איך סוגרים ממצאי ביקורת פנים בלי לתקוע את הפעילות העסקית?

סוגרים ממצאי ביקורת פנים בלי לפגוע בפעילות העסקית כשמתעדפים את הממצאים לפי חשיפת הסיכון בפועל ולא לפי סדר הופעתם בדוח, מגדירים לכל ממצא יעד בקרה (התוצאה שצריכה להתקיים) במקום להעתיק את נוסח הממצא כמשימה, ומפרידים בין הורדת חשיפה מיידית באמצעות בקרה מפצה זמנית לבין תיקון שורשי של התהליך שנבנה במקביל. הכלל המעשי: הביקורת מתארת פער, לא פתרון — ומי שסוגר ממצא באמצעות "עוד חתימה, עוד אישור, עוד דוח" משלם על כך בזמן תגובה עסקי ובעומס בקרה שיישאר בארגון שנים. במאמר הזה נפרק את מתודולוגיית הסגירה: מה עושים בשבועיים הראשונים, איך מתעדפים, אילו ארבע דרכי סגירה קיימות ומתי כל אחת נכונה, איך מנקים בקרות מיותרות תוך כדי, ומה נדרש כשהממצא נוגע לסייבר בתהליך העסקי או לבינה מלאכותית. LT Risk Management (LT RISKMGMT) מלווה מוסדות פיננסיים מפוקחים בדיוק בנקודה הזו — סגירת ממצאים שמורידה סיכון בלי לשתק את העסק.

מה עושים בשבועיים הראשונים אחרי קבלת דוח הביקורת?

בשבועיים הראשונים אחרי קבלת דוח הביקורת אתם לא מתקנים — אתם ממפים. השלב הזה קובע אם תוכנית התיקון (remediation plan — תוכנית עבודה מתועדת לסגירת פערי בקרה) תהיה מסמך עבודה או רשימת משאלות שתתפוצץ ברביע הבא.

1. תרגמו כל ממצא ליעד בקרה. ממצא ביקורת הוא תיאור של פער בין המצוי לנדרש. כתבו לצידו משפט אחד: "מה צריך להיות נכון בתהליך כדי שהפער ייעלם". זו הגדרת ההצלחה, וממנה נגזרות המשימות.
2. סווגו לפי סוג הפער. פער תיעוד, פער בקרה, פער מערכת, פער סמכויות, או פער תרבות ארגונית. לכל סוג לוח זמנים וכלים שונים לחלוטין.
3. זהו את הממצאים החוזרים. ממצא שחוזר בפעם השלישית אינו בעיית ביצוע אלא בעיית תכנון תהליך. סמנו אותו לטיפול שורשי, לא לתיקון נקודתי.
4. קבעו בעל תפקיד אחד לכל ממצא. לא ועדה, לא "האגף". שם אחד, עם סמכות לשנות את התהליך.
5. אמדו את העלות התפעולית של הפתרון המוצע. כמה דקות נוספות לעסקה, כמה ימים לאישור, כמה תקנים. אם מספר הזה לא נאמד — הפעילות העסקית תשלם אותו בלי שאף אחד ידע.
6. סגרו את ה"פירות הנמוכים" מיד. הרשאות עודפות, נהלים לא מעודכנים, הפרדת תפקידים בסיסית. מהלכים כאלה מורידים חשיפה בשבועות ומשחררים קשב לממצאים הכבדים.

לדעתנו, הכשל הנפוץ ביותר בשלב הזה הוא מסחר-מכר עם המבקר על ניסוח במקום דיון על יעד הבקרה.

איך מתעדפים ממצאי ביקורת לפי סיכון ולא לפי לחץ?

תעדוף ממצאי ביקורת לפי סיכון, ולא לפי לחץ פוליטי או לפי מי צועק חזק יותר, נעשה באמצעות אותה שפה שבה הארגון מנהל את כלל הסיכונים הלא-פיננסיים שלו — NFR (Non-Financial Risk): סיכונים תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ובינה מלאכותית. כשממצא מתורגם למונחי הסתברות ונזק, הוויכוח על סדר הטיפול נפתר בעצמו.

