ביקורת אגף שוק ההון: לא כל ארגוני הפיננסים והביטוח ערוכים כראוי לחירום

ארגונים מסוימים בקרב הגופים המוסדיים בישראל מיקמו את אתר הפעילות החלופי שלהם בקרבה רבה לאתר הפעילות הראשי, עד כדי קילומטרים ספורים, תוך הגדלת ההסתברות לפגיעה בשני האתרים בעת ובעונה אחת – וזאת בניגוד להנחיות אגף שוק ההון במשרד האוצר; כך עולה מביקורת שערך פרופ' עודד שריג, הממונה על שוק ההון, ביטוח וחיסכון.

פרופ' שריג הודיע אתמול (א') לגופים המוסדיים על עריכת תרגיל מבוקר נוסף לבדיקת מוכנותם לשעת חירום ויכולתם לספק שירותים חיוניים ללקוחותיהם. התרגיל ייערך באוקטובר 2013 וידמה המשכיות עסקית בעת מלחמה כוללת. התרגיל מהווה צעד נוסף בבחינת היערכות הגופים המוסדיים למצבי חירום, בהמשך לתרגיל שנערך באוקטובר 2012, שדימה המשכיות עסקית לאחר רעידת אדמה.

במקביל להנחיה זו, פורסמו הממצאים העיקריים מהתרגיל הקודם. האגף מצא כי נדרשת מעורבות רבה יותר של גורמי הנהלה בכירים בהיערכות לחירום. בנוסף, נמצא כי על גופים מוסדיים להקדיש תשומת לב רבה יותר לתרגול היערכותם לחירום, ולהגדיל את היקפם ותדירותם של תרגילים אלה. עוד התברר כי גופים רבים הנסמכים על ספקי שירות חיצוניים בעת פעילותם בחירום, לא וידאו את יכולת הספקים לעמוד בהתחייבויותיהם.

עוד עלה בדו"ח הביקורת בנושא המשכיות עסקית, כי "גופים מוסדיים חייבים לגבש תכנית המשכיות עסקית שתבטיח תפקוד רציף ותקין במצב חירום, בהתאם להנחיות לניהול סיכוני אבטחת מידע שפורסמו ב-2006".

על פי הביקורת, "מעורבות פעילה של דירקטוריון הינה בעלת חשיבות רבה, הן באישור מדיניות חברה להמשכיות עסקית והן בקבלת דיווחים על תרגילים שבוצעו בחברה. חשיבות זו באה לידי ביטוי בהוראות החוזר והטיוטה. בגופים רבים נמצא, כי מעורבות הדירקטוריונים בנושא המשכיות עסקית אינה מספקת. במספר גופים נמצא כי לא נערך אף דיון בנושא".

עוד עלה בביקורת, כי "כדי לוודא עדכניות מדיניות המשכיות עסקית, וכנדרש בחוזר, על גוף מוסדי לתרגל באופן תקופתי את תכנית ההמשכיות העסקית. בחלק מהגופים, התרגולים לא הקיפו את כלל איומי הייחוס, תרחישי אסון ותהליכים עסקיים קריטיים הכלולים בתוכניות ההמשכיות העסקית שלהם. עוד נמצא כי בגופים מסוימים בוצע תרגיל אחד בלבד בשנה ובמיעוטם לא בוצע תרגיל כלל".

במקרים רבים, נכתב בביקורת, "גופים מוסדיים נסמכים על ספקי שירות חיצוניים בהיבטי תפעול שוטף. על גוף מוסדי לבחון היערכות ספקי השירותים העיקריים שלו להמשכיות עסקית, כנדרש בחוזר. במחצית הגופים אין מתאם בין צרכיהם על פי תכנית ההמשכיות העסקית שלהם, לבין התחייבות ספקים, לרבות עמידה ביעדי RTO ו-RPO. במספר מקרים התחייבויות ספקים לשירות בשעת חירום לא עוגנו בהסכמי התקשרות. בנוסף, כשליש מהגופים לא מקיימים ביקורת על ספק אתר החירום במידה נאותה, ואינם מוודאים את יכולת הספק לעמוד בהתחייבויותיו".

על פי הדו"ח, "שינויים עסקיים וטכנולוגיים בגוף המוסדי עשויים להשפיע על תכנית ההמשכיות העסקית. במחצית הגופים לא נמצא תהליך מתודולוגי ומתועד להערכת השפעת שינויים מתוכננים על תכנית המשכיות עסקית".

עוד מצוין בדו"ח הביקורת, כי "הטמעת תכנית המשכיות עסקית באמצעות הדרכה והכשרת עובדים, כפי שנדרשה בחוזר, חיונית על מנת לוודא את מוכנות הגורמים הרלוונטיים בגוף מוסדי. מרבית הגופים לא קיימו הדרכות ביחס לתכנית המשכיות עסקית בתדירות והיקף נאותים, להנהלה, להנהלת הגיבוי, לצוותי החירום ולעובדים הנדרשים בחירום".

פעילות האגף באוצר כוללת הסדרת הנושא, הוראות לתרגולים וביקורות. ההוראות מכסות טווח רחב של מקרי חירום שעל המוסדיים להיות ערוכים להם, כגון מלחמה, תקיפת סייבר ורעידות אדמה. לדברי פרופ' שריג, "האגף פועל להבטיח כי גופים מוסדיים יהיו ערוכים למצבי חירום שונים, כדי להבטיח תפקוד רציף ותקין לתועלת החוסכים והמבוטחים".