המבקר: "עיכובים ועלויות גבוהות בפרויקטי IT במשרד הבריאות"

הליכי הפיתוח המואץ והיקף הפעילות הרחב באגף המחשוב במשרד הבריאות אינם נתמכים בהליכי תכנון ובקרה סדורים בפרויקטים ובתקציביהם: בידי משרד הבריאות אין תמונה שלמה על מצבם של יותר מ-300 הפרויקטים שמוביל אגף המחשוב במאות מיליוני שקלים מדי שנה, לרבות מידת עמידתם בתקציב, בלוחות הזמנים ובתכולה; תכניות העבודה השנתיות של האגף שאישר המנכ"ל היו חסרות ולא שיקפו את התקציב הנדרש לביצוע רוב הפעילויות הרב-שנתיות שלו; כך לפי דו"ח 68-ג' של מבקר המדינה, השופט בדימוס יוסף שפירא.

עוד קובע המבקר כי "אגף התקציבים במשרד אינו מקיים בקרה נאותה על ביצוע תקציב אגף המחשוב. יש היעדר תהליכי תכנון ובקרה מובנים בפרויקטים, דבר המסכן את הצלחתם. במרבית מסמכי הייזום שנבדקו חסרו פרטים מהותיים המקשים על אישור הקמת הפרויקטים". על פי המבקר, "הערכת עלויות הפרויקטים לא הייתה מפורטת באופן המאפשר בקרה. בחלק מהפרויקטים היו עיכובים של שנים, עלותם הייתה גדולה מן המתוכנן ולא כל התכולות פותחו".

בפתח דבריו חולק המבקר דברי שבח למי שהייתה מנמ"רית משרד הבריאות עד באחרונה, שירה לב עמי: "במאי 2011 מונתה מנהלת חדשה לאגף המחשוב, ובניהולה ביצע האגף בשנים האחרונות, בתיאום עם הנהלת המשרד ובשיתוף יחידותיו, קפיצת מדרגה משמעותית בשילוב הטכנולוגיה במערכת הבריאות. לפני המינוי האמור הייתה פעילות האגף מצומצמת – היו כ-45 פרויקטים פעילים, תקציב האגף היה פחות מ-70 מיליון שקלים לשנה והועסקו בו פחות מ-100 עובדים. באוקטובר 2017 ניהל אגף המחשוב יותר מ-300 פרויקטים בשלבים שונים של ייזום, הקמה ותחזוקה. התקציב שעמד לרשותו בסוף שנת 2016 היה כ-454 מיליון שקלים. ביולי 2017 הועסקו באגף 239 עובדים.

שירה לב עמי, מנמ"רית משרד הבריאות לשעבר. צילום: ניב קנטור

"המשרד אייש חמש משרות באגף המחשוב של תפקידי ליבה בעובדים חיצוניים ולא בעובדי מדינה, בניגוד לחוזר נציבות שירות המדינה, שהגדיר את תפקידי הליבה המרכזיים", קבע המבקר.

"בשנים 2014 עד 2017 אגף המחשוב לא בנה תכניות עבודה שנתיות אחודות ומלאות, הכוללות את הפעילויות העיקריות המתוכננות בכל פרויקט, לרבות לוחות הזמנים שלהן ותקציבן – ובהן פעילויות הייזום, הפיתוח והתחזוקה", מצוין בדו"ח. "בדיונים על אישור תכניות עבודה שנתיות שנערכו בשנים 2014 עד 2017, המידע שהוצג למנכ"ל היה חסר ושונה משנה לשנה. למנכ"ל ולראש אגף התקציבים במשרד לא הוצגה תמונה אחודה של פעילות אגף המחשוב. זאת ועוד, גם לאחר שהמנכ"ל אישר את התקציב, לא בנה אגף המחשוב תכנית עבודה מפורטת שבה גיבש את כל פעילויותיו במסמך אחד מרכז, בהתאם לתקציב שאישר המנכ"ל, אלא הסתפק בעדכון תכניות העבודה של כל פרויקט בנפרד".

על פי המבקר, "תכניות העבודה וההיקף הכספי הכולל של כלל פעילות אגף המחשוב כפי שהועברו לרשות התקשוב בשנים 2016 עד 2017 לא הוצגו למנכ"ל. לשניים מהתחומים באגף המחשוב לא היו תכניות עבודה לשנים 2015 עד 2017, וליתר התחומים ויחידות המטה היו תכניות עבודה חלקיות בלבד. רק תחום אחד שהוקם ב-2016 – הכין תכנית עבודה מלאה ל-2017".

"התכניות התקציביות של אגף המחשוב בשנים 2012 עד 2017 היו חסרות ולא שיקפו את כלל הפעילויות שמבצע האגף", נכתב. "חלקן כללו פעילויות תחזוקה בלבד, או בקשות לפרויקטים חדשים בלבד… עד ספטמבר 2017 לא ריכז אגף המחשוב את כלל העלויות של כל פרויקט, ולא הייתה בקרה על ביצוע התקציב בכל פרויקט ביחס לתקציב שתוכנן עבורו".

אגף המחשוב, קבע המבקר, "משתמש במתודולוגיה פנים-משרדית לניהול פרויקטי פיתוח ותחזוקה של מערכותיו. במסמך המנחה שהוציא אגף המחשוב בנושא הערכת התקציב הנדרש לפרויקט, אין דרישה שהערכת תקציבי הפרויקטים תתבצע עוד בשלב הייזום ותכיל את עלויות שלב התחזוקה, אף שאגף המחשוב העריך שעלויות תחזוקת מערכת הן כשליש מעלויות הקמתה. כמו כן, בהערכת העלויות של 13 מ-24 הפרויקטים שנבדקו – לא חושבו כלל עלויות תחזוקה".