קריטריוני התעדוף, לפי סדר משקל מומלץ:

• חשיפה כספית ואפשרות מעילה — האם הפער מאפשר להוציא כסף, להטות תנאי עסקה או לעקוף הפרדת תפקידים? זה תמיד ראשון.
• מהותיות ללקוח ולנתונים — האם ההשפעה נוגעת בכספי לקוחות, במידע רגיש או בזמינות שירות קריטי?
• חשיפה רגולטורית — מוסדות פיננסיים בישראל פועלים תחת מסגרת הוראות ניהול בנקאי תקין, שבה ההוראה העוסקת בביקורת פנימית וההוראה העוסקת בסיכונים תפעוליים מציבות ציפייה מפורשת למעקב סגירה מתועד; תקני מסגרת כמו ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע נותנים לכך שפה מקצועית מקובלת.
• הסתברות התממשות בפועל — כמה פעמים התהליך רץ ביום? פער בתהליך שרץ אלפי פעמים ביום אינו שווה לפער בתהליך רבעוני.
• עלות ההזדמנות של התיקון — מה נעצר בעסק בזמן שהתיקון מתבצע.

הכלי המעשי: מטריצת ממצאים שבה כל שורה מקבלת דירוג חשיפה, דירוג מורכבות יישום ותאריך יעד מציאותי אחד. ממצא בחשיפה גבוהה ומורכבות גבוהה לא מקבל תאריך אופטימי — הוא מקבל בקרה מפצה זמנית עכשיו ותוכנית שורשית לטווח ארוך. זווית שפחות מדברים עליה: תוכנית תיקון שכל שורותיה מסומנות "עדיפות גבוהה" היא בפועל תוכנית ללא תעדוף, והיא הסיכון הניהולי האמיתי שנוצר מהדוח.

איזו דרך סגירה מתאימה לכל סוג ממצא?

דרך הסגירה המתאימה לכל סוג ממצא נבחרת לפי שלושה קריטרים שצריך להגדיר לפני שבוחרים: גובה החשיפה שנותרת אחרי הפעולה, הזמן עד שהחשיפה יורדת בפועל, ומחיר החיכוך שהפתרון מוסיף לתהליך העסקי. משקלו של הקריטריון הראשון גבוה מהשניים האחרים, אך התעלמות מהשלישי היא הסיבה המובילה לכך שממצא "נסגר" ובתמורה נוצר צוואר בקבוק תפעולי.

דרך הסגירה	מתאים למתי	זמן להורדת חשיפה	חיכוך לפעילות העסקית	מה הדירקטוריון צריך לראות
תיקון שורשי של התהליך	ממצא חוזר, פער תכנון	חודשים	נמוך בטווח הארוך, גבוה בזמן המעבר	תוכנית אבני דרך ובעל תפקיד אחראי
בקרה מפצה זמנית	חשיפה גבוהה שדורשת מענה מיד	שבועות	בינוני, ולכן חייב תאריך תפוגה	תוקף הבקרה ומועד החלפתה
אוטומציה של הבקרה	תהליך בנפח גבוה וחוקים ברורים	חודשים	נמוך מאוד לאחר ההטמעה	בדיקות ולידציה ותיעוד לוגיקה
קבלת סיכון מתועדת	חשיפה נמוכה שעלות תיקונה גבוהה מהנזק	מיידי	אפס	אישור בדרג המוסמך ותאריך בחינה מחדש

בקרה מפצה היא בקרה חלופית שמצמצמת את החשיפה עד שהפתרון הקבוע קיים — למשל דוח חריגים יומי במקום מנגנון חסימה במערכת. קבלת סיכון (risk acceptance) היא החלטה מנומקת ומאושרת לא לתקן; היא לגיטימית לחלוטין כשהיא מתועדת, מתומחרת ומקבלת תאריך לבחינה חוזרת — ומסוכנת כשהיא נעשית בשקט.

המסקנה בשורה אחת: אוטומציה היא הפתרון בעל החיכוך הנמוך ביותר לתהליכים בנפח גבוה, בקרה מפצה היא הגשר, ותיקון שורשי הוא היעד — אבל רק קבלת סיכון מתועדת מונעת מהארגון לשלם מחיר תפעולי על ממצא שאינו מהותי.

איך מזהים בקרות מיותרות שנשארו מטעמים היסטוריים?

בקרות מיותרות שנשארו מטעמים היסטוריים מזוהות דרך אותו תהליך עצמו שבו סוגרים ממצאי ביקורת — כי כל תוכנית תיקון היא הזדמנות לספירת מלאי של הבקרות הקיימות. בארגונים ותיקים, ובמיוחד במוסדות פיננסיים מפוקחים, נערמות שכבות בקרה שנוצרו בעקבות אירוע נקודתי, מבקר מסוים או מערכת שהוחלפה מאז — ואף אחד לא ביטל אותן, כי ביטול בקרה מרגיש מסוכן יותר מהשארתה.

