;
ו. ההשלכות העתידיות האפשריות של ליקוי הבקרה.
עוצמת ההשפעה הפוטנציאלית של הצגה מוטעית אשר עשויה לנבוע מליקוי הבקרה מושפעת מגורמים שונים, ובכלל זה:
א. ההיקף הכספי של סעיפי הדוחות או חשיבות פריטי הגילוי, החשופים לליקוי הבקרה;
ב. היקף פעילות התאגיד (למשל מבחינת ההיקף הכספי של החשבונות או העסקאות) בתקופה השוטפת או היקף הפעילות הצפוי בתקופות עתידיות, החשוף לליקוי הבקרה;
ג. מידת ההשפעה של פריט הדיווח או הגילוי על הערכת המשתמשים בדוחות הכספיים (להלן ״המשתמשים״) את יכולת התאגיד לייצר תזרימי מזומנים בעתיד;
ד. מידת ההשפעה של פריט הדיווח או הגילוי על הערכת המשתמשים את יכולת התאגיד לגייס הון;
ה. מידת ההשפעה של פריט הדיווח או הגילוי על הערכת המשתמשים את החשיפה של התאגיד לסיכונים קיימים או עתידיים;
ו. מידת ההשפעה של פריט הדיווח או הגילוי על הערכת המשתמשים את יכולת התאגיד להמשיך ולפעול כעסק חי ואת יכולת התאגיד לעמוד בחבויותיו הקיימות והצפויות בהגיע מועדן.
קיומם של מספר ליקויי בקרה המשפיעים על אותו פריט דיווח או גילוי, מגבירים את הסיכוי כי הם מהווים, במצטבר, חולשה מהותית אם קיימת אפשרות סבירה כי הצגה מוטעית מהותית בדוחות לא תימנע או תאותר במועד, גם אם ליקויים אלו, כל אחד מהם בנפרד, אינם מהווים חולשה מהותית.
בנוסף, על ההנהלה לבחון את השפעתן של בקרות מפצות[13] במידה וקיימות כאלה, כאשר היא בוחנת האם ליקוי בקרה או שילוב של ליקויים כאמור מהווים חולשה מהותית. על מנת שתהיה להן השפעה מתקנת, על הבקרה המפצה לפעול ברמת דיוק אשר תמנע או תאתר במועד הצגה מוטעית אשר עלולה להיות מהותית.
9.2 סימנים העשויים להעיד על קיומה של חולשה מהותית
בהמשך לאמור בסעיף 9.1 לעיל, בבוא ההנהלה לקבוע האם ליקוי בקרה או שילוב של ליקויים כאמור מהווים חולשה מהותית, עליה להביא בחשבון כל מידע רלוונטי. על ההנהלה להעריך, בין היתר, האם המצבים הבאים מעידים על קיומם של ליקוי בקרה או מספר ליקויי בקרה, ואם כן, האם הם מהווים חולשה מהותית:
א. זיהוי של תרמית, בין אם מהותית ובין אם לאו, על ידי המנהל הכללי, סמנכ״ל הכספים, וכן כל נושא משרה אחר הממלא תפקיד משמעותי בתהליך הדיווח הכספי והגילוי של התאגיד;
ב. הצגה מחדש של הדוחות הכספיים על מנת לשקף בהם תיקון טעות בתקופת דיווח קודמת[14] או תיקון של דוח אחר הנכלל במסגרת הדוחות העיתיים, אשר פורסמו קודם לכן לציבור;
ג. זיהוי של הצגה מוטעית מהותית בדוחות בתקופה השוטפת בנסיבות המורות על כך שההצגה המוטעית לא הייתה מתגלה על ידי הבקרה הפנימית של התאגיד;
ד. פיקוח בלתי יעיל של הדירקטוריון וועדותיו על הדיווח הכספי והגילוי בתאגיד;
ה. ליקוי משמעותי, אחד או יותר, שהתגלה בעבר ואשר לא עלה בידי התאגיד לתקנו במשך מספר תקופות דיווח;
ו. לא עלה בידי הנהלת התאגיד לבצע במועד את הליך הערכת האפקטיביות או שלא עלה בידה לפרסם במועד את הדוחות (תקופתי או רבעוני, לפי העניין).
10. מתן הדוח בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי והגילוי
במסגרת הדוח בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי והגילוי[15], על ההנהלה והדירקטוריון לתת גילוי בצורה מובנת וברורה, האם להערכתם הבקרה הפנימית הינה אפקטיבית או לא. על כן, ההנהלה והדירקטוריון אינם רשאים לסייג את מסקנתם או לציין כי הבקרה הפנימית של התאגיד הינה אפקטיבית בכפוף להתאמות או תנאים מסוימים.
