תוצאות חיפוש

כמה מילים על החובות שיש לנו מכוח תקנות הגנת הפרטיות. דיברתי מקודם על מינוי ממונה אבטחת מידע: יש לי חובה בעצם לכתוב מסמך הגדרות מאגר. יש פורמט של רשות הגנת הפרטיות אבל בעצם מעבר לכתיבת המסמך עצמו והחובה שלעמוד זה תהליך שעוזר לנו לעשות סדר בעצם במה הוא אותו מאגר ותכף נדבר על הדילמות ואז אתם תבינו למה חשוב לעבור את התהליך הזה של לבוא בעצם ולראות את כל המערכות שיש לי. מחייבים אותנו גם במסמך מבנה המאגר שבעצם זה שני מסמכים שחיים האחד ליד השני שבאים בעצם וממפים לי את כל הקומפוננטים שיש לי ביחס לאותו מאגר. תהליך זרימת המידע: מאיפה נאסף המידע לאיפה הוא יוצא החוצה, אם הוא ייצא לגורמים אחרים, הוא יוצא לחו"ל או מועבר למטרות כאלה ואחרות, ובעיקר מהי המטרה שלשמה אני בעצם אוגר את המידע ובעצם לפי זה גם אני מגדיר מהו אותו מאגר. מעבר לזה אחת החובות המרכזיות היא הטמעת נוהל אבטחה. זאת אומרת, כל ארגון חייב שיהיה לו נוהל שיעסוק בחובות של העובדים בנושא של אבטחה פיזית וסביבתית, בנושא של הרשאות, בנושא של גיבויים וכל מה שנדרש. אז רשמתי כמה אתגרים וזה אולי הדילמות שגם שלחנו לכם בכל ההזמנות. אז דיברתי על הנושא של מיפוי המאגר: מה הוא המאגר ומהן גבולות הגזרה שלו וקביעת מטרת המאגר. ואולי אני אדבר על 2 הדילמות. יש קלאש מסויים בין העולם הזה של מידענות לדרישות של החוק, כי אם אתם זוכרים שדיברתי קודם שאפשר לעשות שימוש במידע שרשום במאגר רק למטרה שלשמה הוא נרשם, אז ברגע שיש לי שני מאגרים באותו אירגון אני לא יכול לעשות שימוש בכל המידע שלא למטרה שלשמה נרשם כל מידע כזה והרבה פעמים יוצר לנו בעיות. לדוגמה אם יש לי רשות מקומית שיש להם מאגר אחד שנוגע לרישום תלמידים דרשני שנוגע למקרה רווחה באותה רשות אז אם אני רוצה לדעת מי המקרה רווחה כדי לתת סיבסוד או סיוע לתלמיד כזה או אחר אסור לי בעצם לעשות הצלבה בין נתוני המאגרים ולכן התהליך הזה של המיפוי הוא מאוד מאוד חשוב שנראה לאיזה צרכים אני צריך את המידע שיש בכל אחד מהמקרים ובהתאם לזה אני גם יכול לקבוע את המטרה של המאגר. המחוקק לא בא וקבע לנו כללים מאוד ברורים של איך אני מסווג ומחלק את המידע שיש לי בארגון בין מאגרים שונים ואני יכול לתת לכם דוגמה מסוימת: למשל תנועת נוער, היה לה מאגר של חניכים ומאגר של בוגרים. עכשיו נדבר תיכף על חובה שלנו לבער מידע עודף. בעצם כל חניך בשלב כזה או אחר של החיים שלו הופך לבוגר. ברגע שאיחדנו את שני המאגרים וקראנו למאגר "מאגר חניכים ובוגרים" בעצם פתרתי לעצמי המון בעיות כי: א', אני יכול לפנות לכולם. ב', אני לא חייב לבער מידע אודות חניכים ברגע שהם עזבו את הפעילות באותה תנועה כי בעצם מבחינתי כולם ממשיכים להיות בוגרים וזה דוגמה לאיך אני קובע מה הוא המאגר ומה המטרות שלו ובעצם בתכנון מוקדם מראש או לאחר מכן בתהליכי שיפוץ יוצר ארכיטקטורה מסוימת שתקל לי את החיים לאחר מכן גם בפעילות היומיומית אבל בעיקר ביכולת שלי לעבד מידע או לקבל מידע לצורך שיווק. עוד דוגמא לחשיבות של זה למשל זה מאגרי לידים. ללא מעט מהאירגונים יש מאגר לידים שיכול להיות משותף לכמה חברות. ניקח קבוצת תקשורת, אז יש קבוצה אחת שמתעסקת בסלולרי, קבוצה שניה שמתעסקת באינטרנט לבתים. כיום עם המועדונים שהם מופרדים לחלוטין אין להם יכולת בעצם לראות שיש לנו לקוח שהוא פעיל בתחום הסלולר ולהציע לו חבילה לבית של אינטרנט ביתי. כדי שאני אוכל לעשות את זה אני צריך לבנות מראש את המאגרים בצורה כזאת שתאפשר לי העברת מידע בין המאגרים הללו, כי אחרת אני חוטא גם בכך שלא קיבלתי הסכמה של הלקוח לעשות שימוש בפרטים שלו למטרה אחרת וגם בעצם פעלתי במאגר מסוים שלא למטרה שלשמה הוא הוקם. אז אלה בעצם הדילמות שמחייבות אותנו בהליך היערכות מראש כשאנחנו באים לאירגון וממפים אותו של איך אנחנו קובעים מהו אותו מאגר ומה הם גבולות הגזרה שלו, הרבה פעמים יותר קל לי להרחיב ככל שניתן את הגבולות אבל אז בעצם אני יכול ליפול למצב שיצאתי לעצמי מאגר שהוא ברמה גבוהה סתם ואני מטיל עליי חובות אחרים. יש פה הרבה משחק חשוב מאוד לשים לב אליו כשניגשים לתהליך כזה שמטמיעים מערכות שהן מערכות חוצות אירגון של מאיפה הם לוקחות את הדאטה והאם אני בסדר מבחינת ההגדרות של המאגרים מצד אחד ואם אני יכול לשנות אולי את ההגדרות של המאגרים כך שיתאימו לי באמת לפעילות העיסקית. מעבר לזה, הדילמה של לסרוק או לא לסרוק. הצגתי לכם בהתחלה שההגדרה של מידע הוא רק מידע שהוא דיגיטלי, אלקטרוני. וכאן אני הגעתי לארגון אקדמי מסוים ואני שואל אותם איך אתם שומרים את המידע לבקשות של סטודנטים לקבל מלגות והם אומרים לי "הכל היה בקלסרים אבל עכשיו אנחנו בתהליך שלם של לסרוק את כל החומר הזה" ואמרתי להם עצרו עצרו עצרו רגע כי ברגע שאתם סורקים את זה, אם עד עכשיו לא היה לכם כמעט שום מידע רגיש במאגרים אלא רק אולי מידע על ציונים או מידע על אם הסטודנט שילם או לא שילם, ברגע שאתם סורקים את המידע הזה אתם מעלים בצורה מאוד דרמטיות את רמת הרגישות של המידע כי פתאום יש את כל ההצהרות של אותו סטודנט שמבקש מילגה: את המצב הכלכלי הבעייתי שלו, מצב כלכלי אולי של ההורים, מצב רפואי כזה או אחר שמצדיק את קבלת המלגה ועוד כאלה ואחרים ובעצם ברגע שהפכתי מידע פיזי למידע דיגיטלי, הכנסתי אותו למאגר ובמידה מסוימת יצרתי לי בעיה. אז גם כאן הדילמה הזאת: מצד אחד זה מאוד נוח לי שהמידע הזה יהיה דיגיטלי. נוכל לאחזר אותו בצורה קלה ופשוטה, הוא יעזור לאחר מכן, אני מניח, גם למידענים לעשות ניתוחים כאלה ואחרים. מצד שני, יכול ליצור לנו בעיות ולכן לא כל סריקה ואירכוב אופטי בהכרח תורם לנו לעבודה. הדילמה האחרונה היא דילמה אחת המורכבות שיש ולא מעט ארגונים היום מנסים להתמודד איתה. קראתי לזה ביעור חמץ: החוק מחייב אותנו - הוא אומר רשמתם מאגר, קבעתם מה מטרת המאגר ואם למשל רשמתי מאגר לקוחות וקבעתי שמטרת המאגר היא שמירת קשר וניהול הלקוחות, אז ברגע שבן אדם הפסיק להיות לקוח שלי אני לא חייב את המידע אודותיו. בסיטואציות מסויימות אולי אני אדרש למידע הזה שבע שנים כדי לשמור לעצמי את האופציה להתגונן במקרה של תביעה, אבל בגדול בחלוף ההתיישנות המידע הזה לא נדרש לי. עכשיו, זה מאוד קשה לבוא ולהגדיר איזה מידה לא נחוץ לי והרבה יותר קשה לבוא ולשלוף בפינצטה את כל המידע שיש לי אודות יישות מסויימת שאני לא נדרש למידע אודותיה. ומה הכוונה? אם דיברתי קודם על עובד חברה או לקוח, המידע אודותיו נמצא בלא מעט מקומות. הוא נמצא במערכת הCRM המרכזית של הארגון כלקוח, אבל איש מכירות שהוריד את הפרטים של הלקוח הזה באקסל כדי לקדם מוצר כזה או אחר ולעשות פילוחים כאלה ואחרים, אז גם המידע אודות הלקוח נמצא שם, המידע אודות הלקוח יכול להיות בהתכתבויות שנשמרות בכלל בתיקיה אחרת. זאת אומרת, לבוא ולהיות בטוח שמחקתי את כל המידע אודות בן אדם - לא פשוט, וזה אחרי שעברתי כבר את המשוכה שקבעתי מהו המידע שלא נדרש לי בכלל. אז גם כאן, ככל שאנחנו מתכננים יותר טוב את הדאטה שלנו בארגון, איך היא נשמרת ובאיזה באיזה מקומות היא נשמרת, יהיה לי הרבה יותר קל לבוא אחרי זה ולהגדיר מה לא נדרש לי ואיך לבצע את הביעור של אותו מידע. שוב, גם כאן יש דילמה כי המידענים תמיד ירצו הרבה יותר מידע כדי לנתח גם לגבי ישויות שכבר לא רלוונטיות לי היום לפעילות העסקית. כמה מילים על מה שקרה בתקופת הקורונה: כמובן שהיה גידול בתחום השירותים המקוונים. יותר ויותר אירגונים איפשרו לנו לבצע פעולות מגוונות החל ממשרדי ממשלה וכלה בהתחלה באירגונים עיסקיים, הרבה יותר עבודה מהבית שמחייבת גישה מרחוק למאגרי מידע וגידול במסחר מקוון שגם מביא לי המון דאטה שעוברת ברשת והמון אגירה של מידע - כל אלה הביאו מצד אחד לעליה במודעות לתקנות הגנת הפרטיות והתקנות האירופאיות אבל יצרו גם לא מעט סיכונים, כי כל זה לווה בעצם בגידול ממש אדיר בתחום של הפשיעה המקוונת. אני מניח שכולכם שומעים יותר ויותר על מתקפות, רואים יותר ויותר מתקפות, רואים יותר ויותר אירועי כופר, רואים יותר ויותר ניסיונות להונאות. לא מעט מכם מקבלים כל מיני אסמסים, וואטסאפים ומיילים עם כל מיני הצעות מפתות שנועדו בעצם לגרום למסור פרטים אישיים. אז בעצם אנחנו נמצאים במצב שהרבה יותר מסוכן ממה שהיה בעבר. אז דיברתי על מתקפות סייבר: הבאנו כמה נתונים שהם מלפני מספר שבועות אבל אם אנחנו מדברים על עליה באירועי סייבר הוקמו בשלושה שבועות 20,000 דומיינים חדשים מתוכם 3400, זאת אומרת אנחנו מדברים פה על אחוז לא מבוטל של אתרים של חשודים כזדוניים.

