זירות סוחר - בחלק מזירות הסוחר לא בוצע תהליך מקיף של הערכת סיכונים בדגש על שמירת כספי לקוחות

מחויבות הזירה לפעול בנכסי לקוח, חוזי לקוח וכספי לקוח, בזהירות, באמונה ובשקידה.

פעילות הזירה להבטחת שמירה על זכויות הלקוח בנכסיו, בחוזיו ובכספו בזירה.

החזקת נכסי וכספי הלקוח בנפרד מנכסיה ומכספה של הזירה וכן מנכסיהם ומכספם של צדדים הקשורים לה או בעלי עניין בה.

ניהול רישומים וחשבונות המפרידים באופן ברור בין נכסי הלקוח, חוזי הלקוח וכספי הלקוח, כפי שהם מוחזקים לכל לקוח.

קביעת ויישום נהלים להבטחת רישום וניהול נכסי הלקוח, חוזי הלקוח וכספי הלקוח, כדי למנוע ככל האפשר גרימת נזק ללקוח עקב מרמה, כשל או רשלנות.

הפקדת כספי לקוח בחשבון נאמנות לטובת הלקוח וניהולו בתאגיד בנקאי מיד עם קבלתם.

בחודשים פברואר-יולי 2021 נערכה על ידי סגל הרשות ביקורת רוחב אצל זירות הסוחר, בנושא שמירה על כספי לקוחות. מטרת הביקורת הייתה לבחון הלכה למעשה את אופן יישומן של החובות המוטלות על הזירות במסגרת הוראות פרק ה' לתקנות, כמתואר לעיל.חוזר זה נועד לשקף את עמדת סגל הרשות במספר סוגיות אשר התגבשו במהלך הביקורת ויפורטו להלן. מצופה כי הזירות יפעלו ליישום התובנות המוצגות במסמך זה, ולעיגון הפרקטיקות המפורטות בו כחלק מנהלי העבודה.

פרטיו הכספיים של לקוח מוזנים למערכות החברה עם הצטרפותו לזירה, ובמקרה של העברת כספים באמצעות כרטיס אשראי, לאחר ביצוע הליך אימות כנגד אסמכתאות ו/או סולק חיצוני. האפשרות לביצוע שינויים ולעדכון פרטי לקוח (כגון שינוי פרטי חשבון בנק), נתונה לרוב לעובדים ייעודיים בצוות הבק-אופיס. היות שמדובר בגורם סיכון אשר עלול לאפשר הוצאת כספים בלתי מורשית מהזירה ולפגוע באחריות הזירה לשמירה על כספי לקוחות, מצופה כי התהליך ילווה בבקרות אפקטיביות להקטנת התממשות הסיכון.

עם זאת, בבירור שנערך מול חלק מהנהלות הזירות נמצא, כי הן עדכון פרטי לקוחות והן הבקרה על שינויים אלו נערכים על ידי צוות בק אופיס, באופן בו תיתכן זהות בין העובד המעדכן לבין מבצע הבקרה. התנהלות זו מקבלת משנה תוקף במקרים בהם העדכונים נוגעים לשינויים בפרטי חשבונות הבנק של הלקוח, לאור רמת הסיכון הגלומה בשינויי מידע מסוג זה והשלכותיהם האפשריות.

זיהוי והערכת סיכונים

תקנה 2(א)(8)(כו)(2) לתקנות עוסקת בפרטי בקשת זירת סוחר לקבלת רישיון, וקובעת כי לבקשה יצורפו נהלים "שתכליתם להבטיח כי המבקשת מזהה, מודדת, מנהלת ומבקרת את סיכוני השוק, הנזילות האשראי והסיכונים התפעוליים הנוגעים לפעילותה" (ההדגשות אינן במקור).

בנוסף, תקנה 17 לתקנות מחייבת כי הזירה תקבע ותיישם נהלים להבטחת רישום וניהול נכסי הלקוח, חוזי הלקוח וכספי הלקוח, וזאת כדי למנוע ככל האפשר גרימת נזק ללקוח עקב מרמה, כשל או רשלנות.

מיסוד תהליך שיטתי לזיהוי והערכת סיכונים הנובעים מסביבתה העסקית של הזירה ומפעילותה, מהווה שלב מקדים והכרחי לתכנון מיטבי של הבקרות הפנימיות, בנייתן באופן הנותן מענה הולם לסיכונים הגלומים בתהליכי העבודה המהותיים והטמעתן כרכיב אינהרנטי בשגרת הפעילות.