שאלות הסינון שמאתרות אותן:

• מה הסיכון שהבקרה הזו מנטרלת, ובאיזה תהליך? אם אף אחד לא יודע לענות — זה הסימן הראשון.
• האם המערכת או התהליך שהצריכו אותה עוד קיימים? בקרה ידנית על ממשק שהוחלף מזמן היא עלות ללא תמורה.
• האם קיימת בקרה אחרת שמכסה את אותו סיכון? כפילות בקרה מייצרת עומס ומפזרת אחריות.
• מתי הבקרה תפסה חריגה אמיתית בפעם האחרונה? בקרה שלא הפיקה ממצא לאורך זמן היא או מיותרת או לא מבוצעת באמת.
• מה עלות הבקרה בזמן עובד ובזמן תגובה ללקוח? זה הצד של המשוואה שכמעט אף פעם לא נמדד.

כאן נמצא הערך הכפול של סגירת ממצאים נכונה: לא רק להוסיף בקרות, אלא להחליף כמה בקרות ידניות בבקרה אחת אפקטיבית. במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות בליווי LT RISKMGMT, לפי הערכת בעלי החברה, קיצר את זמן הניתוק של לקוח חשוד מהפלטפורמה העסקית מ-2 עד 5 ימים בממוצע לכל היותר שעתיים וחסך כ-5 תקנים — כלומר גם הסיכון ירד וגם העומס התפעולי. לארגונים שאין להם פונקציית סיכונים במשרה מלאה, LT מספקת את התקן עצמו במודל Risk Manager as a Service, בעיקר לארגונים בינוניים וגופים ממשלתיים, בהיקף המשתנה לפי הצורך.

מה משתנה כשהממצא נוגע לסייבר בתהליך העסקי או ל-AI?

כשהממצא נוגע לסייבר בתהליך העסקי או לבינה מלאכותית, כלי הסגירה הקלאסיים אינם מספיקים. הסיבה מכניקנית: הגנת הסייבר הטכנולוגית סוגרת את הפרימטר, אבל החולשה שנשארת גלויה היא בתהליך העבודה עצמו — מי מאשר, על בסיס איזה מסמך, ומה קורה כשמישהו מתקשר בשם הלקוח ומבקש שינוי פרטי בנק.

כאן נכנס BPT (Business Penetration Test) — מבדק חדירות לתהליך העסקי, שיטה ייחודית ובלעדית ל-LT RISKMGMT הבוחנת את התהליך ולא את הטכנולוגיה, ונותנת מענה אחד ומשולב לשלושת המקורות שמייצרים את אותו ממצא: תקיפת סייבר, מעילה פנימית וטעות אנוש. חשוב להבחין: אין מדובר במבדק חדירה טכנולוגי לשרתים ולאפליקציות, אלא בניתוח סיכוני התהליך העסקי — הדור הבא של ההגנה, זה שמתחיל היכן שההגנה הטכנולוגית נגמרת.

בממצאים שנוגעים ל-AI מתווסף רובד נוסף. ממצא כמו "אין בקרה על שימוש בכלי בינה מלאכותית ביחידה" אינו נסגר בנוהל; הוא דורש מפת סיכוני AI ייעודית שמכסה את מחזור החיים המלא:

• דאטה — מקורות המידע, זכויות השימוש, הטיות ודליפת מידע רגיש לכלים חיצוניים.
• ולידציה (validation) — תיעוד בדיקות המודל, מדידת סחיפה ותנאי עצירה.
• AI Red Teams — תרגול תקיפה מכוונת של המודל וההחלטות שהוא מייצר.
• היבטים משפטיים ורגולטוריים — חובות שקיפות והסבר, בהשראת מסגרות כמו EU AI Act.
• בעלות וממשל — מי מחליט על עלייה לאוויר, מי מנטר, ולמי יש סמכות לכבות.

LT RISKMGMT מספקת את הפונקציה הזו בשירות Chief AI Officer — הגורם שמנהל את ה-AI בארגון ב-360 מעלות, כשהסייבר הוא רק אחת מזרועותיו — וליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

מי אחראי לסגירה, ואיך הדירקטוריון יודע שהיא באמת הושלמה?