תקנות הגנת הפרטיות מתייחסות ומבחינות בין רמות הרגישות השונות של המידע. אנחנו זוכרים את הסיפור של סנודן שפירסם מידע פחות רגיש מבחינת הגנת הפרטיות אבל מידע רגיש בהחלט מבחינה ביטחונית והוא הפיץ אותו ברשת האינטרנט והדברים רצים ועוברים מיד ליד בצורה מאוד מהירה, דבר שעוד יותר מגביר את הסיכון שלנו. כלומר אם יש לנו אירוע של דלף מידע בקלות היום במייל המידע הזה יכול לזלוג ולהתפזר בצורה אקספוננציאלית ולהגיע לרבבות אנשים והגברת החקיקה בנושא זכויות הציבור: באופן כללי יש יותר ויותר חקיקה שמעלה את המודעות לזכויות של הציבור ובין היתר תכף אדבר על התקנות לגבי הגנת הפרטיות. באותו חוק שדיברתי קודם שאולי ייקנה סמכויות אכיפה מנהליות גם לרשות הגנת הפרטיות. מעבר לזה ברגע שיש לאותם רגולטורים את הסמכויות הם גם עושים קמפיינים ופועלים כדי להגביר את המודעות ובשנים האחרונות היו מספר קמפיינים של רשות הגנת הפרטיות לגבי הזכות שלך לפרטיות ובעיקר מה תפרסם ולא תפרסם. עוד נושא אגב שאולי קשור לרשתות החברתיות אבל גם קשור למודעות של זכויות הציבור; הוקמה לפני מספר חודשים או קצת יותר חברה שמציעה לאנשים לבוא ולסרוק את המייל שלהם ולגלות איפה אגור מידע אודותיהם ולפנות לכל אותם גורמים שלפי הסריקה זאת במייל אגור מידע אודות אותו לקוח של החברה, לפנות אליהם בעצם ולבקש את המחיקה של המידע מאותו מאגר שלהם פרצו. זה עוד משהו שיוצא לנו, כמי שעובד בארגונים, מגביר את הסיכון שלנו לבעיות מול ישויות שאנחנו אגרנו לגביהם מידע. לכל זה מצטרף מה שאמרתי בהתחלה ריבוי במידע הנאגר. זאת אומרת, אם עד לפני 30 שנה רוב המידע עליי היה אגור בקלסרים בכל מיני מקומות, היום כל המידע אגור בדאטה דיגיטלית. יותר ויותר מידע, יותר ויותר כלים שמאפשרים לנו הצלבות של מידע שבעצם יוצרים מידע חדש. וכל הדברים האלה בעצם מביאים לסיכון אדיר בהיבט המשפטי ובאהבת הרגולטורי של כל מי שמחזיק במידע. עכשיו צריך להבין גם נקודה שהרבה פעמים כשאנחנו מגיעים לאירגון אז אומרים תשמע לנו אין מאגרים או יש לנו אולי מאגר אחד אבל בעצם שמסתכלים על ארגון ולא משנה כרגע עם זה מלכ"ר או חברה עסקית או משרד ממשלתי או מה שזה לא יהיה, אז יש מספר מקורות של מידע שנמצאים בדרך כלל באותו באותו אירגון. מידע הנאגר באירגונים ומקומות עבודה אז קודם כל, כל אירגון מספק סוג כזה או אחר של שירותים. שוב, לא משנה מה התצורה שלו ואיך הוא מאוגד אבל בעצם הוא יכול לכלול נתונים אודות חברי הארגון, זאת אומרת לקוחות או חברי ארגון אם זאת עמותה. והמון מידע שאוגר אודותיהם אגב מתן השירותים. חלק מהמקרים למשל אנחנו מחויבים לפי הוראות חוק כאלה ואחרות לאגור מידע בחלק מהמקרים אם ניקח עמותות שמספקות שירותים חברתיים ללקוחות שלהם אז הם נדרשים לקבל מידע רגיש הודעות אותם חברי ארגון אם זה תנועות נוער או מי שזה לא יהיה וכאן בעצם זה ליבת התעשייה של אותו אירגון ואין ספק ששם נאגר המון מידע עסקי או אחר אודות ישויות שמידע זה בהחלט יכול להיות מידע מאוד מאוד רגיש. מעבר לכך האירגון בדרך כלל מעסיק עובדים. הוא יכול להעסיק עובדים ויכול להעסיק גם מתנדבים לצורך העניין, וכמות המידע שאנחנו אוגרים היום אודות עובדים היא לא פשוטה; החל בעצם משלבי מיון וסינון של מועמדים פוטנציאלים לעבודה, שלחו לי קורות חיים, בחלק מהמקרים מבקשים מאיתנו גם למלא שאלונים כאלה ואחרים. ברגע שאותו עובד או מתנדב מתחיל לעבוד אז אנחנו מקבלים ממנו כל מיני דיווחי נוכחות. יש לנו נתונים על מצב בריאותי. תחשבו על עובדות שיוצאות לטיפולי הפריה או עובדים שיצאו לכל מיני טיפולים כאלה ואחרים ומציגים ימי מחלה למעסיק, בעצם יש שם פירוט של כך. יכולים להיות לנו עיקולים על משכורות ובעצם אנחנו יכולים לדעת מדוע הוטל עיקול כי קיבלנו צו. דו"חות נוכחות שגם יכול להיות בהם מידע רגיש למה נעדרתי וכדומה, אישורים, מצב אישי, נתונים אודות השכלה ודיברתי קודם על נתונים אודות מועמדים לעבודה, אז מעבר לקורות חיים אז ארגונים שולחים לכל מיני מבדקי אמינות או מכוני השמה ובדיקות גרפולוגיות ומקבלים בעצם ניתוח מעמיק והרבה פעמים מאוד מאוד רגיש לגבי מועמדים, וכמובן שיש עוד משובים לעובדים, משובי 360 שעושים מול כפיפים וממונים. זאת אומרת, אנחנו עובדים עם הרבה מידע וגם זה חלק מאותו מאגר שלנו. האירגון כמקבל שירותים מעבר לזה האירגון גם מקבל שירותים: יש לי נתונים אודות הספקים של הארגון שלי. כמובן שחלק מהנתונים יכולים להיות לא להחשב כמידע רגיש אבל לא מעט אירגונים, בעיקר האירגונים הגדולים עושים תהליך של הערכת ספקים וכותבים בין היתר למה הפסיקו את הפעילות .שוב, אני פחות מדבר על מידע עסקי ומסחרי למשל שהחברה נותנת במסגרת מכרז אלה יותר על נתונים רגישים. עכשיו, אם זה ספק שהוא עוסק מורשה אז הוא בן אדם פרטי בסוף ומספיק שיש לי את התעודת זהות, מספר עוסק מורשה ופרטי חשבון בנק וכמה שילמתי לו וכדומה, כבר אומר שכבר יש לי עליו מידע שמתחיל להיות מאוד רגיש. אירגון מגייס משאבים אירגון יכול להיות גם מגייס משאבים גם אם זה אגב חברה עיסקית שפונה לגיוס כספים אצל משקיעים כאלה ואחרים, גם אם זה עמותות שמגייסות תורמים וכאן לא מעט אירגונים מנהלים דאטה בייס מאוד מאוד רציני לגבי אותם אותם משקיעים פוטנציאליים שכוללים יכולת השקעה, יכולת החזר ונתונים אישיים. זאת אומרת, מנהלים גם סוג של מעקב לצורך שימור קשר עם אותו משקיע, תאריכי לידה, מאשתו וכדומה, לא לשכוח לשלוח לו פרחים ביום ההולדת וגם כאן אנחנו אוספים לא מעט מידע. מצלמות אבטחה משמשות כמאגר מידע מעבר לכל מה שדיברתי אז עוד מאגר שיכול להיחשב בהחלט כמאגר מידע זה כל מה שקשור למצלמות אבטחה. מצלמות שבחלק מהמקומות אנחנו מחוייבים להתקין. הן אוגרות מידע ולכן הן נחשבות כמאגר. כאן היום בטכנולוגית שגם הן עושות זיהוי פנים אז כמובן שהמידע הזה הופך להיות יותר ויותר רגיש, ועוד סוגיה מאוד בעייתית גם מבחינת החשיפה של מידע וגם מבחינת סיכונים כאלה ואחרים זה כל העולם של רשתות חברתיות. שוב, אולי לסבר את האוזן אז חברה מסויימת עובדת בשירות לקוחות ראתה תגובה בפייסבוק מאוד נזעמת על השירות שלקוח מסוים קיבל באותה חברה וכדי להראות שהחברה הייתה בסדר אז היא צילמה צילום מסך מתוך מערכת הcrm להראות שכל פנייה שלו נענתה מהר שהוא איזשהו סוג של מתלונן סדרתי וטורדני הועלתה את צילום המסך הזה לרשת הפייסבוק. כמובן שיש פה הפרה של הוראות. חשפו את זה שהוא לקוח, חשפו את הפנייה שלו וכדומה, אז גם כן זה סיכון שצריך לקחת אותו בחשבון מעבר לכך שהם לא יכולים לעלות אולי תמונות מאירועים כאלה ואחרים של החברה ולפגוע בפרטיות של אנשים. הגדרות החוק הנה כמה הגדרות מהחוק. כשאנחנו מדברים על מאגרי מידע אז בעצם מה החוק קובע: מה זה מידע? אז מדברים על נתונים על אישיותו של אדם, מעמדו האישי, צינעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית , דעותיות ואמונותיו. ולכן אם דיברתי קודם על מידע עסקי או מידע מסחרי הוא לא נכלל פה במסגרת של מידע אלא אנחנו מדברים בעצם על מידע על בנאדם. כשאנחנו מדברים על אבטחת מידע גם משהו שקשור ולא תמיד כולם שמים לב לזה, אז אנחנו מדברים על הגנה על שלמות המידע. זאת אומרת, מעבר להגנה על המידע מפני חשיפה, שימוש ללא הרשאה, גם שלמות המידע היא חלק מהדרישות שלנו לאבטחת מידע, זאת אומרת לוודא שדאטה שאני אוסף לא נמחקת או לא נעלמת בצורה כזאת או אחרת שלא לצורך. גם עולם הגיבויים, שיחזורים וכדומה הוא חלק מהתהליכים שאני מחוייב להם מבחינת אבטחת מידע. עוד נתון חשוב שגם חשוב לדבר עליו כי זה יהיה אח"כ במסגרת הדילמות שחשובות לכם כמידענים: מאגר מידע מדבר על אוסף נתוני מידע שמוחזק באמצעים מגנטיים ומיועד לעיבוד ממוחשב. כלומר, נתונים שהם לא מוחזקים במדיות אלקטרוניות הם לא חלק מאותו מאגר מידע שלי. לדוגמא, קלסרים שאני מחזיק במשרד וכל מה שיש שמה זה הארד קופי לא נחשבים כחלק ממאגר. בהמשך לשאלה שנשאלה אז מאגר מידע לא כולל אוסף לשימוש אישי ושאלון עמדות עסק, ואוסף שכולל רק שם מען ודרכי התקשרות לא יוצר אופן איפיון שיש בו פגיעה בפרטיות אבל בלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף נוסף. זאת אומרת, אם יש לי רשימה של לקוחות שיש שם רק את השם מען וטלפון, אין פה פגיעה בפרטיות של בני אדם. השאלה אם זה מאגר או לא היא שאלה נפרדת, אבל אם לא יהיה ספק אם לתאגיד עצמו או לתאגיד אחר שהוא קשור אליי יש אוסף נוסף. זאת אומרת אם יש לי את הרשימה של הלקוחות אבל לחברה אחות שלי יש רשימת לקוחות ודאטה נוספת, אז בעצם זה כבר הפך איפיון שיכול ליצור פגיעה בפרטיות כי יש לנו עוד נתונים על אותם בני אדם במסגרת אותו בעל שליטה, לצורך העניין. מידע רגיש מבחינת הגדרה של מידע רגיש, אז בעצם כמעט כל ההגדרות של מהו מידע נכללות גם במידע רגיש. דיברנו קודם על אישיות אדם על צנעת אישותו ומצבו הבריאותי, מצבו הכלכלי, דעותיו ואמונותיו. צנעת אישותו, הרבה פעמים אנשים שואלים אותי ואומרים לי, תשמע, אין לי נתונים על צנעת אישות אלא אם זה אולי דברים רפואיים וכדומה, אבל יש אירגונים שעצם ההתחברות אליהם, אם אני מדבר בעיקר על מלכ"רים, כמו למשל ארגונים של הקהילה הגאה; עצם החברות בהם והעובדה שרשמו את הפרטים שלי כחבר באירגון, כבר יכולה ליצור מצב שיש למישהו נתונים על צינעת אישותי בלי שבכלל אני התכוונתי לכך, אז גם כאן צריך תמיד לפרש את המונחים האלה די בהרחבה כדי לוודא שאין לנו מידע רגיש. השינוי הגדול של חוק הגנת הפרטיות מה שקרה, וזה השינוי הגדול שבעקבותיו בעצם התחילה כל המודעות לעלות, זה שחוק הגנת הפרטיות הוא חוק די ישן שנחקק בשנות ה-80, הוא דיבר על מאגרי מידע, הוא קבע מה זה מאגר מידע והוא קבע באופן מאוד כללי שבעל מאגר צריך לאבטח אותו, והוא לא אמר לנו בעצם מה נדרש