איך בוחרים חברת ייעוץ לסקר סיכונים תפעוליים מול הרגולטור?

בוחרים חברת ייעוץ לסקר סיכונים תפעוליים לפי חמישה מבחנים: מי בפועל יבצע את העבודה (מומחה בכיר או צוות ג'וניורים), עומק ההיכרות עם הוראות הרגולטור הרלוונטיות לארגון שלכם, יכולת לכסות באותו סקר גם מעילות והונאות, סייבר ו-AI, מתודולוגיה שניתן להגן עליה מול מבקר ודירקטוריון, ותוצרים שהופכים לתוכנית עבודה ולא נשארים מצגת. הכשל הנפוץ ביותר בשוק הוא בחירה לפי מחיר לשעה, שמובילה לתיק ממצאים גנרי שהרגולטור מזהה תוך פגישה אחת.

מהם קריטריוני הבחירה החשובים ביותר לסקר סיכונים מול הרגולטור?

קריטריוני הבחירה לסקר סיכונים מול הרגולטור צריכים להיות מוגדרים לפני שאתם מסתכלים על הצעת מחיר אחת. סקר סיכונים תפעוליים הוא תהליך מסודר של מיפוי תהליכי הליבה בארגון, זיהוי אירועי כשל אפשריים, אמידת ההסתברות והחומרה, מיפוי הבקרות הקיימות והצבעה על פערים — כשהתוצר נבחן בסופו של יום על ידי ביקורת פנים, דירקטוריון ורגולטור.

הנה הקריטריונים, לפי סדר החשיבות שאנו ממליצים עליו:

• מי מבצע בפועל. בקשו שמות, קורות חיים והתחייבות שהמומחה שנפגשתם איתו הוא זה שיוביל את הסקר. זהו הקריטריון בעל ההשפעה הגדולה ביותר על איכות התוצר.
• שליטה ברגולציה החלה עליכם. ודאו שהיועץ מכיר מבפנים את הוראות הרגולטור הרלוונטיות לארגונכם — למשל הוראות ניהול בנקאי תקין של הפיקוח על הבנקים כדוגמת נב"ת 350, או הרגולציה החלה עליכם מטעם רשות שוק ההון או רשות ניירות ערך — ולא רק מסגרות עבודה גנריות. יועץ שישב בצד המפוקח והתמודד עם הדרישות בעצמו יזהה חולשות שיועץ שמכיר אותן מקריאה בלבד יחמיץ.
• כיסוי NFR מלא. NFR (Non-Financial Risk) הוא כלל הסיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI. יועץ שמכסה רק פלח אחד מייצר תפרים שבהם הסיכון מסתנן.
• מתודולוגיה מוסברת. בקשו לראות איך נקבע דירוג הסיכון ואיך נמדדת אפקטיביות הבקרה — רצוי מתודולוגיה המעוגנת במסגרות מוכרות כמו ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע — ולא רק מטריצת צבעים.
• תוצרים ניתנים לביצוע. תיק ממצאים עם בעלי תפקידים, לוחות זמנים וסדר עדיפויות מבוסס חומרה.
• המשכיות אחרי הסקר. מי מלווה את סגירת הפערים, ומי זמין כשמתפוצץ אירוע.

בפועל, LT RISKMGMT מתמקדת בשלושת הקריטריונים הראשונים כליבת ההצעה שלה: מומחים בכירים, היכרות מבפנים עם ארגונים מפוקחים, וראייה הוליסטית של סיכון תפעולי, מעילה, סייבר ו-AI תחת קורת גג אחת. והמחיר? הוא קריטריון מסדר שני: עלות גבוהה אינה מעידה על עומק, אך תקציב נמוך מדי מוביל כמעט תמיד לצוות ג'וניורי.

במה נבדלים סוגי ספקי הייעוץ — בוטיק, פירמה גדולה או מיקור חוץ?