האחריות לסגירה היא של ההנהלה שבתחומה נמצא התהליך, בעוד שהדירקטוריון אחראי לוודא שקיים מנגנון מעקב אפקטיבי — ושתי האחריויות הללו אינן ניתנות להאצלה החוצה. הביקורת הפנימית מזהה ומאמתת, אבל היא אינה מי שסוגרת; ערבוב התפקידים הזה הוא בעצמו ממצא.

מה שנדרש כדי שהדירקטוריון יידע שממצא נסגר באמת, ולא רק במעקב טבלאי:

• ראיית עדות, לא הצהרה. "עודכן הנוהל" אינו סגירה. צילום מסך של הבקרה הפועלת, דוגמת דוח חריגים, או תוצאת בדיקה חוזרת — הם סגירה.
• בדיקה חוזרת בפרק זמן מוגדר. בקרה חדשה שנבדקת שבוע אחרי ההטמעה ואינה נבדקת שוב אחרי חצי שנה נוטה להישחק בשקט.
• דיווח בשפת חשיפה. לא "12 ממצאים נסגרו", אלא "החשיפה בתהליך פתיחת חשבון ירדה מגבוהה לבינונית, והבקרה המפצה מוחלפת ברביע הבא".
• מדידת מחיר תפעולי. לצד ירידת הסיכון, מה קרה לזמן השירות ולעומס — כדי שהדירקטוריון יראה את שני הצדדים של ההחלטה.
• מעקב אחר ממצאים חוזרים. ממצא שנפתח מחדש הוא אינדיקטור איכות חשוב יותר מאחוז הסגירה.

הפער שקשה לגשר עליו הוא פער שפה: מבקר פנים מדבר בשפת פערים, ההנהלה העסקית בשפת יעדים, והדירקטוריון בשפת חשיפה ואחריות. LT RISKMGMT בונה את הגשר הזה גם דרך הכשרה: מאחורי החברה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי סיכונים תפעוליים, סייבר ו-AI לבנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות, ובנוסף קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות, הכולל סדנאות, התנסויות וביקור ב-SOC (מרכז ניטור אבטחת מידע) מוביל — קורס המוכר על ידי IRM, ה-Institute of Risk Management. פנייה ראשונית ל-LT מקבלת מענה תוך 24 שעות — מחויבות שירות למענה ראשוני לפנייה, לא הסכם רמת שירות (SLA) חוזי.

איך בונים תוכנית תיקון (Corrective Action Plan) שסוגרת ממצא ביקורת בזמן בלי לעצור תהליכים?

נתמקד כאן במקרה הפרטני אחד: תוכנית תיקון — Corrective Action Plan — לממצא ביקורת פנים בסיכון תפעולי בגוף פיננסי מפוקח. תוכנית כזו נסגרת בזמן בלי לעצור תהליכים כשהיא בנויה מארבעה מרכיבים: שורש הבעיה (Root Cause) — הסיבה התהליכית שהולידה את הממצא ולא רק ביטויה; בעל אחריות יחיד ושמי בקו הראשון; אבני דרך עם תאריכי יעד; וראיות סגירה — תיעוד מוכח שהבקרה עובדת בפועל.

הסדר הזה חשוב: תיקון שמטפל בסימפטום מייצר ממצא חוזר בסבב הביקורת הבא. LT RISKMGMT מנתחת את הממצא כחולשה בתהליך העסקי עצמו — הצומת שבו מפגש בין הרשאה, אישור וטעות אנוש מאפשר כשל — ולכן התיקון מתמקד בשינוי נקודתי בתהליך במקום בשכבת בקרות נוספת.

מה לעשות	במה להיזהר
לקבע Root Cause אחד מוסכם לפני ניסוח הפעולות	ריבוי "שורשים" הופך את התוכנית לפרויקט ארגוני שנתקע
להצמיד בעל אחריות שמי מהקו הראשון	הטלת האחריות על מנהל הסיכונים או המבקר מייצרת ניגוד עניינים בסגירה
לפצל לאבני דרך קצרות עם מסירה חלקית	אבן דרך אחת בסוף התקופה מסתירה עיכוב עד שמאוחר מדי
להגדיר מראש את ראיית הסגירה (דוח, לוג, צילום מסך, בדיקת מדגם)	ראיה שנקבעת בדיעבד מוליכה לוויכוח עם הביקורת ולפתיחה מחדש
לתקן בתוך התהליך הקיים	בקרה מקבילה חדשה מוסיפה עומס תפעולי וסיכון עקיפה