ואיך נדרש ומהי אבטחה וכולי וחולי ובעצם במשך שנים רבות הסתובבנו פה בלי שהבאנו מה רוצים מאיתנו כל מי שמחזיק במאגר. בשנת 2017 פרסם משרד המשפטים תקנות שנקרא "תקנות הגנת הפרטיות אבטחת מידע" וזאת בעצם הייתה הפעם הראשונה ( אגב זה קרה במקביל וזה לא צירוף מקרים, למה שקרה בעולם: תקנות הGDPR פורסמו נכנסו לתוקף באותו חודש של התקנות הישראליות) שבעצם בא המחוקק ובפעם הראשונה קובע לנו מה הנורמה שנדרשות מאיתנו ברמה הזאת. אז קודם כל, הוא קבע מה הרף הנדרש לאבטחת מידע: הם חילקו את מאגרי המידע בעצם לשלוש רמות של אבטחה: בסיסית בינונית וגבוהה שהחלוקה פחות או יותר היא כמות היוזרים וכמות הישויות שאנחנו אוגרים עליהם את המידע וגם יכולה להיות השפעה לסוג המידע שנאגר אבל בגדול החלוקה ברמות אבטחה היא בין הבסיסית הבינונית והגבוהה היא כמה יוזרים. זאת אומרת, כל מאגר שיש בו פחות מ10 משתמשים ייחשב מאגר ברמה הבסיסית. מאגר שיש בו יותר מעשרה ופחות מ100 יחשב ברמה בינונית, מעל 100 כבר עולה לרמה הגבוהה וגם קיימת אבחנה לעניין כמות הישויות שעליהם אנחנו אוגרים את המידע. אז גם כאן בעצם הם באו וקבעו את שלושת הרמות האלה וקבעו הוראות ביחס לכל אחת מהרמות, מה נדרש מהם. ככל שאני עולה ברמה יותר רמת הדרישות עולה: לדוגמה נדרש ממני לבצע כבר יהיה מה שנקרא PT - penetration test מבדק חדירות, סקרי סיכונים, ביקורת פנימית וכולי אבל בגדול הנורמות מדברות ובהמשך נרחיב עליהם, על הדברים שיש מחויבים בכל סוגי המאגרים מעבר לזה באו בתקנות והגדירו לי אירוע אבטחה. בעצם אמרו לי מה נחשב מבחינתי כאירוע אבטחה שבגדול אפשר לדבר בעיקר על אירועי דלף מידע ואת החובה שלי לדווח עליהם בתנאים כאלה ואחרים לרשות הגנת הפרטיות, רשות מאוד יעילה ואפקטיבית. זאת אומרת, כל דיווח על אירוע כזה מקבלת תגובה מאוד מהירה והרבה פעמים יוצרת כאב ראש לא קטן לאירגונים. ממונה אבטחת מידע אירגונים שיש להם מעל חמישה מאגרי מידע מחויבים במינוי גורם אחראי אבל כל מאגר מחויב למנות מנהל לאותו מאגר. זאת אומרת, ברגע שאני רושם מאגר אני חייב לדווח מי מנהל את אותו מאגר ואם יש לי חמישה מאגרים אני חייב גם למנות גורם שמוגדר ממונה הגנת הפרטיות/ ממונה אבטחת מידע. עכשיו, מתי אנחנו בעצם מחויבים לרישום של מאגר? גם כאן דילמה שעולה לא מעט בארגונים. אז החוק בעצם אומר לא יינהל אדם ולא יחזיק מאגר שחייב ברשום אלא אם כן התקיים אחד מאלה: אז כמובן המאגר נרשם בפנקס וכולי אבל הבאתי לכם את הסעיף הזה בעיקר כדי להקדים ולדבר לאחר מכן על הדילמה של מה שאתם רואים פה בסעיף ב': לא ישתמש אדם במידע שבמאגר החייב ברישום חישוב אלא למטרה שלשמה הוקמה המאגר. זה נתון מאוד חשוב ואגב במסגרת אירועי ההפרה שהתגלו בשנים קודמות היו כמה מקרים של קנסות שהוטלו בגלל שימוש במאגר שלא למטרה שלשמה הוא הוקם. זכות העיון במידע חובה נוספת שיש לנו בחוק וזה גם חשוב להכיר זה שכל אדם זכאי לעיין בעצמו או על ידי בא כוחו וכדומה במידה עליו המוחזק במאגר מידע. אני לא יודע מאיזה סוגי ארגונים אתם מגיעים, יכול לפנות ולבקש לעיין בכל המידע שלי, וכאן אני ארחיב ואומר שיש פער מאוד גדול בין התפיסה המשפטית לתפיסה המכללה הטכנולוגית של מה זה מאגר. כשאני בא לאירגונים ואני מדבר בדרך כלל עם מנהל מערכות מידע ואני אומר לו מאגר, אז הוא אומר לי יש לי את המערכת הזאת, אבל כשפונה למשל בן אדם ומבקש לעיין במידע אז מתגלה, וזה ברוב הארגונים קורה, שיש מערכת אחת או יותר אבל יש גם כל מיני קבצי אקסל וקבצי וורד וPDF שמכילים מידע על אדם מסויים והם חלק מאותו מאגר ולכן כשאנחנו מדברים על הזכות לעיין ואחרי זה נדבר על חובת הבירור, בעצם אנחנו צריכים להתייחס לכל המאגר. אולי טיפה לסבר את האוזן, אז בתחום השכר נגיד קל לי להביא דוגמא: יש בדרך כלל מערכת אחת מרכזית שהיא משמשת לחילון שכר. הרבה חברות עובדות עם חילן ומלם וכל מיני כאלה אבל יש מערכת אחת שבה אנחנו מזינים פרטים והיא מפיקה את תלושי השכר. אבל בלא מעט אירגונים יש מערכת נוכחות נפרדת שהיא חלק מאותו מאגר. יש תיקיות ברשת של כל מיני ראיונות וקורות חיים ותעודות וכדומה ששלחו עובדים שזה גם חלק מאותו מאגר, יש לנו מערכת שעושה משוב על עובדים והיא חלק מאותו מאגר, זאת אומרת, המאגר עצמו מורכב מלא אפליקציות ולא מעט קומפוננטים שמרכיבים בסופו של דבר את אותו מאגר ולכן בחובה העיון אני חייב לתת לו לעיין בכל המידע הזה. דיברנו על חובת האבטחה, זה בעצם סעיף 17 זה מה שהיה בחוק עד התקנות. חייב להיות אחראי לאבטחת המידע שבמאגר: חובה מאוד כללית שלא פירטו לנו מה מה בדיוק רוצים מאיתנו. לגבי חובת הרישום אז יש את הרכיב המספרי, זאת אומרת אם יש לי יותר מידע על יותר מעשרת אלפים אנשים אני חייב ברישום, אבל אם יש לי במאגר מידע רגיש וראיתם שההגדרה של מידע רגיש היא מאוד מאוד רחבה אז לא משנה כמות האנשים שעליהם אני אוגר את המידה, אני מחוייב ברישום. מעבר לכך יש עוד כל מיני חובות רישום אם זה כולל מידע על האנשים שהמידע לא נמסר מטעמם או בהסכמתם. בדרך כלל זה פחות קורה בארגונים עסקיים. מאגר שמשמש לשירות דיוור ישיר: זאת אומרת מאגר שמספק בעצם לידים או דיוור עבור אחרים - לא משנה על כמה אנשים יש לו מידע - הוא מחוייב ברישום. ובהקשר לשאלה קודם של היחס למשרדי הממשלה, אז כל מאגר של גוף ציבורי מחוייב גם הוא ברישום ואפשר לראות את זה ברשם מאגרי המידע רואים מאגרים של משרדי ממשלה, רשויות מקומיות וגופים ציבוריים נוספים. את ההרצאה העביר עו"ד מיכאל גילינסקי, מנהל תחום הגנת הפרטיות ואבטחת מידע במשרדנו.

חלק מתוך הרצאתו של עו"ד מיכאל גילינסקי, ראש מחלקת רגולציה בוובינר שקיימנו בנושא תקנות הגנת הפרטיות. "אני אתן סקירה כדי לאפס את כולנו על מונחים עיקריים בחוק ומה בעצם הדרישות של החוק קצת על הסיכונים שאירגונים נמצאים ולמה הסיכון הזה גדל ונדבר על כמה דילמות מאוד רלוונטיות לכל מי שעוסק במידענות. נקרא לזה "הפער בין עולם המידענות" שבעצם רוצה המון מידע כדי שיוכל לנתח ולעבד אותו לבין הדרישות של החוק . יש כל מיני מגמות שחלו בשנים האחרונות שאני מניח שכולנו חווים אותם שבעצם הביאו לגידול בסיכון שלנו כאירגונים מבחינת הנושא הזה של דאטה בכלל והנושא של הגנת הפרטיות בפרט. כמובן שהמעבר שלנו לעולם המקוון לעולם שאנחנו יותר ויותר משתמשים במערכות מידע יותר ויותר מידע נאגר בהם הוא הטריגר המרכזי אבל לא רק. בעצם אם אנחנו מסתכלים על כמה תהליכים שקרו בשנים האחרונות, אנחנו מבינים למה הסיכון גדל. התהליך הראשון זה בעצם גידול בהיקף הפעילות של הרגולטור אז כמובן שאנחנו מדברים על העולם של הגנת הפרטיות אז הרגולטור המרכזי הוא רשות הגנת הפרטיות גוף שנמצא במשרד המשפטים שעד לפני כמה שנים התעסק בעיקר בנושא של רישום מאגרי מידע וכדומה אבל בשנים האחרונות הכוח שלו התעצם והוא בעצם גדל וקנה לעצמו סמכויות הסמכות המרכזית שהוא עדיין לא קיבל וזה בגלל המצב הפוליטי בארץ והתחלופה בין הכנסות הוא סמכויות אכיפה מנהליות. חוק שכבר הועבר לאישור הכנסת ונתקע בכל פעם שהכנסת התפזרה. אני מניח שהוא ייעלה שוב בכנסת הנוכחית וייקנה לרשות להגנת הפרטיות סמכויות אכיפה מנהליות עם קנסות הרבה יותר משמעותיים למי שמפר את החוק. מעבר לזה אבל יש עוד כל מיני רגולטורים כמו למשל רשות ניירות ערך, רשות שוק ההון במשרד האוצר, רשות החברות הממשלתיות ועוד ועוד שמתעסקים יותר ויותר בעולם הזה של הנתונים שאנחנו שומרים אודות לקוחות, אודות ישויות אחרות שאנחנו אוגרים לגביהם מידע וגם הם באים ומתערבים בעצם וקובעים לנו כללים. סתם בשביל לסבר את האוזן רשות ניירות ערך הפילה לפני כשנה ומשהו קנס על חברת ניהול תיקים על הפרה למעשה של חוק הגנת הפרטיות- אירוע של דלף מידע. רשות ניירות ערך שאמונה על פיקוח על שורה ארוכה של תאגידים ובין היתר חברות ניהול תיקים בעצם באה באירוע דלף מידע והטילה קנס על אותה חברה ולכן בעצם אנחנו מוקפים כל הזמן ברגולטורים שיותר ויותר מתערבים גם בנושא הזה של אבטחת מידע בכלל ובהגנת הפרטיות בפרט. מעבר לכך גם גדל השימוש במה שנקרא מנגנוני אכיפה פרטית. היכולת של אזרחים לבוא ולהגיש תביעות כנגד גופים שפגעו בפרטיות שלהם. אני מניח שלא מעט ממי שנמצא כאן חווה באירגון שלו תביעות למשל על הנושא של חוק הספאם. אנשים היום יכולים לבוא ולתבוע בלי הוכחת נזק. אלף שקל על כל דואר זבל שהם קיבלו אבל מעבר לזה גם יכולים לבוא ולתבוע על מידע שדלף. ניקח לדוגמה את הסיפור שירביט המפורסם-אז שירביט בגדול חשופה לתביעות מצידם של אנשים שהמידע אודותיהם דלף לרשת. מעבר לכך גם מעבר לתביעות עצמן גם חל גיוון בכלים המשפטיים: לפני מספר שנים נכנסה לישראל היכולת להגיש תביעה ייצוגית. היא עדיין לא קיימת במאה אחוז בעולם הזה של תקנות הגנת הפרטיות אבל אני מניח שהיא גם תגיע לשם. אפשרות של תביעות נגזרות או ידיד בית משפט, כלומר שבאים ארגונים ציבוריים זה ונכנסים לתביעה כמי שמייצגים אינטרס מסוים של הציבור היא גם מגמה שלאט לאט הולכת וגוברת. ריבוי ארגונים חברתיים שעוסקים בתחומים שונים - כל מיני עמותות וארגונים כאלה ואחרים שמקדמים אג'נדות כאלה ואחרות וגם נכנסים לעולמות כאלה של הגנת הפרטיות ובעצם מעלים את הנושא למודעות. מעבר לכך כמובן שהרשתות החברתיות היום בעידן של הוואטסאפ facebook linkedin וכל הרשתות שקיימות לנו המידע עובר בצורה הרבה יותר מהירה. לפני הרבה שנים אף אחד אולי לא היה שומע, או מקסימום קורא על אירוע כמו של שירביט ביום למחרת. היום הדברים רצים ודי מהר. יש גם ריבוי במידע הנאגר- דאטה דיגיטלית. וכל הדברים האלה בעצם מביאים לסיכון אדיר בהיבט המשפטי והרגולטרי לכל מי שמחזיק מידע." המשתתפים בוובינר קיבלו את ההרצאה המלאה. להשתתפות בוובינר הבא שלנו מוזמנים לעקוב אחרינו בדף הפייסבוק שלנו.

