כשהבוט פוגש את רשות המסים: מי צריך לשלם את מחיר הפער הטכנולוגי?
בוטים, אוטומציות ושע״ם כבר משנים את עולם החזרי המס. רשות המסים מבקשת להגן על המערכות ועל המידע הרגיש - ובצדק. אבל האם הפתרון הוא לאסור את הטכנולוגיה, או לבנות תשתית שמאפשרת להשתמש בה בבטחה?
הטכנולוגיה לא מחכה לאף אחד.
פעם נדרשו שעות עבודה וכוח אדם כדי לבצע פעולות שהיום תוכנה יכולה להשלים בתוך דקות. בינה מלאכותית מסכמת מסמכים, משווה חוזים ומנתחת כמויות מידע עצומות; אוטומציות מחליפות הקלדות ופעולות חוזרות. בעולם העסקי המשוואה ברורה: פחות עבודה טכנית, יותר תפוקה, יותר לקוחות ופחות עלויות.
גם בעולם המס המהפכה כבר כאן. אלא שכאשר הטכנולוגיה הפרטית פוגשת מערכת ממשלתית גדולה, רגישה ומורכבת - ההתייעלות הופכת מהר מאוד לשאלה של רגולציה, אבטחת מידע וחופש העיסוק.
כשהאוטומציה נכנסת לעולם החזרי המס
תחום החזרי המס צמח סביב מציאות מוכרת: שכירים רבים עשויים להיות זכאים להחזר מס ואינם תמיד יודעים זאת או פועלים לממש את זכאותם. מבקר המדינה כבר הצביע על היקפים משמעותיים של אי-מיצוי זכויות מס ועל הצורך של רשות המסים לפעול באופן יזום יותר להסרת חסמים ולשיפור מיצוי הזכויות.
לתוך הפער הזה נכנסו חברות וגופים פרטיים שמאתרים לקוחות, בודקים זכאות ומטפלים בהחזרים תמורת עמלה. מול רשות המסים פועלים מייצגים מורשים, ובהם רואי חשבון, יועצי מס ועורכי דין, שחלק מעבודתם מתבצע באמצעות מערכות שע״ם.
שע״ם - שירות עיבודים ממוכנים - הוא מערך המחשוב של רשות המסים. לפי מבקר המדינה הוא מספק לרשות שירותי מחשוב לצורכי גבייה ואכיפה, הרתעה ומיצוי זכויות נישומים. בדוח הסייבר מ-2022 צוין כי שע״ם משרת כ-1.3 מיליון מקבלי שירות, לצד עובדי הרשות, משרדי מייצגים ועורכי דין.
הסוכרייה המתוקה של הבוטים
ואז הגיעו הבוטים. במקום שעובד יישב מול המחשב, יקליד נתונים, יעבור בין מסכים וישלוף מידע שוב ושוב, תוכנה יכולה לבצע חלק מהפעולות במהירות ובכל שעות היממה. עבור חברה שמטפלת במספר גדול של לקוחות זו סוכרייה עסקית מתוקה במיוחד: יותר לקוחות, פחות עובדים, פחות שעות עבודה ועלויות נמוכות יותר.
אבל אותה טכנולוגיה שהיא מכפיל כוח עבור העסק יכולה להיות גם מכפיל סיכון עבור המערכת שאליה היא מתחברת. במערכות רשות המסים נמצא מידע כלכלי ואישי רגיש, ומספר עצום של פעולות אוטומטיות עלול ליצור עומסים ולהעלות שאלות של הרשאות, אבטחת מידע, צדדים שלישיים ושמירת מידע.
רשות המסים אומרת: לא לכל בוט
כתב ההתחייבות הרשמי לחיבור מייצג לשע״ם חד מאוד: הוא קובע איסור על שימוש בתוכנות אוטומטיות, לרבות בוטים, למעט ממשקי API שפותחו על ידי שע״ם. כתב ההתחייבות גם מסדיר חובות אבטחת מידע וסודיות.
מנגד, רשות המסים עצמה מפעילה מסלול לבתי תוכנה המעוניינים להתחבר לשירותי API מול שע״ם. בדצמבר 2024 אף הודיעה הרשות על ממשק API ייעודי למערכת הצהרת הון דיגיטלית והזמינה בתי תוכנה להשתתף בפיילוט, תוך שהיא מתארת את המהלך כצעד לייעול ושיפור תהליכי הדיווח.
כלומר, הוויכוח האמיתי אינו בהכרח בין טכנולוגיה לבין רשות המסים. גם הרשות מבינה את ערכה של הטכנולוגיה. הוויכוח הוא מי שולט בדלת שדרכה היא נכנסת, באילו תנאים ובאיזה קצב.
מי צריך לשלם את מחיר הפער?
רשויות המדינה מתקדמות טכנולוגית, אבל מטבע הדברים הן עושות זאת לאט יותר מהמגזר הפרטי. בירוקרטיה, תקציבים, מכרזים, אבטחת מידע ומערכות ותיקות הופכים כל שינוי למורכב. מבקר המדינה הצביע כבר בעבר על כך שחלק ניכר ממשאבי התכנות בשע״ם הופנה לתחזוקת מערכות ותיקות על חשבון פיתוח, ובביקורת מאוחרת יותר נמצאו חריגות ניכרות בפרויקטים רבים.
הפער הזה מובן. אבל השאלה היא מי צריך לשלם את מחירו.
אם תוכנה מאפשרת לבצע בתוך דקות עבודה שבעבר דרשה שעות, האם הוגן להגביל אותה משום שהמערכת הציבורית מתקשה לעמוד בקצב? ואם קיים סיכון סייבר - והוא בהחלט קיים - האם הפתרון צריך להיות איסור רחב, או השקעה בתשתית ובמנגנוני פיקוח שיאפשרו לטכנולוגיה לעבוד בבטחה?