סוגי ספקי הייעוץ לסקר סיכונים נבדלים פחות בשפה השיווקית ויותר בשאלה מי יושב מולכם בחדר ומה גבולות המנדט. לפני הטבלה, כדאי לקבוע את קריטריוני ההשוואה ולתת להם משקל: בכירות הצוות המבצע (משקל גבוה — היא קובעת את איכות הממצאים), התאמה רגולטורית (גבוה בארגון מפוקח), רוחב כיסוי הסיכונים הלא-פיננסיים (בינוני-גבוה), גמישות מסחרית (בינוני), רציפות ליווי לאחר הסקר (בינוני), וניגודי עניינים — האם אותו גוף גם מבקר, גם מייעץ וגם מטמיע מערכות (משקל גבוה בגופים מפוקחים).

ספק	מי מבצע בפועל	התאמה לרגולציה מקומית	כיסוי מעילות, סייבר ו-AI	מתאים במיוחד ל
בוטיק מומחים (LT RISKMGMT)	מומחה בכיר מוביל את העבודה מקצה לקצה	גבוהה — ניסיון מתוך גופים מפוקחים בישראל	הוליסטי, כולל מפת סיכוני AI ושיטת BPT	בנקים, ביטוח, אשראי, פינטק שרוצים עומק ולא נפח
פירמת ייעוץ/ראיית חשבון גדולה	שותף בהצעה, צוות זוטר בשטח	גבוהה בפורמט, כללית בתכולה	לרוב פרקטיקות נפרדות שאינן מתחברות	פרויקטים רחבי היקף עם דרישת מיתוג פירמה
ספק סייבר טכנולוגי	בודקים טכניים	ממוקדת תשתית ומערכות	טכנולוגיה בלבד; התהליך העסקי נשאר עיוור	חיזוק הגנה טכנולוגית ומבדקים תשתיתיים
מנהל סיכונים במיקור חוץ (Risk Manager as a Service)	מומחה קבוע בהיקף משרה מוסכם	גבוהה, לאורך זמן	מתמשך ולא חד-פעמי	ארגונים בינוניים וגופים ממשלתיים בלי תקן מלא

השורה התחתונה: אם הסקר נועד לעמוד מול רגולטור וגם לשנות התנהלות בפועל, בוטיק מומחים או שירות מנהל סיכונים במיקור חוץ יניבו ערך גבוה יותר לשקל מאשר צוות זוטר בפירמה גדולה. שירות Risk Manager as a Service של LT RISKMGMT מיועד בדיוק לארגונים בינוניים וממשלתיים שאינם רוצים לגייס מנהל סיכונים במשרה מלאה — LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש. ותובנה שלנו מהשטח: הפער האמיתי אינו בין ספק גדול לספק קטן, אלא בין ספק שמייצר מסמך לבין ספק שמייצר שינוי תפיסה.

אילו שאלות סינון כדאי לשאול יועץ סקר סיכונים לפני החתימה?

שאלות הסינון לפני החתימה על סקר סיכונים הן הכלי הזול והאפקטיבי ביותר שיש לכם. שיחת אפיון אחת ממוקדת חוסכת חודשים של עבודה שלא תעמוד בביקורת. הנה סדר השאלות שאנו ממליצים לשאול, כל אחת עם הסיכון שהיא חושפת:

1. מי בדיוק יבצע את הסקר, ובאיזה היקף שעות אישי? הסיכון: הצעה שנמכרת על ידי מומחה ומבוצעת על ידי מתמחים.
2. באילו ארגונים מפוקחים עבדת מבפנים, ובאיזה תפקיד? הסיכון: היכרות תיאורטית עם הרגולציה. יועץ שניהל בקרה בפועל — למשל במערך Middle Office, מערך הבקרה על פעילות שוק ההון, חדרי עסקאות ומסחר בנגזרים — יזהה חולשות שאין בשאלון.
3. איך אתם מטפלים בסיכון מעילה בתוך אותו סקר תפעולי? הסיכון: מעילות וסייבר מנוהלים בשני איים נפרדים, והתפר ביניהם נשאר חשוף.
4. מה המתודולוגיה לדירוג סיכון ולמדידת אפקטיביות בקרה? הסיכון: ממצאים שלא ניתן להגן עליהם מול מבקר פנים.
5. איך הסקר מתחבר לתוכנית ההמשכיות העסקית (BCP)? BCP הוא תכנית ההמשכיות לאירועי חירום — מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — הכוללת מיפוי מערכות ותהליכים קריטיים וזמני התאוששות.
6. האם אתם מכסים גם סיכוני AI? הסיכון: מודל שנכנס לתהליך עסקי בלי validation, בלי בעלות על הדאטה ובלי מענה משפטי.
7. מה קורה אחרי הגשת התוצר? הסיכון: תיק ממצאים שנשאר במגירה.
8. מה זמן התגובה שלכם לפנייה? LT RISKMGMT מציבה מענה לפניות תוך 24 שעות כמחויבות שירות לפנייה ראשונית — לא כהתחייבות רמת שירות חוזית, וכדאי לדעת להבחין בין השתיים אצל כל ספק.

תשובה מתחמקת לשאלה הראשונה או השנייה היא, לניסיוננו, המנבא הטוב ביותר לסקר שיעמוד על הנייר ולא בשטח.

איך מוודאים שהסקר מכסה גם מעילות, סייבר וסיכוני AI?

לוודא שהסקר מכסה מעילות, סייבר וסיכוני AI פירושו לבדוק שהיועץ בוחן את התהליך העסקי ולא רק את המערכות שתומכות בו. זו נקודת העיוורון המרכזית בארגונים מפוקחים בישראל בשנת 2026: אחרי שההגנה הטכנולוגית נסגרה — חומות אש, ניטור SOC, ניהול הרשאות — החולשות שנשארות פתוחות הן בצירוף שבין הרשאה עסקית, חריגה מנוהל וטעות אנוש.

כאן נכנסת שיטת ה-BPT (Business Penetration Test) — מבדק חדירות לתהליך העסקי, שיטה ייחודית ובלעדית ל-LT RISKMGMT. חשוב להבחין: אין מדובר במבדק חדירות טכנולוגי (PT) על תשתיות, אלא בניתוח סיכונים של התהליך העסקי עצמו, שבו בוחנים איך שרשרת אישורים, הפרדת תפקידים והתממשקויות בין מערכות יכולות להיכשל. הערך הוא ב-One Stop Shop: מענה אחד לשלושת וקטורי הכשל — סייבר, מעילה וטעות אנוש — במקום שלושה דוחות שאינם מדברים ביניהם.

לצד זה, שכבת ה-AI דורשת פונקציה משלה. Chief AI Officer הוא הגורם שמנהל את ה-AI בארגון ב-360 מעלות — דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים — כאשר הסייבר הוא רק אחת מזרועותיו, באחריות ה-CISO. LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, בליווי הטמעת המודל לכל אורך חייו; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance. בהקשר הרגולטורי הרחב, EU AI Act מציב היום מסגרת מבוססת רמות סיכון שארגונים ישראליים הפועלים באירופה כבר נדרשים להתייחס אליה.

תוצאה אפשרית של גישה כזו: אצל מוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות בליווי LT הביא לקיצור זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2-5 ימים בממוצע לכל היותר שעתיים, ולחיסכון של כ-5 תקנים — לפי הערכת הבעלים. נחזור לסיפור הזה בהמשך, כי הוא ממחיש את ההבדל בין דוח לבין שינוי תהליך.

מה השלבים המעשיים משיחת האפיון ועד תיק ממצאים מוכן לרגולטור?