להיות מעסיקים שהם חברת כוח אדם זה לא פשוט: רגולציה, הוראות דין, תקנות, חוקים - כל אלה הם חלק מחיי היום יום השוטף. משרד העבודה אוכף ומטיל לא מעט קנסות על מעסיקים בגין הפרות של דיני העבודה השונים. מנהל הסדרה ואכיפה בזרוע העבודה במשרד העבודה והרווחה שולח מכתבים בהולים למעסיקים, ובו ניתנה להם הזדמנות לתקן את הליקויים לגבי כלל העובדים וזאת תוך המצאת אישורים של בודק שכר מוסמך. חברות כוח אדם רבות נקנסו בשנים האחרונות בעקבות טעויות בדיווחים, החסרת שעות עבודה או אי פתיחת קופות פנסיה לעובדים, אי־העברת הפרשות לפנסיה בזמן, אי תשלום או תשלום מופחת עבור שעות נוספות, העסקת עובדים בשעות נוספות ללא היתר בניגוד לחוק שעות עבודה ומנוחה, אי ניהול פנקס בדבר שעות נוספות של העובד, אי תשלום דמי הבראה לעובד ואלו הטעויות הנפוצות ביותר בלבד. לכן, כדאי להיעזר בבודק שכר מוסמך שיוכל לעזור לכם, המעסיקים, לחסוך המון כסף ולהימנע מעוגמת נפש ופגיעה במוניטין. האם ידעת, למשל, שמעסיק שלא יוכל להמציא דו"ח נוכחות של עובד, ייחשב כמי שלא שילם שכר מינימום? מתי כדאי לקחת בודק שכר מוסמך? 1. אם יש לך עובדים רבים או עובדים המועסקים על בסיס הסכמים מגוונים. 2. אם התקבלו תלונות של עובדים ביחס לתלושי השכר ונמצאו טעויות. 3. אם הוטמעה תוכנת שכר חדשה בארגון. 4. אם קיים חשש כי חשבת השכר אינה בקיאה דיה בדיני העבודה. 5. אם הוטל עליך עיצום ממשרד העבודה לאור ביקורת תוך הטלת עיצום על תנאי במקרה שההפרה תשנה. אז מה עושים? נעים מאוד! אודיט בקרה וביקורת הוא משרד בוטיק הנוסד בשנת 2005 המתמחה בשירותים משפטיים וחשבונאיים ונשמח לתרום לכם מהידע והניסיון שלנו. במשרדנו מחלקת בודק שכר מוסמך מקצועית עם ניסיון רב המנוהלת ע"י רו"ח שלי גליקליך-פוקס. צוות המומחים שלנו משלב ניסיון מעשי ותיאורטי נרחב כך שכל לקוח מקבל את השירות האופטימלי לצרכיו. הצוות הינו בעל ידע וניסיון רב מתחומי הכלכלה, החשבונאות, תעשייה וניהול, משפט וניתוח מערכות מידע ובעל הבנה תהליכית וראיה עסקית רחבה. נשמח להעביר שמות ממליצים במידת הצורך. ההצלחה שלכם היא ההצלחה שלנו! צרו קשר לכל שאלה או בירור בנושא עם רו"ח שלי גליקליך-פוקס, בודקת שכר מוסמכת, ראש תחום בדיקות שכר באודיט בקרה וביקורת טלפון: 03-5616303 נייד: 050-6814547 מייל: shellyg@audit-fa.co.il

חשבת על מוצר או שירות מושלם הפותרים צורך או בעיה כואבת, מה הלאה? מה עלויות הפיתוח של המוצר שלך ובאיזה מחיר תשווק אותו? הנה כמה נקודות למחשבה. תמחיר היא תורה שלמה העוסקת בחשבונאות הניהולית ותפקידה היא לסייע בחישוב, בניתוח וברישום עלויות של מוצרים או שירותים עבור יחידת ייצור (מחלקה, קו מוצרים, הזמנה, מוצר וכו'). התמחיר, במסגרתו נערך ניתוח העלויות, מסייע בניתוח שיעורי רווחיות ומהווה בסיס אפשרי לקביעת מחירי המכירה של המוצר או השירות. כל סטארטאפ יודע שעלות המוצר או השירות שלו היא נקודת המפנה החשובה ביותר לעסק והיא זאת שתקבע האם העסק יתקיים או ייפול. תמחיר מסייע גם בקבלת החלטות ניהוליות חשובות כגון החלטות ייצור, ביטול מחלקות או ייצור של מוצרים, קביעת מחירי מכירה, ביצוע השקעות ועוד... לפי מה נקבע מחיר? שאלת התמחיר אינה מתייחסת רק לעלות המוצר. תמחור המוצר ישפיע באופן ישיר גם על מיצובו ותפיסת הערך שלו בעיני הלקוח ויהווה מרכיב מרכזי בקביעת האסטרטגיה העסקית. יש גורמים רבים המשפיעים על החלטתנו: עלות ישירה – כמה חומר גלם ועבודה ישירה הושקעו בייצור? מדובר על עלות המתייחסת באופן ישיר ליחידת מוצר אחת. שינוי בכמות הייצור לא תשנה את העלות הישירה ליחידה. עלות עקיפה - מדובר על עלות שלא ניתן לייחס באופן ישיר ליחידת הייצור. זאת העלות העקיפה של ייצור המוצר. לדוגמא ארנונה, חשמל, רו"ח ועוד... את חישוב העלות העקיפה בתמחיר יש לבצע ע"י מפתחות העמסה מתאימים כמו מספר היחידות המיוצרות, שעות העבודה, צריכת חומרי גלם ועוד. עלות משתנה- עלות משתנה מתייחסת לכל עלות המשתנה מתוקף שינוי בייצור. דוגמא לכך היא עלות חומרי גלם, שכר עובדים אך גם עלויות חשמל יכולות להשתנות עקב שינוי בהיקפי הייצור. עלות קבועה- זאת עלות שלא משתנה גם כאשר היקפי הייצור משתנים. כמו למשל שכר דירה חודשי. במקרה של גידול בכמות הייצור, העלות הקבועה ליחידה תקטן ולהפך. מה עוד חשוב לדעת לפני שנתמחר שאלה מאוד חשובה שניצבת בפני כל יזם היא קביעת שיטת התמחיר. קיימות שלוש שיטות מרכזיות לתמחור: תמחור מבוסס עלויות, תמחור מבוסס מחירי שוק ותמחור מבוסס ערך. בתמחור מבוסס עלויות, מחירו של המוצר נקבע על בסיס עלות הייצור שלו. בתמחור מבוסס מחירי שוק, התמחור הוא לפי מוצרים או שירותים דומים בשוק ובתמחור מבוסס ערך, מחירו של המוצר יקבע בהתאם לערך הנתפס שלו בעיני הצרכן הפוטנציאלי. על ידי מענה על 3 שאלות מרכזיות תוכלו לדעת יותר על שיטת התמחור המתאימה לכם: · האם אתם יודעים להעריך את עלות הייצור המדויקת? · אם מדובר במוצר חדשני – האם אתם יודעים לכמת את הערך המוסף ללקוחות? · האם תוכלו לבצע מחקרי שוק וניתוחי רגישות מעמיקים? כמובן שיש עוד הרבה שאלות לענות עליהם אך תשובה על אלה יכולות לספק נקודות התחלה טובה למדי. הכל שאלה של (ת)מחיר? תמחיר הוא בהחלט חלק עיקרי וחשוב ביציאת מיזם אל השוק, שכן הוא ייקבע את הצלחתו (או כישלונו) של המיזם. העובדה היא כי רק אחד מתוך עשרות סטארטאפים שורד לאורך זמן ובכל זאת, סטארטאפים חדשים נוצרים כל יום. יש לקחת בחשבון כי הקמה של סטארטאפ כרוכה בתהליך ארוך ומורכב הדורש ידע מקצועי בנושאים רבים ושונים, כגון: שיווק, מימון, היבטים משפטיים, הבנה טכנולוגית, מכירות, ניהול צוות ועוד. לכן, לפני שתתאהבו במיזם שלכם בדקו היטב את כל האספקטים וכך תדעו אם החלום שלכם יכול להפוך למציאות. בהצלחה!

תאגיד פירושו התאגדות של יחידים או קבוצות לישות משפטית אחת. תאגיד יכול להיות חברה, עמותה, שותפות, אגודה וכדומה. בישראל 2021 יש אלפי תאגידים. כל תאגיד, מתוקף היותו בעל השפעה על הסביבה נושא באחריות תאגידית, נושא שבשנים האחרונות צבר נושא תאוצה בקרב אירגונים רבים בארץ ובעולם. זוהי גישה אסטרטגית, עצמית וולנטרית המציעה לעסקים לקחת בחשבון מיוזמתם שיקולים חברתיים וסביבתיים בקבלת ההחלטות שלהם על מנת להבטיח הצלחה לאורך זמן. אחריות תאגידית מוגדרת כאופן שבו הארגון מביא בחשבון הוגנות, שיקולים חברתיים, סביבתיים, כלכליים ואתיים בערכיו ובפעילותו, בדרכו להשגת הצלחה עסקית לטווח ארוך. אחריות תאגידית מתייחסת להשפעות הכלכליות, הסביבתיות והחברתיות של הארגון ולוקחת בחשבון את מערכות היחסים שלו עם כלל מחזיקי העניין. אחריות תאגידית מהווה תחום רחב היקף, הכולל בתוכו מרכיבים רבים מעולמות תוכן מגוונים. בין היתר כוללים מרכיבים אלה: דאגה לעובדים ולסביבת העבודה, איכות סביבה וקיימות, שמירה על זכויות העובדים, דיאלוג עם מחזיקי עניין, שותפים ושרשרת אספקה אחראית, אתיקה, ממשל תאגידי, זכויות אדם, מעורבות בקהילה והתנדבות עובדים, פרסום שיווק ושירות לקוחות ועוד. מדוע כדאי לאירגונים לאמץ את גישת האחריות התאגידית? גישת האחריות התאגידית מהווה יוזמה של רגולציה עצמית וולונטרית. הבחירה של אירגונים בהתנהלות אחראית נעשית מתוך הבנה שככל שייאמצו לחיקם התנהלות זו, המתחשבת בכלל הסביבה ובעובדי האירגון עצמם, כך הדבר יתרום לשיפור תוצאותיהם בהיבטים מגוונים, כולל ההיבט העסקי. ניהול סיכונים ארגונים אשר משקללים את שיקוליה אחריות התאגידית מתנהלים באופן שקול ומצמצמים באופן משמעותי את חשיפתם לסיכונים כלכליים, סיכונים הנגרמים לסביבת העבודה וסיכונים סוציאליים. הדבר יכול לבוא לידי ביטוי בהפחתה בתביעות המשפטיות, סקנדלים תקשורתיים וכדומה. מוניטין אחריות תאגידית שאותה אירגון מאמץ יכולה להשפיע רבות על תדמיתו של אירגון בעיני הסביבה העיסקית, שותפיו, לקוחותיו, רשויות החוק ועוד. כאשר אירגון מסגל לעצמו התנהלות אחראית, אשר באה לידי ביטוי בדיווחים נגישים וברורים לכל, הדבר מציג את האירגון באור חיובי ותורם למוניטין החיובי שלו לאורך זמן. כך, כאשר המוניטין של אירגון הולך וגודל, האירגון יכול להרוויח ממנוע צמיחה יעיל ומהיר שיישרת את האירגון לאורך זמן רב, יתרום להגדלת הריווחיות ומסת הלקוחות. התייעלות, צמצום וחסכון לפעולות הננקטות לטובת האחריות התאגידית קיימות תוצאות רבות בתחומי ההתייעלות והחיסכון במשאבים. אחריות סביבתית תורמת לשמירה על הסביבה ומאפשרת לאירגון לחסוך במשאבים כמו נייר, מים, אנרגיה וליישם תרבות אירגונית חסכונית ומתחשבת בקרב כלל העובדים. שביעות רצון וגאוות עובדים מקומות עבודה כיום אינם רק מספקים את הפונקציה של מקום עבודה מתגמל לעובדיה. רבים מהעובדים, ובראשם עובדים המהווים את דור הY, מעוניינים לעבוד במקום שמספק להם משמעות וערך מוסף. מחקרים מראים כי אירגונים המאמצים אחריות תאגידית מבוקשים יותר כמקומות עבודה. למשל, התנדבות עובדים לא רק תורמת לקהילה, אלא בראש ובראשונה תורמת לתחושת הסיפוק העצמי של העובד ולגיבוש של העובדים המתנדבים יחד. חדשנות ולמידה הטמעת אחריות תאגידית בחברה פירושה שיפור זרימת המידע באירגון, הטמעה של רעיונות חדשים ושיפור התקשורת האירגונית. חוק הגנת הפרטיות לצד אחריות תאגידית את האירגון סובבים חוקים ותקנות מכל הסוגים: חובת גילוי נאות, חוק החברות, חוק הביקורת הפנימית, פקודת הבנקאות, חוק העמותות, חוק הפיקוח על שירותים פיננסיים, פקודת העיריות, חוק הגנת הפרטיות ועוד. מכוח חוק הגנת הפרטיות נובעות תקנות הגנת הפרטיות. תקנות אלו מטילות על כל מי שמחזיק במאגר מידע חובות בתחום אבטחת המידע. התקנות חלות על כל גוף בישראל המחזיק, מנהל או שבבעלותו "מאגר מידע", והמכיל סוגי "מידע" - כהגדרתם בחוק הגנת הפרטיות, תשמ"א -1981. התקנות מפרטות את אופן יישום חובת אבטחת המידע המוטלת בחוק הגנת הפרטיות על כל גורם המנהל או מעבד מאגר מידע אישי וקובעות דרישות מהותיות ומנגנונים אירגוניים. מטרת העל של דרישות אלה היא יישום אבטחת מידע כחלק משגרת ניהול הארגון. התקנות חלות באופן גורף ומחייב על כל פעילות של עיבוד מידע אישי הכפופה לחוק הישראלי בכל מגזרי המשק: ציבורי ופרטי כאחד. בנוסף לפעולות הנדרשות מכוח החוק, אירגונים יכולים לסגל לעצמם פעולות נוספות בתחום אבטחת המידע והגנת הפרטיות שלא נובעות מכורח החוק אך יכולות להיות יעילות לאירגון המאמץ אותן. עשויים להיות מצבים בהם יישום דווקני של הוראות החוק יביא למצב בו באופן מהותי חברה אינה מגינה על פרטיות מחזיקי העניין. לדוגמא: פנתה אלינו עמותה המחזיקה במידע מאד רגיש אודות ילדים בעלי צרכים מיוחדים, אולם בהתאם להגדרות התקנות העמותה נדרשת לעמוד ברמת האבטחה ה"בסיסית" בלבד. יישום דווקני של הוראות החוק במקרה זה היה מביא למצב בו פרטיהם הרגישים של הילדים לא היו מוגנים מספיק. לכן, אימוץ אחריות תאגידית בהיבט זה תביא להידוק האבטחה על פרטי הילדים. בנוסף, חלק מהתפיסה של אחריות תאגידית, כפי שהובא לעיל, עוסקת באחריות התאגידים כלפי כלל מחזיקי עניין, דיני הגנת הפרטיות עוסקים בהגנה על הישויות נושאות המידע, אולם, ניתן לחשוב על מצבים בהם חשיפה של פרטי יישות תביא לפגיעה במחזיק עניין אחר, עמו אין לתאגיד "חזית ישירה" לכן, חברה המאמצת כללים של אחריות תאגידים צריכה לבחון את היבטי אבטחת המידע גם ביחס לצדדים שלישיים, אשר אינם חלק אינטגרלי מתוך המאגרים של אותו ארגון. לדוגמא: ארגון הרושם את פרטיו האישיים של אדם, ובמסגרת זו נרשמים שמות ההורים, וכן העובדה כי אותו אדם אומץ. חשיפה של מידע זה עשויה לגרום לפגיעה לא רק באותו אדם אלא גם בהוריו המאמצים (שאינם מהווים, בהכרח, יישות באותו מאגר) ואולי אף בהוריו הביולוגים של אותו אדם. לסיכום, אין ספק כי תחום הגנת הפרטיות מכיל חוקים ותקנות רבים. הפרת תקנות חוק הגנת הפרטיות עלולה להביא להטלת סנקציה מצד הרשות, לרבות ביטול אישור ניהול המאגר (רישומו בפנקס המאגרים) ופירסום ההפרה לציבור. כמו כן, עלולה ההפרה להיות בסיס לתביעות אזרחיות, ייצוגיות ואחרות. מקובל לחשוב כי רגולציה מייצרת סביבה נורמטיבית המעודדת ציות, יכולה לקדם הרתעה של מפרים פוטנציאלים ועשויה לתמרץ אימוץ פרקטיקות סביבתיות מתקדמות. אך במקביל לחוק היבש, אירגונים רבים רוצים להנות מיעילות ופרודקטיביות מוגברת עקב אימוץ סטנדרטים חדשים של טיפול בנושאי הפרטיות ולכן מאמצים פעולות שונות בכדי להגביר את המודעות והפעולות למניעת פגיעה בפרטיות. לכן, שילוב של הגנת הפרטיות עם עולם האחריות התאגידים מחייב התבוננות רחבה הרבה יותר. ניכר כי כיום חשוב לאירגונים לשתף את בעלי העניין השונים ולעשות ככל שביכולתם כדי להנגיש את המידע בדרך הטובה ביותר וזאת מהאמונה כי שקיפות והגינות מייצרים שביעות רצון של כל מחזיקי העניין, ומובילים להצלחה עסקית. המאמר נכתב ע"י עו"ד מיכאל גילינסקי, ראש מחלקת רגולציה והגנת הפרטיות בחברת אודיט בקרה וביקורת.