ואולי דווקא האזרח משלם
יש כאן נקודה נוספת שקל להחמיץ. הדיון אינו רק על הרווחיות של חברות החזרי המס או על החיסכון שלהן בכוח אדם. אם אוטומציה מאפשרת לטפל ביותר לקוחות בעלות נמוכה יותר, היא עשויה גם לאפשר ליותר אזרחים לבדוק ולממש זכויות מס.
לכן ראוי לשאול: האם הוגן לפגוע באפשרות של יותר אזרחים לקבל החזרי מס בשם החשש מסייבר, בלי לבחון אם אפשר לתת לחשש הזה מענה טכנולוגי? והאם נכון להגביל פעילות בשל עומסים כאשר מקור הקושי הוא שהמערכת הממשלתית אינה מותאמת עדיין לקצב שהטכנולוגיה החדשה מאפשרת?
אבטחת סייבר אינה תירוץ. היא אינטרס ציבורי אמיתי. מבקר המדינה מצא ליקויים בהגנת הסייבר ובהיערכות להמשכיות עסקית בשע״ם והדגיש את החשיבות של רמת הגנה גבוהה. דווקא משום כך, השאלה צריכה להיות כיצד בונים פתרון בטוח - לא כיצד מחזירים את העולם להקלדה ידנית.
במקום לאסור - להסדיר
אפשר לדמיין מודל אחר: בתי תוכנה יגישו מערכות לבדיקה; ייקבעו תקני אבטחת מידע, מגבלות קצב, רישום פעולות, הרשאות ובדיקות תקופתיות; תוכנות שיעמדו בדרישות יקבלו אפשרות להתחבר בממשקים מאושרים. למעשה, מסלולי ה-API שרשות המסים כבר מפתחת מוכיחים שהכיוון הזה אפשרי.
האתגר של הרגולטור בעידן החדש אינו לעצור חדשנות אלא לנהל את הסיכון שהיא יוצרת. זה קשה יותר מאיסור, אבל בטווח הארוך זה גם נכון יותר.
ולמייצג יש אחריות אישית
הדיון הזה אינו פוטר את המייצגים מאחריות. להפך. מספר מייצג אינו צינור טכני. רואה חשבון, יועץ מס או עורך דין חייבים לדעת מי פועל באמצעות הרשאותיהם, איזה מידע נשלף ומה נעשה בשם לקוחותיהם. טכנולוגיה שמכפילה תפוקה יכולה להכפיל גם טעות או שימוש לא תקין.
כאשר המייצג הוא עורך דין מתווספות גם חובות הסודיות המקצועית, ובנסיבות המתאימות שאלות של חיסיון עורך דין-לקוח. לכן לא מספיק לשאול אם הבוט מהיר. צריך לשאול גם מי מחזיק במידע, היכן הוא נשמר, למי יש גישה אליו ומה המשמעות של השימוש בו.
ומה עם חופש העיסוק?
עבור בעל מקצוע שעבודתו נשענת על הגישה למערכות רשות המסים, ניתוק משע״ם אינו תקלה טכנית. הוא עלול לפגוע באופן קשה ביכולת לתת שירות ללקוחות ולהמשיך להתפרנס.
ככל שנשקל צעד כזה מתעוררות שאלות משפטיות משמעותיות: מהו מקור הסמכות, איזו זכות טיעון עומדת למייצג, מהי התשתית העובדתית הנדרשת, האם הפגיעה מידתית והאם קיימת חלופה שפגיעתה פחותה. אלה שאלות קשות וחדשניות, ואני מאמינה שחלקן עוד יגיעו לפתחם של בתי המשפט.
הטכנולוגיה כבר כאן
ועד שהגבולות יתבהרו, לכל מייצג - יועץ מס, רואה חשבון או עורך דין - יש מסקנה מעשית אחת: מי שפועל באמצעות תוכנות אוטומטיות או בוטים מול מערכות רשות המסים חייב לכלכל את צעדיו בתבונה, לבדוק את תנאי החיבור וההרשאות ולא להניח שמה שאפשרי טכנולוגית הוא גם מותר.
הטכנולוגיה לא תחכה לרגולטור. השאלה היא האם המדינה תדע להתקדם מספיק מהר כדי להגן על המידע ועל המערכות, בלי להפוך את מגבלות המערכת הציבורית למחסום בפני חדשנות, יעילות ומימוש זכויות.
מקורות לאימות עובדתי - מקורות רשמיים בלבד
• רשות המסים בישראל - קישור לשע״ם: מייצגים, כספות ובתי תוכנה.
• רשות המסים בישראל - כתב התחייבות לחיבור מייצג לשע״ם.
• רשות המסים בישראל - נוהל חיבור בית תוכנה לשירותי API מול מחשב שע״ם.
• רשות המסים בישראל, 22.12.2024 - ממשק תכנות יישומים (API) למערכת הצהרת הון דיגיטלית.
• משרד מבקר המדינה, 2022 - פעילות יחידת שירות עיבודים ממוכנים ברשות המיסים.
• משרד מבקר המדינה, דצמבר 2022 - הגנת הסייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים.
• משרד מבקר המדינה - מיצוי הטבות מס והשירות לנישום.
הערת מערכת: הטענות בדבר מידתיות, חופש העיסוק, היקף הסמכות והצורך בחלופות טכנולוגיות מובאות במאמר כעמדת הכותבת וכשאלות משפטיות לדיון, ולא כקביעה שיפוטית.
מאת עו״ד נאוה הנס, משרד עורכי דין נאוה הנס
d&b – לדעת להחליט