השלבים המעשיים משיחת האפיון ועד תיק ממצאים מוכן לרגולטור בסקר סיכונים תפעוליים הם רצף שניתן לנהל, וכל שלב בו ניתן לביצוע בנפרד:

1. הגדירו את ההנעה. ממצא ביקורת, דרישת רגולטור, אירוע שקרה, או כניסה לתחום חדש כמו AI. ההנעה קובעת את גבולות הסקר.
2. מפו את תהליכי הליבה. בחרו את התהליכים שכשל בהם פוגע בלקוח, בהון או ברישיון.
3. בצעו סינון ספקים לפי הקריטריונים. שלוש שיחות אפיון עם מומחים בכירים, לא שלוש הצעות מחיר.
4. סגרו תכולה ותוצרים בכתב. מי מבצע, אילו תהליכים, אילו שכבות סיכון, ומה בדיוק מתקבל בסוף.
5. בצעו את עבודת השטח. ראיונות עם בעלי תהליך, בחינת ראיות, ובדיקת התהליך העסקי מקצה לקצה.
6. דרגו ותעדפו. חומרה, הסתברות, אפקטיביות בקרה קיימת ופער.
7. בנו תוכנית עבודה עם בעלי תפקידים ולוחות זמנים. זהו התוצר שהדירקטוריון בוחן.
8. הכשירו את בעלי התפקידים. בקרה שאיש אינו מבין אינה בקרה.
9. קבעו מחזוריות ומדידה. סקר הוא נקודת ייחוס, לא אירוע חד-פעמי.

בשלב ההכשרה נכנס נדבך שארגונים רבים מדלגים עליו. LT RISKMGMT מפעילה קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות — למידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם. קורס ההכשרה הזה מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים.

מה בדיוק כולל סקר סיכונים תפעוליים ומה הרגולטור מצפה למצוא בו?

סקר סיכונים תפעוליים הוא תהליך מבוקר שבו הארגון ממפה את התהליכים העסקיים שלו, מזהה את הסיכונים הטמונים בהם ומעריך את איכות הבקרות — והרגולטור מצפה למצוא בו תוצרים מתועדים, ניתנים לביקורת ומחוברים לקבלת החלטות. הגדרת ההיקף כאן צרה במכוון: לא סקר סיכונים ארגוני כללי, אלא הסקר המתמקד ב-NFR (Non-Financial Risk) — סיכונים שאינם פיננסיים: תפעול, מעילות והונאות, סייבר והמשכיות עסקית.

מהם המרכיבים שחייבים להופיע בתוצר?

• מיפוי תהליכים (Process Mapping) — טווח: מתהליכי ליבה בלבד ועד כל שרשרת הערך, כולל נקודות מגע עם ספקים. חשוב כי סיכון שלא מופה אינו מנוהל.
• RCSA (Risk and Control Self Assessment) — הערכה עצמית של סיכונים ובקרות בידי בעלי התהליך. תדירות אפשרית: שנתית עד רבעונית. חשוב כי הוא מעביר את האחריות לשורת ההגנה הראשונה.
• מטריצת סיכון–בקרה — דירוג הסתברות מול השפעה, לפני בקרה ואחריה (סיכון גולמי מול שייר). חשוב כדי להצדיק תיעדוף השקעות.
• KRI (Key Risk Indicators) — מדדים מקדימים עם ערכי סף וטריגרים להסלמה. חשוב כי הם הופכים סקר סטטי לניטור שוטף.
• תוכנית מיטיגציה — פעולות, אחראי, יעד זמן ומעקב סגירה. חשוב כי זה התוצר הראשון שביקורת פנים בודקת.

מה הרגולטור בוחן בפועל?

הפיקוח בישראל, בהוראות נב"ת הרלוונטיות לניהול סיכונים תפעוליים ולהמשכיות עסקית, ובהתאמה למתודולוגיה מוכרת כדוגמת ISO 31000, מחפש קוהרנטיות: שהסיכונים שזוהו נגזרים ממיפוי אמיתי, שהבקרות נבדקו ולא רק הוכרזו, ושהדירקטוריון קיבל תמונת מצב שאפשר להסתמך עליה. בעינינו, הפער הנפוץ ביותר בשנת 2026 אינו חוסר בתיעוד אלא עודף — רשימות בקרות שנשארו מטעמים היסטוריים ואינן מכסות את הסיכון האמיתי.