חוק איסור הלבנת הון מתפקד כחוק בסיסי ביותר במדינת ישראל בתחום הפיננסים. הוא נחקק כבר בשנת 2000 ובחקיקתו הצטרפה ישראל למדינות השותפות למאבק הבינלאומי בתחום המיגור ומניעת הלבנת הון. מטרת החוק היא הענקת כלים נוספים לרשויות האכיפה כדי להיאבק בפשיעה החמורה והמאורגנת. כל זאת בחתירה לקיום הסטנדרטים הבינלאומיים כפי שנקבעו על ידי אירגון FATF (Financial Action Task Force). אירגון זה הוא גוף בין-ממשלתי בינלאומי האמון על פיתוח וקידום מדיניות עולמית ושיתופי פעולה בינלאומיים במאבק בהלבנת הון ובמימון הטרור. נותני שירותים פיננסיים וחוק איסור הלבנת הון חוק הפיקוח על שירותים פיננסיים נועד למנוע הלבנת הון, תהליך בו מוטמע רכוש שמקורו בביצוע פשיעה בתוך המערכת הפיננסית הלגיטימית והמוסדרת, כדי שיהיה ניתן להשתמש בו ללא חשש מרשויות האכיפה. הלבנת ההון בעולם ובישראל מתבצעת בדרך כלל דרך נותני שירותי מטבע ונותני שירותים פיננסיים במגוון דרכים שנועדו להסוות את מקור הכסף הכוללות העברות בין לאומיות מחוץ למערכת הבנקאית, המרות מטבע וניכיון צ'קים. אי לכך, נותני שירותים פיננסיים כפופים לחוקים רבים ופעילותם מותנית בציות לחוקים רבים. נותני שירותים פיננסיים היו כפופים בעבר לחוק איסור הלבנת הון, ומכוחו פורסם צו איסור הלבנת הון. כאשר נחקק בשנת 2016 חוק הפיקוח על שירותים פיננסיים, הוא נעשה האסדרה המרכזית. כאשר נכנס חוק הפיקוח לתוקפו, ההגדרה של "שירות בנכס פיננסי" כללה גם את המונח "שירותי מטבע" ואת נותני שירותי המטבע, כפי שהוגדר בחוק איסור הלבנת הון. כמו כן, ההגדרה כללה גם את כל הפעולות והשירותים הנעשים בנכסים פיננסיים דרך עיסוק, שאין בהם מתן אשראי, ביניהם גם מטבע וירטואלי, כגון ביטקוין, מונרו ועוד. בין נותני השירותים הפיננסיים ניתן למצוא: · שירותי ניכיון צ'קים · חברות השקעות · חברות מימון · שירותי מימון (הלוואה לכל מטרה) · נותני שירות במטבעות קריפטוגרפיים כמוביטקוין, קריפטו וכדומה · מספקי שירות להמרת מטבע חוץ · העברות כספים בינלאומיות · ספקי אשראי חוץ בנקאי · מפיצי כרטיסים נטענים, ארנקים אלקטרוניים ומאגדים (פרי-פייד) · חברות אשר מספקות שירותי הלוואות חברתיות ענישה הסקטור הפיננסי מתפקד כ"שומר סף", אשר בפעולתו מעמיד קשיים על מלביני ההון להטמיע כספים במערכת הפיננסית ולנצל אותה לצרכי פעילותם, וכדי לאפשר לרשויות האכיפה חקירה יעילה ותכליתית של עבירות הלבנת הון, אם נעשו כבר. החוק מעמיד סנקציות חריפות המוטלות על מפיריו. החוק קובע כי הלבנת הון נחשבת הפרה ומהווה עבירה פלילית שעונשה נע בין 5 ל-10 שנות מאסר. סעיף 3(א) בחוק איסור הלבנת הון קובע מה נחשבת עבירה מרכזית של "הלבנת הון": עשיית פעולה ב"רכוש אסור" במטרה להסתיר או להסוות את מקורו, את זהות בעלי הזכויות בו, מיקומו, תנועותיו או את עשיית הפעולה בו. "רכוש אסור" הוגדר בחוק כרכוש שמקורו במישרין או בעקיפין בעבירת מקור (עבירות המכונות "עבירות מקור", מפורטות בתוספת הראשונה לחוק, וכוללות שוחד, רצח, הימורים, מימון טרור ועוד), או ששימש או שאפשר ביצוע עבירת המקור, או שהיה מעורב ברכוש כאמור לעיל. העונש בגין עבירה זו הינו עד 10 שנות מאסר. סעיף 4 לחוק קובע את האיסור לעשיית פעולה ברכוש אסור (שמקורו בעבירה) בשווי העולה על סכום של 150,000 שקלים. העונש בגין עבירה זו הינו עד 7 שנות מאסר. לסיכום, ישראל פעלה ועדיין פועלת למיגור תופעת הלבנת ההון. להלבנת השלכות כלכליות תדמיתיות ורבות ולכן הפיקוח בנושא זה הפך ליעד חשוב בחוק הפיקוח על שירותים פיננסיים. אך למרות זאת, לא כל נותני השירותים הפיננסיים מודעים לחובות ולחוקים החלים עליהם ולעיתים מפירים את החוק מחוסר ידיעת החוק. לכן, חשוב לבדוק מהן התקנות והחוקים ולדעת על מי בדיוק הן חלות בכדי להימנע מנזק כלכלי ותדמיתי. משרדנו מספק שירותים למגוון רחב של ארגונים וחברות, ומתמחה בשירותים בתחום הציות והרגולציה וביצירת התשתית המשפטית הנדרשת לפעילות פיננסית. במסגרת זו, אנו מספקים שירותים בתחום איסור הלבנת הון לגורמים מתחומים שונים, אשר חלות עליהן הוראות מכח צו איסור הלבנת הון. בין לקוחותינו חברות שונות כגון חברות ביטוח, חברי בורסה, חברות מנהלות של קופות גמל, מנהלי תיקים, עורכי דין, חברות אשראי, חברות לניכיון צ'קים, חברות מימון ועוד. צרו קשר עוד היום עם עו"ד לענייני רגולציה, מיכאל גילינסקי. מייל: michaelg@audit-fa.co.il טלפון נייד: 052-4326617

מבקר פנים הוא בגדר חובה ע"פ חוק לחברות ולגופים רבים. כל גוף ציבורי, לרבות חברה ציבורית, חברה לתועלת הציבור וחברה פרטית שהיא חברת איגרות חוב, חייב ע"פ חוק בקיום ביקורת פנימית המבוצעת ע"י מבקר פנים חיצוני לחברה. תפקידם של המבקרים הפנימיים ומחלקות הביקורת הפנימית בארגונים הוא לסייע להנהלת הארגון בזיהוי וניהול סיכונים, בייעול תהליכים, בשיפור התרבות הארגונית ועמידה בדרישות הרגולציה. תפקידם של המבקרים הפנימיים ומחלקות הביקורת הפנימית בארגונים הוא לסייע להנהלת הארגון בזיהוי וניהול סיכונים, בייעול תהליכים, בשיפור התרבות הארגונית ועמידה בדרישות הרגולציה. ביקורת פנימית מהווה פעילות בלתי תלויה ואובייקטיבית של הבטחה וייעוץ, אשר מיועדת להוסיף ערך ולשפר את פעילות האירגון. היא מסייעת לארגון להשיג מטרותיו, ע"י שימוש בגישה שיטתית וממוסדת, לשם הערכה ושיפור האפקטיביות של תהליכי ניהול סיכונים, בקרה, פיקוח ושליטה. בדיקת תקינותן של פעולות הארגון מבחינת שמירה על החוקים, על הניהול התקין, על טוהר המידות ועל חיסכון ויעילות. על מנת לעמוד באתגרים הניצבים בפני המבקרים הפנימיים, עליהם להיות בעלי ידע מעמיק ומקצועי בתחומים רבים ולספק פתרונות בקרה יצירתיים אשר יעניקו לאירגון המבוקר ערך מוסף ויתרון תחרותי. בעת עבודתו, על אף העובדה כי הוא כפוף להנהלת החברה, ועל מנת לשמור על האינטרס הציבורי ועל האינטרס של מקבלי השירותים מהגוף המבוקר ו/או המשקיעים בו, על מבקר הפנים לפעול באובייקטיביות מלאה, ונאמנותו צריכה להיות בראש ובראשונה לחוק. "שומרי הסף" של החברה, ביניהם מבקר פנים ורו"ח מבקר, זוכים ברמת אמינות גבוהה מהרשות לניירות ערך, וזאת בזכות העובדה כי הם משתמשים כגוף חיצוני לאירגון ולכן יש להם תמריץ קטן יותר להטעות את המשקיעים. תפקידי המבקר הפנימי ע"פ חוק · חוק החברות, סעיף 151: בדיקת תקינותן של פעולות החברה מבחינת השמירה על החוק ונוהל עסקים תקין. על פי החוק, המבקר הפנימי יבדוק את תקינות הגוף המבוקר בהיבטים של: פעילות הגוף, מנהל תקין, טוהר מידות, שמירה על החוק, חסכון ויעילות, עמידה ביעדים. · חוק הביקורת הפנימית, סעיף 4, מפרט על תפקידיו הנוספים של מבקר פנים: (1) המבקר הפנימי יבדוק אם הפעולות של הגוף הציבורי שבו הוא משמש מבקר ושל נושאי משרה וממלאי תפקידים באותו גוף תקינות, מבחינת השמירה על החוק, על הניהול התקין, על טוהר המידות ועל החסכון והיעילות, ואם הן מועילות להשגת היעדים שנקבעו להן; (2) אם מקוימות ההוראות המחייבות את הגוף הציבורי; (3) את ניהול הנכסים וההתחייבויות של הגוף הציבורי, ובכלל זה את הנהלת החשבונות שלו, וכן את דרכי שמירת הרכוש, והחזקת הכספים והשקעתם; (4) אם ההחלטות בגוף הציבורי נתקבלו על פי נהלים תקינים; (5) אם הגוף הציבורי הוא גוף מבוקר כאמור בפסקה (1) או (3) להגדרת גוף ציבורי שבסעיף 1 (להלן – גוף מבוקר) – את תיקון הליקויים שעליהם הצביע מבקר המדינה. (ב) המבקר הפנימי יערוך את הביקורת על פי תקנים מקצועיים מקובלים. חוקים המחייבים במינוי מבקר פנים ניתן לומר כי ברוב המקרים מינוי מבקר פנים נעשה מכורח חובת החוק אשר דורש זאת. לפניכם רשימת החוקים, הסעיפים ופירוטם בהם מופיעה החובה החוקתית למנות מבקר פנים: חוק החברות, התשנ"ט 1999 – בפרק רביעי של חוק החברות מפורטת חובת מינוי מבקר פנימי בחברה ציבורית ובחברה פרטית שהיא חברת איגרות חוב. חברות רבות נדרשות למינוי מבקר פנים, כולל חברות העומדות לפני הנפקה בבורסה. על פי החוק, תפקידו של מבקר הפנים לבדוק, בין היתר, את תקינותן של פעולות החברה מבחינת השמירה על החוק ונוהל עסקים תקין. חוק הביקורת הפנימית, התשנ"ב 1992 – חוק הביקורת הפנימית מחייב ביקורת פנימית בכל גוף ציבורי, המוגדר בחוק בצורה רחבה ביותר. החוק מחייב מינוי מבקר פנימי בחברות לפני הנפקה בבורסה, חברות ציבוריות, ממשלתיות, עירוניות, בחברות לתועלת הציבור ובשורה ארוכה של חברות ותאגידים השייכים למוסדות אקדמיים ולגופים פרטיים שונים. על פי חוק זה המבקר הפנימי יבדוק, בין היתר, אם הפעולות של הגוף הציבורי שבו הוא משמש מבקר ושל נושאי משרה וממלאי תפקידים באותו גוף תקינות, מבחינת השמירה על החוק, על הניהול התקין, על טוהר המידות ועל החסכון והיעילות, ואם הן מועילות להשגת היעדים שנקבעו להן; אם מקוימות ההוראות המחייבות את הגוף הציבורי; את ניהול הנכסים וההתחייבויות של הגוף הציבורי, ובכלל זה את הנהלת החשבונות שלו, וכן את דרכי שמירת הרכוש, והחזקת הכספים והשקעתם; אם ההחלטות בגוף הציבורי נתקבלו על פי נהלים תקינים; ועוד. חובת מינוי מבקר פנים חלה על גופים ציבוריים וממשלתיים כאחד. חוק החברות הממשלתיות, תשל"ה -1975 - על פי חוק זה, חברה ממשלתית הינה חברה שיותר ממחצית כוח ההצבעה באספותיה הכלליות או הזכות למנות יותר ממחצית מספר הדירקטורים שלה הם בידי המדינה או בידי המדינה יחד עם חברה ממשלתית או חברת בת ממשלתית. סימן ג' בחוק החברות הממשלתיות מפרט כי "הדירקטוריון של חברה ממשלתית ימנה לחברה מבקר פנימי, זולת אם אישרה הרשות שהקף פעולות החברה או אופיין אינו מחייב מינוי של מבקר פנימי." פקודת הבנקאות 1941 – תיקון מספר 