תהליך זה כולל הערכת סיכונים מקיפה בתדירות תקופתית אשר תיקבע על ידי הזירה, באופן שיינתן מענה למכלול סוגי הסיכונים הרלוונטיים, ומצבת הסיכונים המאפיינים את תחום הפעילות תיבחן מחדש. הערכת הסיכונים נדרשת להיות שוטפת ודינאמית, ומשכך מצריכה עדכון שוטף של דירוג הסיכונים והבקרות הקיימות בהתאם למגמות שחלו בשוק העסקי, בתהליכי העבודה בזירה וכדומה.

מסקירת מסמכי המדיניות ונהלי העבודה בזירות עולה, כי בחלק מהזירות לא עוגנה מדיניות לזיהוי, מדידה וטיפול בסיכונים תפעוליים (לרבות סיכוני סייבר) וכן בסיכוני מעילות והונאות, אשר ניהולם מהווה נדבך מהותי במסגרת אחריות הזירה לניהול ושמירה על כספי, נכסי וחוזי הלקוחות בה. מדיניות ניהול הסיכונים שעוגנה התמקדה לרוב בסיכונים פיננסיים ובפרט בסיכוני אשראי, וזאת לאור דרישות הוראות תקנות 21 ו-22 לתקנות.

כמו כן נמצא, כי בחלק מהזירות לא נערך בפועל תהליך מקיף של הערכת סיכונים הכולל התייחסות לכלל סוגי הסיכונים הכרוכים בפעילות הזירה, בדגש על שמירת כספי לקוחות. במקרים בהם נערך סקר סיכונים הלכה למעשה, התדירות שנקבעה לעדכונו עלתה על שנה, בניגוד לפרקטיקות מקובלות בתחום, וכן לא אותרה קביעה ביחס לתדירות הנדרשת לביצוע הליך הערכה מחודש.

כמו כן מצופה כי:

מסמכי מדיניות ניהול הסיכונים בזירות יתייחסו למכלול סוגי הסיכונים הרלוונטיים אליהם חשופה הזירה, לרבות סיכונים תפעוליים, סיכוני סייבר וסיכוני מעילות והונאות.

הנהלת הזירה תפעל לביצוע הערכת סיכונים מקיפה ותקבע כחלק ממסמכי המדיניות את תדירות ביצועה, אופן הטיפול בממצאיה וכן עדכונה השוטף של הערכת הסיכונים, בכפוף לשינויים שחלו בתהליכי הפעילות ו/או בסביבתה העסקית של הזירה.

אי התאמת מטבע חשבון המסחר למטבע חשבון הנאמנות

תקנה 24 לתקנות קובעת כי "הפקדת כספי הלקוח תתבצע לפיקדונות באותו מטבע; אם החברה אינה מחזיקה בפיקדונות כאמור או שפיקדונות החברה אינם תואמים את המטבע שבו מנוהל חשבון הלקוח, תיידע החברה את הלקוח על כך ובדבר העלויות, העמלות והסיכונים הכרוכים בכך" (ההדגשות אינן במקור).

במהלך שנת 2020 שיקף סגל הרשות לזירות את עמדתו בדבר חובת ביצוע המרה יומית של סך היתרה הקיימת בחשבון המנוהל במטבע שאינו מטבע חשבון הנאמנות.

מסקירת דפוסי הפעילות של הזירות בנושא, אותרו הממצאים שלהלן:

שיקוף הפרשי שער ללקוח – חלק מזירות הסוחר מחזיקות בפועל במספר חשבונות נאמנות המנוהלים במטבעות שונים (דולר ארה"ב, ש"ח ואירו). ישנם מצבים בהם חלק מכספי הלקוחות מוחזקים בפועל בחשבונות נאמנות במטבע השונה ממטבע חשבון המסחר, ולקוחות הזירה אינם מיודעים על כך.