כאן נכנסת שיטת ה-BPT של LT Risk Management — מבדק חדירות לתהליך העסקי, שיטה בלעדית של החברה הבוחנת את חולשות התהליך עצמו ולא רק את שכבת הטכנולוגיה, ומספקת מענה משולב לסיכון סייבר, מעילה וטעות אנוש.

כיצד משתנות הדרישות בין בנק ישראל, רשות שוק ההון ורשות ניירות ערך, ומה התעדכן לאחרונה?

האם מדובר בסקר סיכונים תפעוליים כלל-ארגוני או בסקר סיכוני סייבר ומערכות מידע?

הדרישות של בנק ישראל, רשות שוק ההון ורשות ניירות ערך אכן שונות זו מזו, ומה שהתעדכן לאחרונה הוא בעיקר עומק הציפייה מהדירקטוריון — אבל לפני הכל חשוב להבחין בין שתי פרשנויות נפוצות למונח "סקר סיכונים". הראשונה היא סקר סיכונים תפעוליים כלל-ארגוני, כלומר מיפוי שיטתי של תהליכי הליבה, נקודות הכשל, המעילות והבקרות המפצות — לרוב בשיטת RCSA (Risk & Control Self Assessment, הערכה עצמית של סיכונים ובקרות). השנייה היא סקר סיכוני סייבר והגנת מידע, שמתמקד בנכסי מידע, מערכות ובקרות טכנולוגיות. בפועל, מרבית הפניות מהרגולטור מכוונות לפרשנות הראשונה — והסייבר הוא זרוע אחת בתוכה, לא תחליף לה.

רגולטור	מסגרת עיקרית	דגש בסקר
בנק ישראל	הוראות ניהול בנקאי תקין (נב"ת), למשל נב"ת 350	תיעוד תהליכים, מסד נתוני אירועים, קווי הגנה מופרדים
רשות שוק ההון	ההוראות והחוזרים החלים על הגופים שבפיקוחה	משתנה לפי סוג הגוף המפוקח — יש לאמת מול הפרסומים העדכניים
רשות ניירות ערך	הרגולציה החלה על הגופים המפוקחים והמדווחים לה	משתנה לפי אופי הפעילות — יש לאמת מול הפרסומים העדכניים

מעבר לדוגמה המוכרת של נב"ת 350, את הדרישות המדויקות של כל רגולטור יש לאמת ישירות מול פרסומיו העדכניים — הטבלה נועדה להתמצאות בלבד.

מה השתנה בשנים האחרונות?

הכיוון שאנחנו רואים ב-2026 הוא התכנסות: הרגולטורים נשענים על עקרונות ISO 31000 (תקן בינלאומי לניהול סיכונים) ומצפים לשפת סיכון אחידה. שלוש מגמות בולטות: העמקת סיכוני צד שלישי ומיקור חוץ; חיזוק המשכיות עסקית (BCP — תכנית התאוששות לאירועי חירום) לאחר תקופה של אירועים חריגים; והופעת סיכוני AI, שרגולציה כמו EU AI Act מאיצה. LT Risk Management מגשרת בין הפרשנויות הללו: ליאה צור, מוסמכת Chief AI Officer מטעם Copenhagen Compliance, כותבת מפת סיכוני AI ייעודית לצד סקר הסיכונים התפעולי — כך שהמענה לרגולטור הוא אחד, ולא שלושה מסמכים שאינם מדברים זה עם זה.

אילו סימני מומחיות, ניסיון ואמינות כדאי לבדוק לפני חתימה על הסכם ייעוץ?