17 בפקודת הבנקאות מפרט כי "דירקטוריון של תאגיד בנקאי ימנה מבקר פנימי לתאגיד על פי הצעת ועדת הביקורת של הדירקטוריון. המבקר הפנימי יבדוק, בין היתר, את תקינות הפעולות של התאגיד הבנקאי מבחינת השמירה על החוק, השמירה על טוהר המידות, השמירה על החסכון והיעילות והשמירה על נוהל בנקאי תקין, וכן יבדוק האם מקוימות הוראות המפקח על הבנקים." חוק העמותות – ע"פ סימן ג': ועדת ביקורת, רואה חשבון ומבקר פנימי, כל עמותה/חל"צ שמחזורה מעל 10 מיליון ש"ח נדרשת למנות מבקר פנים. ביקורת פנימית בעמותות הנעשית ע"י מינוי מבקר פנים משמשת ככלי נוסף לחיזוק הבקרה הפנימית בעמותה. תפקיד הביקורת הפנימית אינו זהה לתפקידי וועדת הביקורת/הגוף המבקר אותם צריך להעסיק האירגון גם ע"פ חוק ועל כן לא ניתן למנותו במקומם. המבקר הפנימי ימונה על-ידי הוועד המנהל בהסכמת וועדת הביקורת שתבחן את תוכנת העבודה שלו, כאשר יו"ר הוועד המנהל וכן וועדת הביקורת רשאים להטיל על מבקר הפנים לערוך ביקורת פנימית בנוסף על תוכנית העבודה. חוק הפיקוח על שירותים פיננסיים (ביטוח) – בסעיף 41ג לחוק זה הוחלו על חברת ביטוח הוראות סעיפים 146-153 לחוק החברות, דהיינו ההוראות המחייבות מינוי מבקר פנים. חוק הפיקוח על שירותים פיננסיים (קופות גמל) – סעיף 10 לחוק זה מטיל על חברות מנהלות של קופות גמל (גמל, השתלמות וקרנות פנסיה) את החובות החלות על מבטח לעניין האורגנים, ובכללם מינוי מבקר פנים. פקודת המועצות המקומיות – סעיף 13ה, מפרט את תחולת הוראות הביקורת הפנימית: "(א) הוראות סעיפים 167(ב) עד (ד), 167א, 170א(א) עד (ד), 170ב, 170ג, 170ג1 ו-334א לפקודת העיריות, יחולו לענין מבקר מועצה מקומית (בסעיף זה – מבקר), בשינויים המחויבים, ואולם השר רשאי לקבוע בצו הכינון כי מבקר יכהן במשרה חלקית בהתחשב במספר התושבים והיישובים במועצה המקומית, ובהיקף תקציבה של אותה מועצה מקומית; השלמת משרה תהיה בכפוף להוראות סעיף קטן (ב)."על פי חוק זה ניתן להבין עד כמה מבקר פנים ברשות מקומית מתפקד כפונקציה חשובה. פקודת העיריות - (מעודכן עד תיקון מס' 80 מיום 14.01.02) כמו כן, מתייחס סעיף 167(ב) לפקודת העיריות, למצב בו מועצה שא מינתה מבקר ומפרט: "(א) מועצה שלא מינתה מבקר, (ב) לא מילאה המועצה אחרי הצו תוך הזמן האמור, רשאי הממונה למנות מבקר לעיריה ולקבוע את שכרו. כמו כן חלות על העיריות תקנות העיריות המתייחסות לדו"ח מבקר העירייה, מכרזים, וספירות מלאי. חוק השקעות משותפות בנאמנות – סעיף 99, הנקרא "מינוי רואה חשבון וחובותיו", מחייב מינוי מבקר פנים בחברות מנהלות של קרנות נאמנות. חוק הסדרת העיסוק בייעוץ השקעות, שיווק השקעות וניהול תיקי השקעות – ע"פ סעיף 24, על חברת ניהול תיקים גדולה למנות מבקר פנים. חוק תאגידי מים וביוב – (תיקון מס' 6) תשע"ג-2013 קובע כי "כל עוד החברה היא חברה בשליטת רשות מקומית, יחולו עליה הוראות חוק הביקורת הפנימית..." נוהל לתאגידי אפוטרופסות ולאפוטרופסים מקצועיים - שפרסם משרד המשפטים קובע בסעיף 79(ה) כי תאגיד הממונה כאפוטרופוס על יותר מ-500 אנשים, או המחויב לכך לפי כל דין, יעסיק מבקר פנים. מהם תנאי הכשירות לתפקיד מבקר פנים? קיימים 5 תנאים בסיסיים בהם חייב לעמוד מבקר פנים בכדי לתפקד: · יחיד · תושב ישראל · לא הורשע בעבירה שיש עמה קלון · בעל תואר אקדמי או שהוא עורך דין או רואה חשבון · בעל ניסיון במשך שנתיים בעבודת ביקורת, או שהשתתף בהשתלמות מקצועית שאושרה על ידי הגורמים. ואולם, ניתן להעסיק מי שאינם בעלי הניסיון הנדרש ממבקר פנימי, ובלבד שמספרם לא יעלה על שני שלישים ממספר המועסקים בביקורת פנימית. באחריות מבקר פנימי לבדוק ולוודא את קיום התנאים כאמור. לפירוט בנושא כנסו למאמר כיצד לבחור מבקר פנים. לסיכום, אין ספק שמבקר פנים הוא בעל חשיבות עליונה לכל אירגון, ותפקידו הוא לשמור על הסדר הקיים, למנוע מעילות והפסדים לחברה ולשמור עלייה יעילה ומתפקדת בזמני שיגרה וחירום. אודיט בקרה וביקורת מעמידה לשירותכם את מבקרי הפנים המנוסים והמקצועיים ביותר. עם ניסיון של למעלה מעשור כמבקרי פנים יש לנו את הידע המעשי והתיאורטי כדי לבצע את עבודת ביקורת הפנים הארגונית בצורה הטובה ביותר עבור האירגון שלכם. פנו אלינו עוד היום לקביעת פגישת ייעוץ ללא כל התחייבות

חברה ציבורית, או "חברה נסחרת" היא חברה הציעה את מניותיה לציבור בבורסה לניירות ערך. חברה ציבורית נחשבת לתאגיד מדווח מכוח חוק ניירות ערך, ולכן היא מפוקחת על ידי רשות ניירות ערך וכן חלות עליה חובות דיווח המבוצעות באמצעות מערכת גילוי נאות של הרשות לניירות-ערך. חשוב לדעת, כי גם תאגידים שהנפיקו אגרות חוב לציבור באמצעות הבורסה לניירות ערך מוגדרים כ"תאגיד מדווח" וחלק מן החיובים המוטלים על חברה ציבורית חלים גם עליהם. חובות הדיווח של חברה ציבורית כוללות שלושה סוגים עיקריים של דיווחים: דו"ח תקופתי המוגש פעם בשנה, דו"ח רבעוני המוגש פעם בשלושה חודשים ודו"ח מיידי המוגש בהתאם לאירוע מהותי שהתרחש בחברה. בדרך כלל, קיים מצב בו יש מעט בעלי מניות המחזיקים חלק ניכר ממניות החברה או חלק המקנה שליטה (בעלי שליטה), וכל שאר המניות מוחזקות על ידי בעלי מניות מקרב הציבור. מצב זה יוצר מצב בו יש לבעלי השליטה השפעה וכוח רב המאפשרים להם פעמים רבות ליצור רוב מוחלט או יחסי באסיפות הכלליות. יתר על כך, בעלי השליטה ממנים את הדירקטורים ומציעים את מינויים של הדירקטורים החיצוניים ולכן גם בקרב חברי הדירקטוריון יש להם יתרון. לרוב, בעלי המניות מן הציבור (למעט מניות המוחזקות באמצעות הגופים המוסדיים – קרנות נאמנות, קרנות הפנסיה, חברות הביטוח וקופות הגמל), אינם נוכחים באסיפות הכלליות, ולכן גם אם מספרם רב, הרי שכוחם מצומצם: הם מפוזרים, מתחלפים מדי יום, ואדישים בנוגע לאופן ניהול החברה. לרוב, מסתכם האינטרס של בעלי המניות מן הציבור ברצון לתשואה על המניה בטווחים קצרים ולאו דווקא באופן ניהול החברה הציבורית בטווח הארוך. על סמך פרטים אלה על חברה הנסחרת בבורסה חלים חוקים ותקנות רבים, ביניהם הצורך למנות מבקר פנים, אשר לאור הנסיבות הוא צורך חשוב ובעל משמעות רבה מאוד לחברה ולציבור המשקיעים. איזה חוקים חלים על חברה ציבורית? חוק החברות הוא החוק הראשי אשר חברה ציבורית צריכה להסתמך עליו. בתוך חוק החברות קיימת הפנייה לחוק הביקורת הפנימית אשר מפרט את נושא הביקורת הפנימית, מונה את התנאים לבחירת מבקר פנים ועוד. פרק רביעי בחוק החברות: מבקר פנימי בחברה ציבורית ובחברה פרטית שהיא חברת איגרות חוב על פי חוק החברות, פרק רביעי, תיקון מספר 17, קיימת חובת מינוי מבקר פנימי: "דירקטוריון של חברה ציבורית או של חברה פרטית שהיא חברת איגרות חוב ימנה מבקר פנימי; המבקר הפנימי ימונה לפי הצעת ועדת הביקורת". כמו כן, "לא יכהן כמבקר פנימי בחברה מי שהוא בעל ענין בחברה, נושא משרה בחברה, קרוב של כל אחד מאלה, וכן רואה החשבון המבקר או מי מטעמו". חוק החברות מפנה ומציין את חוק הביקורת באותו סעיף ומציין כי "על המבקר הפנימי יחולו הוראות סעיפים 3(א), 4(ב), 8 עד 10 ו-14(ב) ו-(ג) לחוק הביקורת הפנימית, תשנ"ב–1992, כפוף ליתר הוראות פרק זה, ובשינויים המחויבים לפי העניין." ביצוע ביקורת פנים מתבסס על שיטת עבודה סדורה שבמסגרתה מתבצע תיאום בין כלל הדרישות הרגולטוריות המוטלות על החברה, הקצאה יעילה ואפקטיבית של אמצעים, ייעול ופישוט תהליכים, ומתן אפשרות להנהלת החברה להתמקד בליבת העשייה. חובות החלים על מנהלי חברה ציבורית חברה ציבורית חייבת לשתף את הציבור הרחב בהחזקות של מניותיה ולכן חלות עליה הוראות חוק מיוחדות וכללי ניהול קפדניים מכוח חוק החברות וחוק ניירות ערך: · חובה למנות מבקר פנימי. · בדירקטוריון חובה למנות ועדת ביקורת וועדת תגמול. · בדירקטוריון חובה שיהיו חברים לפחות שני דירקטורים חיצוניים (דח"צים). · בדירקטוריון חובה שימונו דירקטורים בני שני המינים. · חובה למנות מנכ"ל וניתן למנות מנכ"לים משותפים. · חובה למנות יו"ר לדירקטוריון. · ניתן לעשות שימוש במנגנון הצבעה בכתב והודעות עמדה על מנת לשתף את בעלי המניות מן הציבור בהחלטות באספה הכללית. · כללי ממשל תאגידי מומלצים לאימוץ בחברה ציבורית. · עסקאות עם בעלי עניין יאושרו בדרך המאפשרת ביקורת על בעלי השליטה תוך דרישה להצבעה של בעלי המניות מן הציבור. סיבות להנפקת חברה בבורסה הסיבה הראשית והמתבקשת היא כמובן, כסף. חברות המנפיקות עצמן בבורסה יכולות להרוויח הרבה מאוד כסף בזמן קצר. אם החברה בעלת מוניטין ומוכרת בשוק, ההתבססות על הרווחים נובעים גם מהתשואה אשר תפיק המניה. סיבה נוספת – פירסום מסיבי וכבוד שבהם מתהדרת כל חברה המונפקת בבורסה. האם לפני הקנייה אפשר למצוא הערכה לגבי החברה? כאשר חברות נסחרות בבורסה, הן עוברות בחלק מן המקרים הערכות ע"י אנליסטים אשר תפקידם הוא להעריך האם ההשקעה בחברה טובה או לא, האם המחיר כרגע זול או יקר ביחס לשווי המוערך על ידם והאם הוא ימליץ עליה לקנייה או מכירה. בהנפקת חברה הדבר יותר מסובך כי החברה מגיעה לבורסה ללא שקיים לגביה מידע היסטורי ציבורי מה שעלול להקשות על האנליסטים, לכן במקרה זה האנליסטים מסתמכים בהנפקות על נתונים כמו המודל העיסקי של החברה, מה מצב המתחרים, קצב הגדילה בשנים האחרונות ומה יעדיה בעתיד. לסיכום, הנפקת חברה בבורסה הוא אירוע מרגש ובעל פוטנציאל ריווחי גדול לבעלי החברה, אך טומן בחובו אחריות לא פחות גדולה ולכן מחובתם של בעלי החברה והדירקטוריון למנות מבקר פנימי אובייקטיבי ובלתי תלוי שתפקידו לפקח על הנעשה בחברה ולשמור על הסדר הטוב. מחפשים מבקר פנים לחברה העומדת לפני או סמוך להנפקה בבורסה? אנו באודיט מבצעים ביקורת פנים בחברות ציבוריות ופרטיות העומדות לפני הנפקה בבורסה והנסחרות בבורסה. עם ניסיון של למעלה מעשור כמבקרי פנים יש לנו את הידע המעשי והתיאורטי כדי לבצע עבודת ביקורת פנים ארגונית בצורה הטובה ביותר. אנו מיישמים הלכה למעשה שיטות עבודה בה המבקר הפנימי מהווה חלק אינטגרלי ובלתי נפרד מהארגון הפועל בשיתוף פעולה וסינרגיה מלאה עם מנהלים, עובדים וחברי הדירקטוריון, תוך ביצוע עבודת ביקורת מקצועית ומעמיקה. מוזמנים לפגישת היכרות ללא כל התחייבות. צרו קשר לכל שאלה או בירור בנושא עם עו"ד מיכאל גילינסקי, ראש תחום רגולציה באודיט בקרה וביקורת. טלפון: 03-5616303 נייד: 052-4326617 מייל: michaelg@audit-fa.co.il