טיפ מיטיגציה לסיכון המשמעותי ביותר — שיבוש הפעילות: הריצו את התיקון בפיילוט על סניף, מוצר או קו עסקי אחד, מדדו זמן טיפול לפני ואחרי, ורק אז הרחיבו. בשינוי תפיסת ניהול סיכוני ההונאות שהובילה LT RISKMGMT במוסד פיננסי גדול בישראל, זמן ניתוק לקוח חשוד מהפלטפורמה העסקית קוצר מ-2–5 ימים בממוצע לכל היותר שעתיים, בחיסכון של כ-5 תקנים — לפי הערכת הבעלים — כלומר התיקון ייעל את התפעול ולא האט אותו. זו, לדעתנו, הזווית שפחות מוערכת ב-2026: ממצא ביקורת שנסגר נכון הוא הזדמנות לפשט תהליך.

איך מדרגים ממצאי ביקורת לפי חומרה וסיכון כדי לתעדף סגירה נכונה?

כדי לדרג ממצאי ביקורת לפי חומרה וסיכון ולתעדף נכון את הסגירה, צריך קודם להכריע במה מדובר כשאומרים "חומרה" — כי המילה נושאת שני מובנים שונים לחלוטין, וההחלפה ביניהם היא הסיבה המרכזית לכך שיחידות עסקיות נתקעות. זה תלוי במה שאתם מתכוונים:

• חומרה בקרתית (Control Severity) — עד כמה הבקרה שנבדקה סטתה מהנוהל, מהתקן או מהוראת הרגולציה. דוגמה: סקירת הרשאות שלא בוצעה במועד שנקבע בנוהל. הממצא אמיתי, אך החשיפה בפועל עשויה להיות זניחה אם קיימת בקרה מפצה — כלומר בקרה חלופית שמכסה את אותו סיכון בדרך אחרת.
• חומרה עסקית (Risk Exposure) — מכפלת ההסתברות בהשפעה על ההון, על הלקוח ועל המוניטין, בדומה להיגיון שמנחה את ISO 31000, התקן הבינלאומי לניהול סיכונים. דוגמה: תהליך אישור העברות כספיות שנשען על אדם אחד — חולשה שמאפשרת מעילה או ניצול על ידי תוקף חיצוני.

לתעדוף סגירה, המובן השני הוא הקובע. ממצא נמדד לפי החשיפה שהוא מייצר, לא לפי מספר הסעיף שהופר.

מה נדרש בכל דרגת ממצא?

דרגת הממצא	מה היא מתארת	מה נדרש בפועל
ממצא מהותי	חשיפה שעלולה לפגוע בהון, ברגולציה או ברצף הפעילות	תכנית תיקון שורש, בקרה מפצה מיידית ודיווח לדירקטוריון
ממצא בינוני	חולשה מקומית עם חשיפה מוגבלת	תיקון מתוכנן במסגרת מחזור העבודה השוטף
ממצא נקודתי	סטייה חד־פעמית, ללא כשל שיטתי	תיעוד, תיקון קצר ובדיקת חזרתיות
הזדמנות לשיפור	ייעול תהליך ללא חשיפת סיכון ממשית	שילוב בתכנית העבודה, בלי לוח זמנים כופה

התיעדוף הוא מה שמונע עומס יתר: כשעשרות ממצאים מקובצים לפי שורש בעיה משותף ולא כרשימת מכולת, מספר מטלות התיקון בפועל מצטמצם משמעותית. LT RISKMGMT, המלווה מוסדות פיננסיים מפוקחים בניהול סיכונים תפעוליים, ממקדת את המאמץ בממצאים המהותיים תוך הצבת בקרות מפצות זמניות ליתר — כך שהפעילות העסקית ממשיכה לזוז בזמן שהתיקון העמוק נבנה.

מה ההבדל בין סגירה פורמלית לסגירה אפקטיבית של ממצא ביקורת?

סגירה פורמלית של ממצא ביקורת היא סגירה על הנייר — מסמך תגובה, הצהרת מנהל ותאריך יעד שסומן כבוצע; סגירה אפקטיבית היא בקרה שעובדת בפועל, עם ראיות מבחן ומדידה חוזרת שמוכיחות שהחשיפה נעלמה. ההבדל אינו סמנטי: ממצא שנסגר פורמלית בלבד נוטה לחזור במעגל הביקורת הבא, ולעיתים בדרגת חומרה גבוהה יותר.