זה תלוי במה שאתם מתכוונים כשאתם מחפשים סימני מומחיות, ניסיון ואמינות לפני חתימה על הסכם ייעוץ: יש מי שבודק תעודות, יש מי שבודק רפרנסים, ויש מי שבודק מי בפועל יֵשב מולו בחדר. שלושת המבחנים שונים — וכדאי להריץ את כולם.

מה כדאי לאמת בכל אחד מהצירים?

• הסמכות ותקינה — זיקה מוכחת לתקנים המקצועיים: ISO 31000 (ניהול סיכונים), ISO 27001 (אבטחת מידע) והוראות ניהול בנקאי תקין הרלוונטיות (למשל נב"ת 350). קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, מוכר על ידי IRM (Institute of Risk Management) — גוף בינלאומי מוביל בהכשרת מנהלי סיכונים.
• רפרנסים שניתן לאמת — לקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT: בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים.
• ניסיון בהתמודדות עם ביקורת — יועץ שעבד בתוך ארגון מפוקח מבין איך נראה ממצא ביקורת ואיך נראית תשובה שמחזיקה מים. ל-LT למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות.
• הרכב צוות — ודאו בהסכם מי מבצע את העבודה בשטח, ולא רק מי הציג בפגישת המכירה. בבוטיק מקצועי המומחה שנפגש איתכם הוא גם זה שמנתח את התהליך.
• תנאי חוזה וזמינות — LT מציבה מענה לפניות לקוחות תוך 24 שעות כמחויבות שירות לפנייה ראשונית — לא כהתחייבות רמת שירות חוזית.

את הפער שהסימנים האלה מנבאים ממחיש סיפור ההצלחה שתואר לעיל: שינוי תפיסת ניהול סיכוני ההונאות במוסד פיננסי גדול בישראל, שהוביל — לפי הערכת בעלי LT — לחיסכון ניכר בתקנים ולקיצור דרמטי של זמן ניתוק לקוח חשוד מהפלטפורמה העסקית.

מהם הסיכונים והעלויות של בחירה שגויה ביועץ לסקר סיכונים תפעוליים?

הסיכונים והעלויות של בחירה שגויה ביועץ לסקר סיכונים תפעוליים מתחילים במסמך שלא עומד בביקורת ונגמרים בעבודה חוזרת שהארגון משלם עליה פעמיים. אם הסקר נדרש כדי להוכיח לרגולטור — הפיקוח על הבנקים, רשות שוק ההון או המבקר הפנימי — שהבקרות אפקטיביות, נובע מכך שסקר שטחי אינו רק בזבוז תקציב: הוא יוצר מצג שווא של בקרה. ומכיוון שהדירקטוריון חב באחריות אישית לניהול הסיכונים, ממצא ביקורת על מתודולוגיה חלשה מתגלגל למעלה, לא רק לצוות המקצועי.

התוצאות המעשיות של בחירה שגויה כוללות דרישת תיקון עם לוח זמנים צפוף, ביצוע מחדש של הסקר על ידי גורם אחר, בקרות מיותרות שנשארות בתוקף מטעמים היסטוריים ומעמיסות על התפעול, וכן פגיעה מוניטינית מול הרגולטור בסבב הפיקוח הבא.

מה לעשות	על מה להיזהר
לדרוש מתודולוגיה מוכרת (ISO 31000, הוראות נב"ת רלוונטיות)	מסמך תבניתי שאינו מותאם לתהליכי הליבה של הארגון
להתעקש על ראיונות עם בעלי התהליך בשטח	סקר שנכתב מהמסמכים בלבד, ללא הליכה על התהליך
לוודא מי מבצע בפועל	מכירה בידי שותף בכיר וביצוע בידי ג'וניורים
לחייב תוכנית מיטיגציה עם אחראי ותאריך	רשימת סיכונים ללא תעדוף וללא ישימות
לבחון כיסוי הוליסטי — סייבר, מעילות וטעות אנוש יחד	סקר שמפריד סייבר ממעילות ומשאיר את התהליך העסקי עיוור