במקרים בהם הפקדת הלקוח מבוצעת במטבע השונה ממטבע חשבון המסחר, יומרו בדרך כלל כספי ההפקדה למטבע חשבון המסחר ויבוצע רישום במערכת המסחר במטבע זה, כמתואר בתקנון המסחר. עם זאת, מסקירת חשבונות הנאמנות אשר אינם מנוהלים במטבע חשבון המסחר עולה, כי בחלק מהמקרים לא בוצעה המרה יומית של היתרות בחשבון, ובמקרים אחרים בוצעה המרה עבור יתרה חלקית מסך היתרה המוחזקת בחשבון, כאשר פער זה עלול לגרום להיווצרותם של הפרשי שער הנובעים מהמרה רעיונית של כספי הפקדות ומשיכות ובמקרים מסוימים אף עומד בסתירה להתחייבות הזירה במסגרת התקנון.

יצוין, כי בחלק מתקנוני הזירות ניתן גילוי גנרי על קיומם הפוטנציאלי של הפרשי שער, אולם אלו אינם באים לידי ביטוי בדיווחי הזירה ללקוחותיה, היות שבדוחות אלו יתרת הכספים המדווחת משקפת את זו הקיימת בחשבון המסחר בלבד. משכך, שיקוף הסיכונים ללקוחות הזירה הוא חלקי בלבד ואינו עולה בקנה אחד עם דרישות תקנה 24 לתקנות. בשולי הדברים נציין, כי בחלק מהזירות נמצא שהמצג בתקנון בדבר מטבעות חשבונות הנאמנות היה חלקי ולא שיקף את מכלול החשבונות הקיימים לחברה.

השפעת הפרשי שער על ביצוע התאמה יומית – במקרים בהם לזירה חשבונות נאמנות במטבעות שונים והפקדת הלקוח מבוצעת במטבע השונה ממטבע חשבון המסחר, שינויים בשערי החליפין עשויים לגרור אי התאמה (עודף או גירעון) בשווי היתרות המוחזקות בפועל בחשבון הנאמנות אל מול שווי יתרות כספי הלקוח המשוקפות במערכות המסחר. הדבר אף עלול להקשות על הזירה לעמוד בהוראות תקנה 16 המורות על הפרדת רישום כספי לקוחות הזירה, ושיוך מדויק של היתרות המוחזקות בחשבונות הנאמנות בין לקוחות הזירה השונים, משום שהשוואת היתרות תתבצע ברמה האגרגטיבית בלבד, ללא זקיפת הפרשי שער ברמה פרטנית.

עיגון תהליך העבודה בנוהל – מבירור שנערך עם הנהלות הזירות עולה כי לאור הבהרות סגל הרשות בנושא, קיים בחלק מהזירות נוהג להמרה יומית של יתרות המטבע בחשבונות הנאמנות המנוהלים במטבע שאינו מטבע חשבון המסחר, אולם נוהג זה לא קיבל ביטוי כלשהוא במסגרת נהלי העבודה.

הזנות ידניות ואבטחת קבצים

מסקירת נהלי ותהליכי העבודה בזירות הסוחר עולה, כי חלק מניהול ורישום נכסי וכספי הלקוחות נערך באופן המסתמך על רישומים ידניים. כך למשל:

הקמת פרטי חשבון הלקוח מבוצעת באמצעות הזנה ידנית למערכות החברה.

הפקדות לקוחות המבוצעות בהעברה בנקאית, מועתקות ידנית מדי יום לגיליון אקסל מרכז ומוזנות ידנית לחשבונות המסחר.

בקשות משיכה המועברות מלקוחות שלא דרך אתר החברה, מוקמות באופן ידני.

הזנת פרטי הוראות הלקוחות למשיכת כספיהם מחשבונות הבנק, מבוצעת באופן ידני.

נוסף על האמור, לסגל הרשות הועברו קבצים בנושא התאמות יומיות, אשר לא היו מוגנים בסיסמא.

הזנת נתונים ידנית לצד גישה לא מורשית לנתונים, עשויים לגרום לשיבושי מידע או שינויים בלתי נאותים בו, לרבות רישום של עסקאות בלתי מורשות, פיקטיביות או לא מדויקות וכן לאובדן אפשרי של נתונים.

נציין כי בתהליכי העבודה אשר כללו הזנה ידנית של נתונים, הוטמעו לרוב בקרות משלימות אשר נועדו, בין היתר, לבחון את דיוק הנתונים המוזנים למערכות והתאמתן לאסמכתאות רלוונטיות.