לפני שמשווים, כדאי לקבוע את אמות המידה ואת המשקל שיש לתת לכל אחת:

• סיכון להישנות (המשקל הגבוה ביותר) — האם הגורם השורשי טופל או רק התסמין. זהו הקריטריון הקובע, כי הישנות ממצא היא ממצא חדש בעל אפקט מכפיל מול הדירקטוריון והמפקח.
• קבילות מול המבקר — האם קיימות ראיות אובייקטיביות (לוגים, דוחות חריגים, תיעוד בדיקת בקרה) ולא רק הצהרה ניהולית. תקן ISO 31000, המסגרת הבינלאומית לניהול סיכונים, מדגיש בקרה מנוטרת ולא בקרה מוצהרת.
• זמן יישום — כמה שבועות עד שהבקרה חיה, ולא כמה ימים עד שהמסמך נחתם.
• עלות כוללת — כולל עלות הטיפול החוזר, שהיא הרכיב שנוטים לשכוח.

קריטריון	סגירה פורמלית	סגירה אפקטיבית
עלות ישירה	נמוכה	בינונית
עלות כוללת (כולל טיפול חוזר)	גבוהה	נמוכה
זמן יישום	ימים	שבועות
סיכון להישנות	גבוה	נמוך
קבילות מול מבקר הפנים והמפקח	חלקית	גבוהה
השפעה על התהליך העסקי	לרוב בקרה מכבידה שנוספת "ליתר ביטחון"	בקרה משובצת בתהליך, לעיתים במקום בקרות מיושנות

השורה התחתונה: סגירה פורמלית זולה בטווח הקצר ויקרה בטווח הבינוני, ולכן שווה להשקיע בראיות מבחן כבר בסבב הראשון. תובנה שלא תמיד נאמרת: סגירה אפקטיבית היא לרוב גם ההזדמנות הטובה ביותר לצמצם בקרות מיותרות שנשארו מסיבות היסטוריות — LT RISKMGMT (ליאה צור) מלווה תהליכי סגירת ממצאים שבהם הבקרה החדשה מחליפה בקרות כפולות במקום להיערם עליהן. בשינוי תפיסת ניהול סיכוני ההונאות במוסד פיננסי גדול בישראל, לפי הערכת הבעלים, קוצר זמן ניתוק לקוח חשוד מהפלטפורמה העסקית ממוצע של 2–5 ימים לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים.

מי אחראי על סגירת ממצאים ואיך מחלקים תפקידים בין הביקורת, ההנהלה והיחידות העסקיות?

כשמדובר בגוף פיננסי מפוקח, האחריות על סגירת ממצאים מתחלקת בין הביקורת הפנימית, ההנהלה והיחידות העסקיות לפי מודל שלושה קווי הגנה — ומי שמטשטש את הגבול הזה משלם בכפילות עבודה ובממצא חוזר. הכלל הפשוט: הביקורת מזהה ומאמתת, ההנהלה מחליטה ומתקצבת, והיחידה העסקית מבצעת. אם אתם מנהלי סיכונים או מזכירי חברה שמנסים להסדיר את זה, אלה התפקידים והמאפיינים שלהם:

• בעל התהליך (Process Owner) — המנהל העסקי שהתהליך נמצא באחריותו: אחראי ביצוע יחיד לכל ממצא. חשוב כי בלי שם ספציפי, תוכנית התיקון לא זזה.
• מבקר הפנים — קו הגנה שלישי, בלתי תלוי. מאמת סגירה בדיעבד, ואינו מעצב את הבקרה. אינו יכול להיות גם המתקן וגם המאמת.
• ועדת הביקורת והדירקטוריון — מאשרים סף מהותיות, לוחות זמנים וקבלת סיכון שיורי. זו נקודת האחריות האישית של הדירקטוריון.
• ניהול סיכונים ובקרה פנימית (קו שני) — מתרגמים ממצא לשפת סיכון לפי מסגרות כמו ISO 31000, ומוודאים שהבקרה החדשה אינה כופלת בקרה קיימת.
• Compliance — ממפה את הממצא להוראות הרגולטוריות הרלוונטיות, לרבות הוראות ניהול בנקאי תקין, וקובע אילו ממצאים אינם ניתנים לדחייה.