המיטיגציה בעלת ההשפעה הגבוהה ביותר: לקבוע כבר בהזמנת העבודה שהיועץ מלווה גם את יישום הממצאים. בשיטת ה-BPT — מבדק חדירות לתהליך העסקי, שיטה בלעדית של LT RISKMGMT שבוחנת את חולשות תהליך העבודה עצמו ולא רק את הטכנולוגיה — הבדיקה מכסה סייבר, מעילה וטעות אנוש במסגרת אחת, וכך LT RISKMGMT מצמצמת בדיוק את הפער שמייצר עבודה חוזרת. סיפור ההצלחה במוסד הפיננסי הגדול שתואר לעיל ממחיש בדיוק את ההבדל הזה — בין דוח שנשאר במגירה לבין שינוי בתהליך העבודה עצמו.

שאלות נפוצות: מה עוד כדאי לדעת לפני בחירת יועץ סיכונים?

מי צריך לחתום על תוצרי הסקר בארגון?

האחריות אינה מסתיימת בשולחן היועץ. הדירקטוריון וההנהלה הבכירה נדרשים לאשר את תיאבון הסיכון ואת מסקנות הסקר, מנהל/ת הסיכונים אחראי/ת על תחזוקת מפת הסיכונים, וה-CISO מטמיע את ההיבטים הטכנולוגיים. LT Risk Management בונה את התוצרים כך שיהיו ניתנים להצגה ישירה בדירקטוריון ולא רק בדרג המקצועי.

מה זה BPT ומה ההבדל בינו לבין מבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, הבודקת היכן ניתן "לפרוץ" את התהליך עצמו: הרשאות, מנגנוני אישור, נקודות מגע עם לקוח וספק. בשונה מ-PT טכנולוגי, שבודק תשתיות ואפליקציות — ו-LT אינה מבצעת מבדקי חדירה (PT) טכניים — BPT של LT נותן מענה הוליסטי אחד לסיכון סייבר, מעילה וטעות אנוש.

מתי כדאי מנהל סיכונים במיקור חוץ במקום גיוס?

כשהארגון בינוני או ציבורי, נדרש למענה מקצועי שוטף מול רגולטור, אך אינו מצדיק תקן מלא. שירות Risk Manager as a Service של LT RISKMGMT מספק את הפונקציה בהיקף המשתנה לפי הצורך.

איך מנהלים סיכוני AI בלי לגייס תקן נוסף?

דרך שירות Chief AI Officer של LT Risk Management וכתיבת מפת סיכוני AI ייעודית, המלווה את ההטמעה לאורך כל חייה — דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים לצד EU AI Act. ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance. ארגונים בינוניים וממשלתיים בוחרים לעיתים ב-Risk Manager as a Service, שבו LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש.

כמה זמן לוקח סקר סיכונים תפעוליים?

תלוי במספר תהליכי הליבה בתכולה ובזמינות בעלי התפקידים לראיונות. סקר ממוקד בתהליך אחד נמשך זמן קצר משמעותית מסקר ארגוני רחב; חשוב לסגור לוח זמנים בכתב מראש.

איפה מכשירים את הצוות הפנימי אחרי הסקר?

קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות וביקור ב-SOC מוביל ומרצים אורחים מארגונים גדולים בארץ ובעולם. הקורס מוכר על ידי IRM (Institute of Risk Management).

כמה זמן לוקח לקבל מענה לפנייה?

LT Risk Management מציבה מענה לפניות תוך 24 שעות כמחויבות שירות לפנייה ראשונית — לא כהתחייבות רמת שירות חוזית. בהמשך נקבעת שיחת אפיון שבה מוגדרים היקף הסקר, התהליכים שייבחנו והתוצרים הנדרשים — כולל, במידת הצורך, BCP (תכנית המשכיות עסקית לאירועי חירום).