מומלץ לבחון אפשרות לצמצם במידת האפשר הזנה ידנית של נתונים למערכות הזירה. ככל שצמצום זה אינו מתאפשר יש ללוות את התהליך בבקרות מפצות לבחינת נאותות הזנת הנתונים במערכות.

כמו כן, מומלץ להגן על קבצי מפתח ו/או תיקיות קבצים משמעותיות באמצעות סיסמאות אשר יינתנו לגורמים מורשים בלבד, בהתאם לתחומי אחריותם ותפקידם בחברה. בהמלצה זו אין כדי לפטור מקיום הוראות סעיף 2 לחוזר תובנות שעלו במסגרת ביקורות בזירות הסוחר בנושא שמירה על כספי לקוחות7, בנושא משאבים הולמים לביצוע תהליך ההתאמה היומי.

פרוטוקול מורשי חתימה ופעולות בהתאם לקבוע בו

מעיון בפרוטוקול מורשי החתימה בזירות השונות ובחינת ביצוע פעולות בהתאם לקבוע בו, עלו הממצאים הבאים:

הגדרת חותם יחיד – במספר זירות נקבע כי במקרים מסוימים, העברות בנקאיות בין חשבונות הנאמנות של הלקוחות לבין חשבונה העסקי של הזירה, יאושרו על ידי חותם יחיד בלבד. היעדר בקרה של גורם נוסף באישור העברה בין החשבונות, עלול להוות פתח להוצאת כספים בלתי מורשית מחשבון הנאמנות ואינו עולה בקנה אחד עם חובות הזירה "למנוע ככל האפשר את האפשרות לנזק ללקוח עקב מרמה, כשל או רשלנות", כאמור בתקנה 17 לתקנות.

נאותות מצבת מורשי החתימה בבנק – מבירור שנערך עם הנהלות הזירות עולה, כי לא נערכת בקרה תקופתית לבחינת התאמת מצבת מורשי החתימה בבנק לזו שאושרה על ידי דירקטוריון הזירה, על מנת לוודא כי גורמים שאינם מורשים לא יוכלו לבצע פעולות בחשבונות.

נציין כי מהשוואה שערך סגל הרשות בנושא, אותרו פערים בהשוואת מצבת ההרשאות בבנק לעומת פרוטוקולי מורשי החתימה בזירות. כך לדוגמא, בחלק מהמסמכים שהתקבלו מהבנק, לא אותרה התייחסות לדרישה לקיומם של שני חותמים לאישור העברות מחשבונות הנאמנות לצד ג', וכן אותרו סתירות ביחס לסוגי קבוצות החתימה והרשאותיהן בהשוואה לפרוטוקול הזירות.

בנוסף, מומלץ כי הזירות יפעלו לעיגונה של בקרה תקופתית לבחינת התאמת מצבת מורשי החתימה הקיימת בבנקים השונים, אל מול זו המאושרת על ידי דירקטוריון החברה.

נאותות ושלמות נהלי העבודה והלימתם להוראות הדין

תקנה 17 לתקנות קובעת כי זירת סוחר תקבע ותיישם נהלים להבטחת רישום וניהול נכסי הלקוח, חוזי הלקוח וכספי הלקוח, כדי למנוע ככל האפשר את האפשרות לנזק ללקוח עקב מרמה, כשל או רשלנות.

נהלי עבודה משמשים כלי ליישום מדיניות החברה, תוך התייחסות להיבטים כגון: הקצאת תחומי אחריות ברורים בין כלל הגורמים בחברה, הפרדת תפקידים וביזור סמכויות, עריכת בקרות ועוד.

מסקירת נהלי העבודה בזירות בנושא ניהול כספי לקוחות ורישומם, עלו הממצאים הבאים:

נאותות נהלי העבודה – בחלק מהזירות נוסחו נהלי העבודה באופן המהווה חזרה על הוראות הדין, ללא פירוט של תהליכי עבודה ושגרות פעילות בזירה, הלכה למעשה. כמו כן, אותר מקרה בו הוראות הנוהל בנושא "שימוש בכספי לקוח" עמדו בסתירה להוראות תקנה 18 לתקנות.