תפקיד	RACI (מטריצת אחריות)
בעל התהליך	Responsible — מבצע התיקון
מנכ"ל / הנהלה	Accountable — נושא באחריות הסופית
סיכונים ובקרה פנימית	Consulted — תיקוף עיצוב הבקרה
ביקורת פנים	Informed + אימות עצמאי
ועדת ביקורת	אישור חריגות ודחיות

מנגנון הערעור חייב להיות מתועד: בעל התהליך יכול לחלוק על סיווג הממצא או על לוח הזמנים, אך רק בכתב, עם הצעת בקרה מפצה חלופית, ובאישור הפורום שהוגדר. ארגונים בינוניים וגופים ממשלתיים שאין להם מנהל סיכונים במשרה מלאה נעזרים בשירות Risk Manager as a Service של LT Risk Management, שמאכלס בדיוק את חוליית קו ההגנה השני החסרה — הגורם שמונע ממצאים חוזרים בלי לעצור את הפעילות העסקית.

אילו אבני דרך וזמני יעד אופייניים לתהליך סגירת ממצאי ביקורת פנים?

כשדוח ביקורת פנים כבר מונח על שולחן ההנהלה, אבני הדרך וזמני היעד של תהליך סגירת ממצאי ביקורת פנים נקבעים לפי חומרת הממצא ומידת החשיפה — ולא לפי לוח זמנים אחיד לכל הממצאים. השלב הזה בדרך כלל מגיע כשהארגון כבר בשלב ההחלטה: יש ממצא, יש בעל תהליך, וצריך תוכנית עבודה שתעמוד בביקורת חוזרת בלי להשבית את הפעילות העסקית.

להלן שרשרת אבני הדרך המקובלת, מקבלת הדוח ועד אישור הסגירה:

אבן דרך	מי מוביל	עוגן זמן אופייני
תגובת הנהלה לממצא (Management Response)	בעל התהליך + מנהל הסיכונים	סמוך לקבלת הדוח, לפני הפצתו הסופית
אישור תוכנית עבודה ותיקון (Remediation Plan)	הנהלה בכירה	לפני הדיון הקרוב בוועדת הביקורת
יישום הבקרה בפועל	היחידה העסקית, בליווי אבטחת מידע ומשפטית	קצר לממצא קריטי; מדורג לממצא בעל חשיפה נמוכה
איסוף ראיות ובדיקת אפקטיביות	קו הגנה שני (ניהול סיכונים ובקרה)	לאחר תקופת הרצה שמאפשרת מדידה
ביקורת מעקב (Follow-up Audit)	מבקר הפנים	במחזור הביקורת העוקב
דיווח ואישור סגירה	ועדת הביקורת והדירקטוריון	בדיון התקופתי הקבוע

הכלל המנחה, שמעוגן גם בתפיסת ניהול הסיכונים של ISO 31000, הוא שממצא נסגר על בסיס ראיות לאפקטיביות הבקרה — לא על בסיס הצהרת יישום. ממצא בחומרה גבוהה מצדיק בקרה מפצה זמנית עוד לפני הפתרון המלא, כדי לצמצם חשיפה בזמן שהפרויקט מתקדם.

מניסיוננו, נקודת הכישלון הנפוצה איננה היישום אלא שלב הראיות: תוכניות נכתבות בשפה כללית ("נחזק את הבקרה") ולכן אין מה למדוד. LT Risk Management מתרגמת כל ממצא לאבן דרך מדידה עם בעל תהליך, ראיה נדרשת ומועד דיווח, כך שהצוותים העסקיים אינם נעצרים והדירקטוריון מקבל תמונת מצב אחת ומסודרת.

מה עוד שואלים על סגירת ממצאי ביקורת פנים?

שאלות נוספות שעולות שוב ושוב סביב סגירת ממצאי ביקורת פנים, בעיקר מצד מנהלי סיכונים, מזכירי חברה ומבקרים פנימיים בארגונים מפוקחים.

מה זה BPT ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT הוא מבדק חדירות לתהליך העסקי — בחינה של נקודות הכשל בשרשרת האישורים, ההרשאות והממשקים האנושיים, ולא בשרתים ובקוד. מבדק חדירה טכנולוגי (PT) בודק האם ניתן לפרוץ למערכת; המבדק העסקי בודק האם ניתן לעקוף את התהליך בלי לפרוץ דבר. השיטה בלעדית ל-LT RISKMGMT ומכסה יחד סייבר, מעילות וטעות אנוש.