האם גם משרדי עורכי דין זקוקים לחברות ייעוץ ושירותי אבטחת מידע? כמובן שכן. בתקופה האחרונה ובכלל בשנים האחרונות אנו עדים לעלייה מדאיגה של התקפות סייבר בהם מתקפות מסוגים שונים, כאשר הנפוצה מביניהם היא מסוג Ransomware, בה התוקפים מצפינים את המידע הנמצא על גבי מערכות המידע של האירגון, ודורשים בתמורה לשחרור ההצפנה כופר. משרדי עו"ד, מטבע עיסוקם, מחזיקים במידע רגיש על לקוחותיהם על פי חוק הגנת הפרטיות: החל ממידע בריאותי מסווג, מידע כלכלי ופיננסי, מידע על מצב משפחתי נתון או רצוי (לקוחות המעוניינים להתגרש מבלי שהדבר ייוודע לציבור הרחב), פטנטים לפני רישום, מידע על יציאה להנפקה בבורסה, פרטי משקיעים, הסכמי העסקה, חוזים סודיים וכל מידע אחר המוגדר כסודי ומסווג. במאי 2020 התפרסם מחקר שמצא, כי מעל 50% מהתקיפות על משרדי עו"ד כוונו כלפי משרדי עו"ד קטנים ובינוניים משום שאלה נוטים להיות מוגנים פחות ועל כן חשופים יותר לניסיונות פגיעה במידע שאותו הם מחזיקים. רק 20% מכלל הפגיעות כוונו אל משרדי עו"ד גדולים המונים מעל 500 עו"ד. משרדי עו"ד בארץ ובעולם מהווים צומת חשובה באספקת מידע לגורמים חיצוניים. לא פעם משרד עו"ד מסויים עובד בשיתוף פעולה עם משרד עו"ד אחר, וזרימת המידע בין שני הגופים היא אך טיבעית, אך במקביל היא רבה וכוללת את המידע הרגיש ביותר באירגון. חשיפת מידע זה מסכנת את יציבות, תיפקוד ומוניטין האירגון ועלולה להיות הרסנית ביותר, אך ברב הפעמים משרדים אלה אינם מגובים ע"י יועץ אבטחה וניהול אבטחה. לכן על משרדי עורכי דין לעמוד בדרישות אבטחת מידע בסטנדרט המקובל בעולם, והיות שהמידע אינו רק מידע פרטי של אנשים, דרישות הבסיס שבתקנות הגנת הפרטיות (אבטחת מידע) אינן מספקות. ניתן לקבל שירותי אבטחת מידע במיקור חוץ או לשכור יועץ אבטחת מידע בארגון, אך לשירות אבטחת מידע חיצוני יש יתרונות ברורים כמו אובייקטיביות, יעילות גבוהה יותר ובדר"כ יותר אנשי מקצוע שיכולים לחוות דעה או לפעול במצב חירום. מתוך הנתונים עולה כי בארגונים רבים אנשי אבטחת מידע המעריכים את סיכוני שרשרת האספקה אינם ערים לרגישות העבודה מול משרדי עורכי הדין ועל כן זו אינה מגובה בבקרות הספקים הכלולות בנוהלי אבטחת המידע בארגון או שהיא מקבלת חשיבות פחותה מפוטנציאל הסיכון האמיתי שלה לארגון. הנה כמה שאלות שכדאי לשאול: · האם ידועה לכם רמת רגישות המידע שבידכם? · האם הוגדרו נהלים כיצד לשלוח מידע בתוך ומחוץ לאירגון? · האם מידע רגיש באירגון נשמר במקום מאובטח? · האם אתם יודעים כיצד המידע מאובטח? · למי יש גישה למידע? · מהי מדיניות הסיסמאות במשרד שלכם? כיצד ניתן להתגונן מפני אירועי סייבר ולקיים רמת אבטחת מידע גבוהה? טיפים שימושיים למשרדי עו"ד · בכל התקשרות חדשה, יחד עם הסכם שכר הטרחה יש לצרף את דרישות אבטחת המידע ומסמך לחתימה בהתאם. · יש להגביל את האפשרות לחבר התקנים ניידים. · יש צורך באמצעי זיהוי ואימות אשר ימנעו גישה בלתי מורשית ע"י שימוש באמצעים פיזיים וקביעת מדיניות סיסמאות. · יש לבצע בקרה ותיעוד גישה אוטומטי אשר יתעד כל שימוש במאגר בצורה רציפה ועצמאית. יש לשמור את נתוני התיעוד לפחות 24 חודשים. · יש לבצע בכל תקופת זמן ביקורת אבטחת מידע הסוקרת את האיומים הפנימיים שיש לאירגון ואת האיומים החיצוניים. · ביצוע סקר סיכונים הבודק את מערך האבטחה של האירגון, עד כמה הוא מוגן ומהן פירצות האבטחה בו. סקר זה בודק את כל רמות האבטחה במסגרת התהליכים והמערכות הקיימות באירגון, החל מאבטחת המידע הפיזית ועד לאבטחת התשתיות הכוללים את אתרי האינטרנט של האירגון, מערכות הפעלה, רשתות, מאגרי מידע, בסיסי נתונים, ניהול משתמשים והרשאות, תהליכי גיבוי ועוד. · מומלץ להיעזר בעו"ד שתחום התמחותו הוא תקנות הגנת הפרטיות לייעוץ משפטי בנושא יישום התקנות ואבטחת מידע · מומלץ להיוועץ עם יועץ אבטחה לגבי מצב אבטחת המידע של האירגון חשוב לזכור! במקרה של הפרת דרישות החוק בנושא הגנת הפרטיות החוק מטיל אחריות על בעל המאגר, המנהל והמחזיק. יישום התקנות הוא חשוב והוא חייב להתבצע ע"י אנשי המקצוע הנכונים, בין אם מדובר בעו"ד הגנת הפרטיות ובין אם מדובר בחברה המספקת שירותי ביקורת אבטחת מידע, בה ישנה פונקציה של מומחה אבטחת מידע. אודיט בקרה וביקורת מציעה ייעוץ וביקורת אבטחת מידע. משרדנו מתמחה בהכנה, יישום והטמעה של אירגונים לעמידה בדרישות תקנות הגנת הפרטיות. אנו בעלי ניסיון רב ובעבודה מול משרד עו"ד ונשמח לסייע גם לאירגון שלכם להיות ערוך ומוגן.

"הכר את הלקוח" - כך נקראת חובת הבסיס בצו איסור הלבנת הון ומימון טרור (שנכלל בהמשך בתוך חוק הפיקוח על שירותים פיננסיים). הרציונל שבבסיס דרישה זו הינו, כי על נותן השירות להכיר את הלקוח טרום הפעילות ובמהלכה, על מנת שיבין את מהות הפעילות אותה מבצע הלקוח ויוכל לבחון את סבירותה בהיבטי הלבנת הון. האופן בו מיושמת חובה זאת היא מילוי טופס היכרות עם הלקוח/מבקש השירות והחתמתו על טופס זה. חובה זו חלה על נותן שירותים עסקיים ובכללם נותני שירותים פיננסיים. מטרת תהליך זיהוי הלקוח היא לוודא שהגוף נותן השירות יכיר את לקוחותיו ואת פעילותם הפיננסית, את הרקע לפעילותם, את סוג הפעילות הפיננסית שהם מספקים/מבצעים ואת היקפה. כל זאת כמובן, בהתבסס על כלל הסיכונים הגלומים במערכת היחסים על הלקוח. לאחר מילוי הטפסים בתהליך הכר את הלקוח וקבלת המידע הפיננסי הנדרש מהלקוח, על נותן השירותים הפיננסיים (הנקרא בקיצור נש"פ), לבנות פרופיל לקוח ובו תקבע רמת הסיכון שלו בתחום הלבנת הון ומימון טרור, ובהתאמה, ייבצע פיקוח ובקרה על פעילותו. טופס הכר את הלקוח PDF להורדה ניתן למצוא בקישור המצורף. רוצים לקבוע פגישת ייעוץ חינם ולהגן על העסק שלכם? אנו מתמחים בשוק ההון ומעניקים שירותי ייעוץ, בקרת סיכונים וביקורת פנימית לגופים הפעילים בשוק ההון, לרבות בנקים, חברות ביטוח, חברי בורסה, מנהלי קרנות נאמנות, חברות לניהול תיקים, חברות המנהלות קופות גמל, חברות המנפיקות תעודות סל, חברות המנפיקות מוצרים מובנים וחברות נאמנות. מוזמנים לתאם איתנו פגישת ייעוץ ללא התחייבות עו"ד רגולציה מיכאל גילינסקי נייד 052-4326617 | טלפון: 03-5616303 | מייל: info@audit-fa.co.il מתי יש למלא טופס הכר את הלקוח טרם מתן שירות עסקי נדרש נותן שירות עיסקי (פיננסי) לבצע הליך זיהוי והכרת לקוח וכחלק מהליך זה מבקש השירות העסקי נדרש למלא את טופס הכרת הלקוח. חובת זיהוי לקוח שאלון הכר את הלקוח כולל חובה עיקרית לזהות את הלקוח/מבקש השירות בצורה פרונטלית פנים אל פנים. לפיכך, יש לבקש מהלקוח להזדהות באמצעות תעודת זיהוי נוספת מלבד תעודת זהות ולאמת את זהותו מול המרשם המתאים. פרטים חשובים שיש למלא בטופס הכר את הלקוח טופס הכר את הלקוח כולל גם זיהוי הנהנים מהשירות/מהכספים ובעלי השליטה במקרה של תאגיד, וכן בדיקה האם הלקוח/מבקש השירות הוא איש ציבור. כמו כן, קיימת בטופס דרישה לקבל מידע בדבר מקור משאביו הפיננסיים שלגביהם ניתנים השירותים, וביניהם תחום עיסוקו ותפקידו של הלקוח/מקבל השירות, מטרת הפעולה הפיננסית המבוקשת והאם סורב בעבר כאשר פנה לקבל שירות פיננסי מכל עוסק שהוא מסיבות הקשורות בתחום איסור הלבנת הון ומימון טרור. אם מדובר בלקוח תושב חוץ, יש לברר מהי זיקתו לישראל והאם הוא איש ציבור זר. אם מדובר באיש ציבור זר המסווג ברמת סיכון גבוהה ע"י נותן שירותים פיננסיים יש לקבל מידע בגין מקור משאביו הפיננסיים וסוג עסקיו. עיסוק הלקוח במידה ואין ללקוח עיסוק, יש לציין האם הלקוח מובטל, סטודנט, חייל, מקבל קצבת נכות או כל מקרה אחר. במידה והלקוח הוא בעל עסק – יש לציין את סוג עסקיו. מקור הכספים שעמם מבוצע השירות העסקי על סעיף זה לשקף ולפרט את המקורות הכספיים לעיסקה (לדוגמה: משכנתא, הלוואה מצד שלישי, חסכונות, מתנה וכדומה) באופן המאפשר ביצוע הערכת סיכון על-ידי נותן השירות העסקי. תיאור כללי כגון "הון עצמי" אינו מספק, אלא אם מדובר במקרה בו היקף הכספים הנדרש לצורך השירות העסקי מצומצם. כך, במקרה של הקמת תאגיד עלות השירות הנה אגרת רישום חברה. במקרים אלו, ניתן יהיה להסתפק בתיאור כללי בסעיף "מקור הכספים שעמם מבוצע השירות העסקי". פירוט מספק לדוגמא: אין להסתפק ברישום "ירושה" אלא יש לפרט את מקורה הירושה ורצוי לפרט גם פרטים נוספים. במידה והלקוח הוא הצד המוכר בעסקה אין צורך בתיאור מקור הכספים לנכס הנמכר, אך אם יש ברשות הלקוח מידע על מקורות הכספים לעסקה של הצד השני – הקונה, עליו לציין אותם. רוצים לקבוע פגישת ייעוץ חינם ולהגן על העסק שלכם? אנו מתמחים בשוק ההון ומעניקים שירותי ייעוץ, בקרת סיכונים וביקורת פנימית לגופים הפעילים בשוק ההון, לרבות בנקים, חברות ביטוח, חברי בורסה, מנהלי קרנות נאמנות, חברות לניהול תיקים, חברות המנהלות קופות גמל, חברות המנפיקות תעודות סל, חברות המנפיקות מוצרים מובנים וחברות נאמנות. מוזמנים לתאם איתנו פגישת ייעוץ ללא התחייבות עו"ד מיכאל