שלמות נהלי העבודה – חלק מנהלי העבודה אינם מקיפים את מכלול הנושאים הנוגעים לפעילות הזירה בכל הקשור לשמירה על כספי לקוחות ורישומם, ו/או את הבקרות המוטמעות בתהליכי העבודה השונים. כך לדוגמא, אותרו מקרים בהם לא נמצאה התייחסות בנוהל העבודה של הזירה לתהליכי הצטרפות לקוחות (דרכי ההצטרפות, הקמת פרטי לקוח ואמצעי תשלום, אימותם ועדכונם וכו'), הליך משיכת כספים ע"י לקוחות והבקרות על פעולות אלה, אופן ביצוע ההתאמה היומית, השבת כספים שהתקבלו ממקור תשלום שאינו מאומת ועוד.

היעדר הלימה בין הוראות הנהלים לדפוסי העבודה בפועל – אותרו מספר מקרים בהם הוראות נהלי העבודה לא עלו בקנה אחד עם דפוסי העבודה בפועל, כפי שתוארו בשיחות שהתקיימו עם גורמים שונים בזירות. כך לדוגמא:

אותר פער ביחס לתדירות ביצוע התאמות במערכת הנה"ח ביחס לרווחי / הפסדי שערוך אל מול מערכת המסחר- תדירות נמוכה מזו המצוינת בנוהל העבודה.

נמצא שוני באופן סיווג ורישום יתרות שלא נסלקו במערכת המסחר, אל מול זה הנדרש על פי הוראות נוהל העבודה.

אותר מקרה של חוסר התאמה בין הוראות פרוטוקול אישור מורשי חתימה לביצוע העברות, לבין הוראות נוהל העבודה בנושא.

נמצא מקרה בו הוראות נוהל העבודה כללו דרישה לעריכת בקרה שנתית כוללת של ההנהלה אחר תהליכי העבודה ודיוקם, אולם זו אינה מתקיימת הלכה למעשה .

נמצאו פערים ביחס ליישום הוראות נוהל ניהול סיכונים, בעיקר בכל הקשור לעמידה בדרישות הנוגעות למתן סקירות תקופתיות לדירקטוריון על אודות אסטרטגיות הסיכון ואישורן, וכן מתן דיווחים רבעוניים בהתייחס לתוצאות ניטור הסיכונים בפועל.

מצופה כי נהלי העבודה יתנו מענה למכלול תהליכי העבודה הנוגעים לניהול כספי לקוחות הזירה ורישומם, לרבות: הקמת לקוחות ואימות פרטיהם, קליטת הפקדות ורישומן, עריכת התאמות יומיות, אופן ביצוע משיכות כספים ועוד. בנוסף, על נהלי העבודה לתאר את מעגלי הבקרה הקיימים ביחס לכל אחד מן התהליכים, ולעמוד בקנה אחד עם הוראות הדין ועם דפוסי הפעילות הנהוגים בפועל בזירה.

דיוני הדירקטוריון ותיעודם

תפקידי הדירקטוריון מפורטים בסעיף 92 לחוק החברות התשנ"ט-1999 (להלן: "חוק החברות"), והוא אמון, בין היתר, על התווית מדיניות החברה לצד פיקוח אחר פעילות המנכ"ל. סעיף 108 לחוק החברות קובע, כי על חברה לערוך פרוטוקולים מישיבות הדירקטוריון.

נהלי העבודה השונים בזירות כוללים הוראות העוסקות בדיווחים הנדרשים להימסר לדירקטוריון החברה או נושאים לגביהם נדרש הדירקטוריון לקיים דיון, בעיקר בכל הקשור למדיניות הזירה ביחס להיבטי ניהול סיכונים וממצאי ניטורם התקופתי.

עם זאת, מסקירת פרוטוקולים מישיבות הדירקטוריון שהתקיימו בשנים 2019 - 2020 עולה, כי למעט אזכור כללי המתייחס להעברת סקירה בנושא מסוים ו/או הצגת ממצאים לדירקטוריון (ממצאי דוח ביקורת, ניטור תקופתי של סיכונים פיננסים, ממצאי סקר סיכונים וכדומה), אין הפרוטוקולים משקפים קיומו של דיון בעניינים אלו, ככל שהתקיים.

מצופה כי פרוטוקול ישיבות הדירקטוריון ישקף באופן נאות את עיקרי הדיון שהתקיים. כמו כן, סגל הרשות מדגיש את חשיבות מעורבותם של הדירקטורים בדיונים ובקבלת ההחלטות, מתוקף תפקידם והאחריות הנלווית לו.