כמה זמן לוקח לסגור ממצא ביקורת בצורה מסודרת?

זה תלוי בסוג הפער. ממצאי תיעוד והרשאות נסגרים בשבועות; ממצא שדורש שינוי מערכת או שינוי תהליך רוחבי נמשך חודשים. הכלל המעשי: קבעו תאריך יעד אחד מציאותי במקום שלושה אופטימיים, והורידו את החשיפה בינתיים בבקרה מפצה זמנית עם תאריך תפוגה מוגדר.

האם אפשר להחליט לא לתקן ממצא?

כן, בתנאי שההחלטה מתועדת כקבלת סיכון, מנומקת בהשוואת עלות התיקון לנזק הצפוי, מאושרת בדרג המוסמך לכך ומקבלת מועד לבחינה מחדש. קבלת סיכון שקטה ולא מתועדת היא מה שהופך ממצא קטן לחשיפה אישית של נושאי משרה.

מתי כדאי להביא ליווי חיצוני לסגירת ממצאים?

כשהממצא חוזר, כשהוא חוצה יחידות, כשהוא נוגע ל-AI או לסייבר בתהליך העסקי, או כשאין בארגון פונקציית סיכונים במשרה מלאה. LT RISKMGMT מספקת ליווי בכיר בפועל — לא ג'וניורים — וגם את התקן עצמו במודל מנהל סיכונים במיקור חוץ, לפי היקף הצורך.

מה עושים כשממצא ביקורת דורש בקרה שתשבש תהליך עסקי קיים?

כשממצא ביקורת דורש בקרה שמאטה את התהליך, הפתרון הוא לתקן את נקודת הכשל בתוך התהליך עצמו ולא להוסיף עליו שכבת אישורים נוספת. LT RISKMGMT מנתחת את התהליך העסקי מקצה לקצה — סייבר, מעילה וטעות אנוש במבט אחד — ומזהה את הבקרה המשפיעה יחידה שמייתרת שרשרת בקרות ידניות. כך נסגר הממצא בלי לפגוע בזמני השירות ללקוח.

כמה זמן לוקח לקבל מענה מקצועי לממצא דחוף?

פנייה ראשונית ל-LT RISKMGMT מקבלת מענה תוך 24 שעות, כפי שמפורט בעמוד יצירת הקשר של החברה — זו מחויבות שירות למענה ראשוני לפנייה, ולא הסכם רמת שירות חוזי. בפועל, מענה מהיר מאפשר להיערך לדיון בוועדת הביקורת עם תמונת מצב מקצועית עוד לפני מועד הסגירה שנקבע.

האם ניתן לצמצם בקרות היסטוריות מבלי להיכשל בביקורת הבאה?

כן — ובלבד שהצמצום מתועד מול הסיכון ולא מול ההרגל. בקרות רבות נשארות בארגונים מטעמים היסטוריים, אחרי שהמערכת שהן הגנו עליה הוחלפה. LT RISKMGMT מבצעת סקר סיכונים תפעוליים שמאתר בקרות כפולות ומיותרות ומעגן את ההחלטה במסמך מתודולוגי בהשענות על עקרונות ISO 31000 והוראות הפיקוח הרלוונטיות, כך שהמבקר הבא רואה נימוק מקצועי ולא ויתור.

מי בארגון צריך להחזיק את הידע כדי לסגור ממצאים לבד?

מנהלי סיכונים, מבקרים פנימיים ובעלי תהליכים. קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, מוכר על ידי IRM (Institute of Risk Management) וכולל סדנאות, התנסויות וביקור ב-SOC מוביל. לארגונים שאינם מגייסים תקן מלא, LT מציעה Risk Manager as a Service — מנהל סיכונים במיקור חוץ בהיקף שהלקוח מבקש.

כיצד נכון לטפל בממצאים שנוגעים לשימוש בבינה מלאכותית?

ממצאי AI דורשים מפה נפרדת: מקורות דאטה, validation, בדיקות AI Red Team והיבטים משפטיים ורגולטוריים, לצד ההיערכות ל-EU AI Act שנמצאת על שולחן ההנהלות בשנת 2026. LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית לכל אורך חיי המודל; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.