גילינסקי נייד 052-4326617 | טלפון: 03-5616303 | מייל: info@audit-fa.co.il סוג השירות העסקי המתוכנן להיות מבוצע בשביל הלקוח יש לסמן את התיבה הרלבנטית מבין חמש האפשרויות בטופס הכר את הלקוח, שאותו ניתן למצוא בקישור זה: · קנייה, מכירה או חכירה לדורות של נכסי דלא ניידי · קנייה או מכירה של עסק · ניהול נכסי הלקוח ובכלל זה ניהול כספים, ניירות ערך ונכסי דלא ניידי, וכן ניהול חשבונות של לקוח בתאגיד בנקאי או בחבר בורסה, במנהל תיקים, חברת ביטוח וסוכן ביטוח, חברה מנהלת של קופות גמל או בנק הדואר · קבלה, החזקה או העברה של כספים לצורך הקמה או ניהול של תאגיד · הקמה או ניהול של תאגיד, עסק או נאמנות לאחר עידכון טופס הכר את הלקוח תהליך הכר את הלקוח הוא תהליך מתמשך, אותו יש לבצע במהלך זמן מתן השירות/קיום החשבון. קיימים מקרים בהם יש לבצע תהליך חוזר של הכר את הלקוח, ביניהם שינוי בבעלות החשבון, שינוי מיופה כוח/מורשה חתימה, נהנים, בעלי שליטה (במקרה של תאגיד) או כאשר מתבצעת פעילות שאינה עולה בקנה אחד עם הצהרת הלקוח במסגרת תהליך הכר את הלקוח. טופס הכרת הלקוח שאלות נפוצות ש: האם רכישה של חלק מעסק (למשל – רכישה של 20% ממניות חברה) עונה על הגדרת "קנייה או מכירה של עסק" המופיעה בחוק? ​ת: כן. כאשר נרכש או נמכר רק חלק מעסק הדבר מהווה שירות עסקי ומחייב ביצוע הליך של זיהוי והכרת הלקוח. ש: האם שירותי הנהלת חשבונות מהווים שירות עסקי? ת: ​לא. שירות של ייעוץ מס, כולל דיווח לרשויות המס, אינו מהווה שירות עסקי כהגדרתו בחוק. ש: האם לחברה מסונפת או חברת בת של מוסד ציבורי יש לבצע הליך זיהוי כשל מוסד ציבורי? ת: לא, חברה מסוג זה לא זוכה להליך המקל השמור למוסד ציבורי כהגדרתו בסעיף 1 לצו. ​ש: מה נחשב כמוסד ציבורי על פי צו איסור הלבנת הון? ת: כהגדרתו בחוק, "מוסד ציבורי", לפי סעיף 1 בצו איסור הלבנת הון מתייחס אל "משרדי הממשלה, הסוכנות היהודית לארץ ישראל, רשויות מקומיות וכן רשויות, תאגידים או מוסדות אחרים שהוקמו בישראל בחיקוק". לסיכום, אין ספק כי מילוי נכון ומדויק של טופס הכר את הלקוח יכול לחסוך הפרה של החוק, קנסות, פגיעה במוניטין ועוד. אנו באודיט בקרה וביקורת עוסקים ברגולציה של שוק ההון בתדירות יומיומית ומספקים שירות משפטי למגוון חברות במשק, ביניהם נותני שירותים פיננסיים בתחום האשראי, חברות לניהול תיקי השקעות, חברות מנהלות של קופות גמל, חברות ביטוח, מנהלי תיקי השקעות ועוד. נשמח ללוות ולסייע גם לכם בהתאמת העסק להוראות הרגולציה השונות. שימו לב: בעת שיגרת קורונה השירות ניתן גם מרחוק. צרו קשר לכל שאלה או בירור בנושא עם עו"ד רגולציה מיכאל גילינסקי, ראש תחום רגולציה בשוק ההון. נייד: 052-4326617 מייל: michaelg@audit-fa.co.il

מהם עיקרי ומטרת החוק? חוק הפיקוח על שירותים פיננסיים אושר בכנסת ב-18.7.2016 ומהווה רגולציה על שוק הפיננסים שפעל תקופה ארוכה כמעט ללא פיקוח וללא אכיפה (לפני חיקוקו החוק העיקרי היה חוק איסור הלבנת הון). היה מדובר בתעשייה ענפה של נותני שירותים פיננסיים (לשעבר נותני שירותי מטבע) כגון: אשראי לעסקים קטנים ולמשקי בית, ניכיון צ'קים, פקטורינג (רכישת חובות כנגד מימון מיידי), שירותי מטבע חוץ ושירותים נוספים, המוענקים על ידי גופים שאינם בנקים או גופים מוסדיים. תאריך כניסת חוק הפיקוח על שירותים פיננסיים לתוקפו לנותני שירותי אשראי נקבע ליום 1 ביוני 2017, ולנותני שירות בנכס פיננסי נקבע ליום 1 ביוני 2018. החוק קובע כי לא יוכלו נותני שירותי מטבע לתת שירותים אלו ללא קבלת הרישיון החדש של נותן שירותים בנכס פיננסי: אשראי, ניכיונות, המרות מט”ח, העברות, כרטיסי פריפייד וכיו”ב. מטרה אחת של החוק היא לייצר פיקוח לענף שיכול להוות אלטרנטיבה ממשית למערכת הבנקאית ולשירותי המימון של הגופים המוסדיים. מטרה נוספת היא מניעה מגורמים עבריינים לעשות שימוש בענף זה למטרות לא חוקיות. מהו הגוף המפקח על נותני שירותים פיננסיים? הגורם הרשמי האחראי על נותני שירותים פיננסיים מוסדרים הוא אגף שוק ההון ביטוח וחיסכון במשרד האוצר. תפקיד האגף הוא לשמש כרגולטור בעל אחריות פיקוחית בתחומים בהם לא קיימת הסדרה כלל או בתחומים המוסדרים באופן חלקי. האם החוק חל רק על צ'יינגים (חלפני כספים)? נהוג לחשוב כי החוק תקף רק ל"צ'יינג'ים" אולם זוהי תפיסה שגויה. מאחר וההגדרה של "אשראי" רחבה מאוד, כל מי שיש לו פעילות של אשראי מכל סוג חייב לבדוק אם הוא לא נדרש לקבל רישיון. הגדרת "נותני שירותים בנכס פיננסי" היא הגדרה רחבה מאוד ויכולה לכלול בתוכה את העוסקים בתחומים הבאים: · שירותי המרת מטבע · מכירה או פידיון של המחאות נוסעים (הנקראים גם טרבל צ'קס) · קבלת נכסים פיננסיים במדינה אחת כנגד העמדת נכסים במדינה אחרת · החלפת שטרות · שירותי ניכיון צ'קים ושטרי חליפין · שירותי מימון (הלוואה לכל מטרה) · חברות השקעות · חברות מימון · מתן שירות להמרת מטבע חוץ · העברות כספים בינלאומיות · מתן אשראי חוץ בנקאי · מפיצי כרטיסים נטענים, ארנקים אלקטרוניים ומאגדים (פריפייד) · נותני שירות במטבעות קריפטוגרפיים כגון: קריפטו, ביטקוין, לייטקוין, איתריום, בלוקצ'יין, ריפל, מונרו ועוד · שירותי מתן הלוואות חברתיות (שכפופים גם לחוק ההלוואות החברתיות) אני רוצה לקבל רישיון לנותני שירותים פיננסים, מה עליי לעשות? את הגשת בקשה לרישיון נותן שירותים פיננסיים (נש"מ) של אשראי/שירות בנכס פיננסי יש לבצע במערכת המקוונת באתר של רשות שוק ההון. יש צורך לצרף לבקשה מסמכים כגון טופס פרטי מבקש רישיון, מצב חשבון הכולל יתרת חוב ממס הכנסה, מצב חשבון הכולל יתרת חוב ממס ערך מוסף ועוד. השלב הבא הוא בדיקה טכנית כי הבקשה מולאה כראוי, לאחר מכן ייתכן כי תתקבל בקשה להשלמת מסמכים חסרים ולבסוף תתבצע בדיקה סופית של הבקשה. ההחלטה בבקשה לקבלת רישיון תינתן ע"י המפקח בתוך 70 ימים מיום הגשתה. במקרים בהם נדרשים מסמכים נוספים, ההחלטה תינתן תוך 70 ימים מהיום בו הוגשו כלל המסמכים. לאחר קבלת הרישיון נותן מטבע יופיע באתר מאגר נותני שירותי מטבע. אני סוחר במטבעות וירטואליים, האם החוק חל עליי? אכן כן. חוק הפיקוח על נותני שירותים פיננסיים מסדיר את פעילותם של גורמים שונים המספקים שירותים פיננסיים לעסקים, כהגדרתם בחוק, ובכלל זה גם גורמים העוסקים ב"מטבעות וירטואליים" כמו נכסים פיננסיים בצורת מטבעות קריפטוגרפיים כגון קריפטו, ביטקוין, לייטקוין, איתריום, בלוקצ'יין, ריפל, מונרו ועוד. מה הדין במקרה של הפרה של החוק? נותני שירות המפרים את החוק צפויים לסנקציות מנהליות ופליליות. הפרת החוק או פעילות ללא רישיון גוררות הטלת עיצום כספי (קנסות) ומתן שירותים ללא רישיון מהווה עבירה פלילית. מפר החוק יכול להיות גם נושא משרה בתאגיד שהינו נותן שירות פיננסי. מי פטור מציות לחוק הפיקוח על שירותים פיננסיים? קיימת רשימה של גופים הפטורים מציות לחוק הפיקוח על נותני שירותים פיננסיים, ביניהם: · הבורסה לניירות ערך · חברה אשר מעניקה שירותי כספיים מטעם חברת הבת שלה (חברה אשר חברה אחרת מחזיקה בחמישים אחוזים או יותר מן הערך הנקוב של הון המניות המוצא שלה או מכוח ההצבעה שבה או רשאית למנות מחצית או יותר מהמנהלים או את המנהל הכללי שלה) · מבטח (תאגיד הנשלט על ידי המבטח או תאגיד שהמבטח מחזיק ביותר מ- 20% באחד מאמצעי השליטה בו) · חברה שקיבלה רישיון מנהלת · זירת סוחר כפי שמוגדרת בחוק ניירות ערך · חבר בורסה · מנהל תיקי השקעות · מסלקת הבורסה לניירות ערך בתל אביב בע"מ; מסלקת מעוף בע"מ; תאגיד אחר, בשליטת בורסה העוסק בסליקת ניירות ערך. וכמו כן מי שאושר על ידי המסלקה כחבר מסלקה, למעט בנק ישראל · מערכת תשלומים שהוכרזה על ידי הנגיד כמערכת מבוקרת · סולק- בעל רישיון סליקה · תאגיד הנשלט על ידי הסולק או תאגיד שהסולק מחזיק ביותר מ- 20% באחד מאמצעי השליטה בו · תאגיד בנקאי ותאגיד עזר · תאגיד שהוקם על פי הדין · אדם העוסק ברכישת איגרות חוב שהוצעו לציבור על פי תשקיף · מנהל קרן שאושר בידי יושב ראש הרשות לפי סעיף 4 לחוק השקעות משותפות בנאמנות, התשנ"ד-1994 ניתן לצפות בפירוט המלא של פטור מחוק הפיקוח על שירותים פיננסיים בקישור הבא. האם קיים מאגר של נותני השירות הפיננסי המאגד את כולם? כן, קיים מאגר שאותו הקימה רשות שוק ההון, ביטוח וחיסכון, הנקרא "מאגר נותני שירותי מטבע" בו מצויים כלל נותני השירותים הפיננסיים, המאגר נמצא בקישור זה ומאגד את המידע הבא על נש"פים: · שם נותן שירות · מספר מזהה · מספר רישיון · סוג רישיון · סטטוס רישיון – רישיון פעיל/ רישיון פג תוקף/ בקשת הרישיון נדחתה/אישור בקשת הגשה לרישיון · יחיד/תאגיד · כתובת העסק קורונה: מה לגבי פעילות נש"פים בתקופת סגר? האם נותני שירותים פיננסיים נחשבים "חיוניים"? כן, נותני שירותים פיננסיים נחשבים חיוניים. הוחלט לאפשר לבעלי עסקים הפועלים תחת חוק הפיקוח על שירותים פיננסיים (שירותים פיננסיים מוסדרים), תשע"ו-2016, להמשיך ולהפעיל עסקיהם (בכפוף להנחיות משרד הבריאות) גם בתקופת הסגר. רוצים להימנע מנזק תדמיתי וכלכלי? רגולציה בשוק ההון הוא תחום ההתמחות שלנו. חברתנו מספקת שירותי ציות ואכיפה מנהלית, מלווה ומייעצת לגופים פיננסיים הכפופים להוראות החוק, מסייעת להם להתעדכן בחובות הרגולציה השונות ומתאימה את תהליכי העבודה לדרישות הרגולציה המשתנות באמצעות יישום תכנית ביקורת ואכיפה פנימית. נשמח לסייע גם לכם לעמוד בדרישות החוק. השירות ניתן גם בזמן שגרת קורונה וגם בזמן סגר, כשירות חיוני. צרו קשר לכל שאלה או בירור בנושא עם עו"ד מיכאל גילינסקי, ראש תחום רגולציה בשוק ההון. נייד: 052-4326617 מייל: michaelg@audit-fa.co.il