עוד קובע המבקר כי "עד אוקטובר 2017 לא הוסדר תקצוב תחזוקת הפרויקטים המשותפים למטה ישראל דיגיטלית ולמשרד הבריאות, אף שהקמתם בעיצומה וכבר הושקעו בהם מאות מיליוני שקלים, ואף שבעתיד הקרוב יהיה צורך לשלם עשרות מיליוני שקלים בשנה בגין תחזוקתם".

ניהול פרויקטים באגף המחשוב

"לא נכתבו מסמכי ייזום ל-12 מ-24 הפרויקטים שנבדקו. במרבית מסמכי הייזום שנכתבו חסרים פרטים מהותיים ובהם הערכת עלות, סיכונים ולוחות זמנים", מצא המבקר. "המערכת לניהול פרויקטים שבשימוש אגף המחשוב, מערכת עופר – מציגה נתונים על כל פרויקט בנפרד ואינה מאפשרת לקבל תמונת מצב כוללת על יותר מ-300 הפרויקטים המנוהלים באגף, לרבות עמידתם בלוחות הזמנים ובתקציבים".

המבקר מצא כי רק ל-16 מ-24 מהפרויקטים שנבדקו מונו ועדות היגוי. ב-10 פרויקטים הוועדה מונתה זמן רב לאחר שהחלו; נוסף על כך, שבע ועדות היגוי לא התכנסו בשנים 2016 עד 2017. ב-10 מ-24 הפרויקטים שנבדקו בוצע תהליך ניהול סיכונים חלקי, ובשלושה מהם לא בוצע כלל.

על פי המבקר, אגף המחשוב לא ביצע סקרי שביעות רצון עבור הפרויקטים והמערכות שהקים בשנים 2017-2012. סקר של אגף השירות במשרד מ-2016 העלה כי שביעות הרצון משירותי פיתוח מערכות המחשוב הייתה נמוכה מאוד: 44% מהמנהלים היו מאוד לא מרוצים, ורק 36% היו מרוצים.

פרויקט מזור

אחד הפרויקטים המרכזיים של המשרד הוא פרויקט מזור, להקמת מערכת לניהול המשאבים הארגוניים של בתי החולים הממשלתיים, שעלות הקמתו הוערכה בכ-250 מיליון שקלים ועלות התחזוקה השנתית – כ-45.5 מיליון שקלים.

הפרויקט החל ב-2015 והיה מתוכנן להסתיים ב-2020.

לפרויקט תוכננו שני שלבים. שלב א' עלה לאוויר בבית החולים רמב"ם בינואר 2017 בתכולות חסרות וללא בדיקות מספקות. בעקבות ליקויים שהיו בעלייה לאוויר נדחה שלב ב' בבית חולים רמב"ם ביותר משנה והמשך פריסת המערכת לבית החולים השני נדחה ביותר משנה וחצי – לנובמבר 2018.

היבטים בניהול הגנת הסייבר

עד מועד סיום הביקורת, אוקטובר 2017, שנתיים וחצי לאחר שמנכ"ל משרד הבריאות החליט שיש לגבש מדיניות להגנת הסייבר ואבטחת המידע, המשרד טרם סיים את הכנתה – קובע המבקר.

"אף שהנהלת משרד הבריאות הורתה כבר ב-2009 על גיבוש מדיניות המשכיות עסקית בעת אסון, ואף שכותבי המדיניות המליצו באותה שנה על בנייה ויישום של תכנית אופרטיבית להמשכיות הפעילות במצבי חירום (BCP) ועל הקמת אתר גיבוי 'חם', עד אוקטובר 2017, שמונה שנים לאחר מכן, לא הכין משרד הבריאות את התכנית וגם לא הקים אתר שכזה", נכתב בדו"ח.

"על מנכ"ל המשרד לגבש הנחיה בנושא הכנת תכנית עבודה שנתית של אגף המחשוב ותקציבה, שתפרט את מרכיבי התכנית, תהליך האישורים שלה, מועד הגשתה וכיו"ב. הדבר נחוץ לאגף המנהל יותר מ-300 פרויקטים בשנה עבור כלל יחידות המשרד ומטה ישראל דיגיטלית בהיקף כספי של כ-454 מיליון שקלים בשנה", ממליץ המבקר. "על אגף המחשוב לבנות תכניות עבודה שנתיות המשקפות את כל פעילותו תוך פירוט המשימות העיקריות ולוח הזמנים לביצוען בהלימה לתקציבו ולהגישן למנכ"ל".

"על האגף להנחות את ראשי יחידות המטה והתחומים באגף להכין תכניות עבודה שנתיות שיפרטו את הפעילויות המרכזיות שהם מתכננים לשנת העבודה. על אגף המחשוב לפעול בהתאם להנחיית רשות התקשוב ולהעביר לה בכל שנה את תכנית העבודה לשנה הנוכחית עם נתוני ביצוע של לוחות הזמנים, התקציב ותוצרים מרכזיים שהוגדרו, ואת תכנית העבודה לשנה הבאה עם פירוט לוחות הזמנים המתוכננים, התקציב והתוצרים המרכזיים".

המבקר ציין כי משרד הבריאות פעל לתיקון חלק מהליקויים כבר במהלך הביקורת, "עם זאת, על המשרד לפעול לתיקון יתר הליקויים".