בנוסף, על הדוח בדבר אפקטיביות הבקרה הפנימית על ידי ההנהלה והדירקטוריון להינתן במבנה ומתכונת אשר נקבעו בתוספת התשיעית לתקנות.
עם זאת, בהתאם לתקנות רשאי התאגיד לכלול בנוסף בדוח זה פרטים בדבר ליקויים משמעותיים שהתגלו בבקרה הפנימית, וכן פרטים בדבר אופן הערכת ההנהלה והדירקטוריון את האפקטיביות של הבקרה הפנימית שבוצעה בתאגיד, לרבות היקף הבדיקה ונהלי ההערכה כאמור. סגל הרשות מעודד תאגידים לכלול בדוח את הפרטים כאמור וסבור כי יש בפרטים אלה כדי לתרום להבנת הבקרה הפנימית בתאגיד ולתהליך הערכת האפקטיביות שבוצע לגביה.
_____________
[1] בהתאם לתקנות, ״הנהלת התאגיד״ כוללת, לעניין זה, את המנכ״ל וכל נושא משרה אחר שהדירקטוריון יגדירו כהנהלה לצורך תקנות אלו.
[2] לעניין מגבלות החלות על רואה החשבון המבקר במתן שירותים נלווים לתאגיד בקשר עם יישום הוראות התקנות, ראה הבהרה להחלטה משפטית 105-18.
[3] כהגדרתה בתקני ביקורת מקובלים בישראל.
[4] יובהר כי הכוונה היא לתהליך ניהול סיכונים כולל של התאגיד ואין המדובר בהערכת סיכוני הדיווח והגילוי כאמור בסעיף 3.1 למסמך זה.
[5] בהתאם לתקנה 8(ב) לתקנות ניירות ערך (דוחות תקופתיים ומיידיים), התש״ל-1970, הדוח התקופתי כולל: דוחות כספיים, פרק תיאור עסקי התאגיד, דוח דירקטוריון, פרטים נוספים על התאגיד ודוח בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי. בהתאם לתקנה 38א׳ לתקנות אלה, הדוח הרבעוני כולל: דוחות כספיים ביניים, דוח הדירקטוריון לתקופת הביניים, דוח רבעוני בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי וכל מידע אחר הנדרש על פי פרק ד׳ לאותן תקנות.
[6] טעות בתקופת דיווח קודמת - כהגדרתה בכללי חשבונאות מקובלים.
[7] במקרים מסוימים ההנהלה אף עשויה לקבוע בזמן הזיהוי של סיכוני דיווח כספי וגילוי כי אתרים מסוימים הינם זניחים ביחס לתאגיד המאוחד, עד כי אין צורך בנהלי הערכה נוספים לגביהם.
[8] לשם שמירה על עקביות, עשויה ההנהלה לקבוע רפים כמותיים אשר מקום בו שיעור מדד המפתח ביחידה העסקית ביחס לדוח המאוחד עולה עליהם, חזקה כי היחידה העסקית הינה רלוונטית להערכת האפקטיביות של הבקרה הפנימית והגילוי, אלא אם כן קיימים פרמטרים איכותיים המפריכים חזקה זו.
[9] הן בקרות ידניות והן בקרות הקשורות במערכות ה-IT (בקרות אפליקטיביות, בקרות הקשורות להפרדת תפקידים והרשאות גישה וכד').
[10] בקרות מפצות הן בקרות אשר משמשות להשגת היעד של בקרה אחרת אשר אינה מתפקדת כשורה, ובכך הן מסייעות להפחתת הסיכון לרמת הסיכון שהייתה מושגת אילו הייתה הבקרה האחרת מתפקדת כשורה.
[11] ברי כי חלוקת התהליך למקטעים עשויה להשתנות בהתאם לנסיבות המקרה הייחודיות לתאגיד.
[12] כמשמעות מונח זה בתקן חשבונאות בינלאומי 37 (IAS 37).
[13] בקרות מפצות הן בקרות אשר משמשות להשגת היעד של בקרה אחרת אשר אינה מתפקדת כשורה, ובכך הן מסייעות להפחתת הסיכון לרמת הסיכון שהייתה מושגת אילו הייתה הבקרה האחרת מתפקדת כשורה.
[14] טעות בתקופת דיווח קודמת, כהגדרתה בכללי חשבונאות מקובלים.
[15] בהתאם לתקנה 8(ב) ולתקנה 38אי לתקנות ניירות ערך (דוחות תקופתיים ומיידיים), התש״ל - 1970, הדוח בדבר אפקטיביות הבקרה הפנימית על הדיווח הכספי ועל הגילוי מהווה דוח נוסף הנכלל במסגרת הדוח התקופתי והדוח הרבעוני של התאגיד, לפי העניין.
