טעויות נפוצות בסקר סיכונים תפעוליים שמובילות לממצאים — ואיך למנוע אותן

סקר סיכונים תפעוליים נכשל בביקורת פנימית או בבדיקה רגולטורית כמעט תמיד מאותן סיבות: הוא מתעד את הבקרות הקיימות במקום למפות את הסיכונים האמיתיים, הדירוג בו סובייקטיבי ולא מבוסס נתונים או תיאבון סיכון מוגדר, והוא מדלג על התפרים שבין מעילות, סייבר, טעות אנוש ובינה מלאכותית. הטעות השכיחה ביותר היא סקר "מלמעלה למטה" שנשען על ראיונות בלבד בלי לרדת לתהליך העסקי עצמו — ולכן מפספס בדיוק את החולשות שמבקר הפנים ימצא. בכתבה הזו נפרק את הטעויות לפי סדר החומרה, נשווה בין גישות סקר, ונציג את הדרך שבה LT RISKMGMT — חברת הייעוץ וההכשרה של ליאה צור — מנתחת את התהליך העסקי עצמו כדי לסגור את הפערים לפני שהם הופכים לממצא.

מהן הטעויות הנפוצות ביותר בסקר סיכונים תפעוליים שמובילות לממצאים?

הטעויות הנפוצות בסקר סיכונים תפעוליים שמובילות לממצאים מתרכזות בשלב האבחון, לא בשלב הכתיבה. סקר סיכונים תפעוליים הוא תהליך שיטתי לזיהוי, הערכה ותעדוף של סיכוני NFR — Non-Financial Risk, כלומר כל הסיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית וסיכוני AI. כשהאבחון שגוי, גם המסמך המהוקצע ביותר ייצור ממצא.

הטעויות שחוזרות אצל גופים מפוקחים:

מיפוי בקרות במקום מיפוי סיכונים. הצוות מתעד מה כבר נעשה, ומגדיר את הסיכון כ"היעדר הבקרה" — כך נוצר סקר שמאשר את המצב הקיים ולא מאתגר אותו.
היעדר תיאבון סיכון (Risk Appetite) מוגדר. בלי הצהרה מאושרת דירקטוריון על רמת הסיכון שהארגון מוכן לספוג, אין קריטריון להחליט מה חריג ומה נסבל.
דירוג סובייקטיבי ללא נתונים. הערכות הסתברות וחומרה נקבעות בתחושת בטן, בלי הצלבה לאירועי כשל שהתרחשו, לתלונות לקוחות או ליומני מערכות.
סקר מבוסס ראיונות בלבד. בעל התהליך מתאר את הנהלים כפי שהם אמורים לעבוד, לא כפי שהם עובדים בפועל, כולל העקיפות שנוצרו בלחץ הזמן.
התעלמות מסיכוני מעילות והונאות. מעילה מנוצלת דווקא בתפרים בין יחידות ובהרשאות עודפות — בדיוק האזורים שסקר לפי מבנה ארגוני לא מכסה.
סיכוני AI מחוץ למסגרת. מודלים גנרטיביים, איכות דאטה ותהליכי validation לא נכנסים למתודולוגיה שנכתבה לפני עידן ה-AI.
היעדר בעלות ובקרת יישום. תוכניות מיטיגציה בלי שם בעל תהליך, תאריך יעד ומדד מעקב הופכות למסמך מדף.

בשנת 2026 נוסף גם ממצא חדש שנפוץ יותר ויותר: היעדר התייחסות לשימוש בכלי AI על ידי עובדים בתהליכים קריטיים. LT RISKMGMT מטפלת בפער הזה דרך שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, המלווה את ההטמעה לכל אורך חייה — דאטה, ולידציה, AI Red Teams והיבטים משפטיים ורגולטוריים.

למה סקר שנבנה סביב בקרות היסטוריות מייצר דווקא ממצאי ביקורת?

סקר שנבנה סביב בקרות היסטוריות מייצר ממצאי ביקורת כי הוא מנציח מבנה שהותאם לסיכונים של אתמול. בארגונים מפוקחים נערמות בקרות שנוצרו בעקבות אירוע נקודתי, דרישת מפקח שהתעדכנה מאז, או מערכת שהוחלפה — והן נשארות בסקר "מטעמים היסטוריים". התוצאה כפולה: עומס בקרות מיותר שגובה שעות אדם, ולצידו סיכונים חדשים שאף בקרה לא מכסה.

המנגנון שמייצר את הממצא פשוט. מבקר הפנים או המפקח לא בודק רק אם קיימת בקרה, אלא אם קיימת הלימה בין מפת הסיכונים לפעילות בפועל. כשתהליך עבר דיגיטציה, כשעברו לספק ענן, כשנוסף מוצר אשראי חוץ-בנקאי או ממשק API לפינטק — הסקר שלא עודכן חושף מיד פער כיסוי. ISO 31000, התקן הבינלאומי לניהול סיכונים, מדגיש בדיוק את העיקרון הזה: ניהול סיכונים הוא תהליך מתמשך שמשולב בקבלת ההחלטות, לא תרגיל שנתי.

זווית שלדעתנו לא מקבלת מספיק תשומת לב: ריבוי בקרות הוא בעצמו סיכון תפעולי. כשעובד נדרש לאשר עשרות פקדים שאינם רלוונטיים, נוצרת תרבות של אישור אוטומטי — וכך גם הבקרה הקריטית באמת מאבדת את כוחה. צמצום מבוקר של בקרות עודפות אינו הקלה רגולטורית אלא חיזוק הבקרה שנשארת.

כאן נכנס לתמונה ההיגיון של BPT (Business Penetration Test) — מבדק חדירות לתהליך העסקי, שיטה ייחודית ובלעדית ל-LT. בשונה ממבדק חדירות טכנולוגי, שבודק מערכות ותשתיות, BPT בוחן את תהליך העבודה עצמו ושואל היכן אדם — עובד, לקוח או ספק — יכול לעקוף אותו, בטעות או בכוונה. זו שכבה שבאה אחרי סגירת ההגנה הטכנולוגית, ומחברת סייבר, מעילה וטעות אנוש למענה אחד.

מה ההבדל בין סקר מבוסס מסמכים, סקר מבוסס ראיונות וסקר מבוסס תהליך עסקי?

ההבדל בין סקר מבוסס מסמכים, סקר מבוסס ראיונות וסקר מבוסס תהליך עסקי הוא ההבדל בין תיעוד הכוונה לבין בדיקת המציאות — ולכן גם ההבדל בהיקף הממצאים. לפני ההשוואה כדאי להגדיר את קריטריוני ההערכה ואת המשקל שיש לתת לכל אחד:

עומק גילוי חולשות — הקריטריון הכבד ביותר, שכן הוא קובע אם הסקר יאתר את הפער לפני המבקר.
כיסוי מעילות וטעות אנוש — משקל גבוה בגופים פיננסיים, שם ההפסד התפעולי מתממש דרך אנשים ולא רק דרך מערכות.
קבילות מול רגולטור ומבקר פנים — נדרש תיעוד מסודר של מתודולוגיה, לא רק תובנות.
עומס על היחידות העסקיות — משקל בינוני; סקר יסודי מדי שמשתק את הפעילות לא יחזור על עצמו.
תוקף לאורך זמן — עד מתי התוצרים נשארים רלוונטיים בין מחזורי עדכון.

קריטריון	סקר מבוסס מסמכים ונהלים	סקר מבוסס ראיונות ושאלונים	סקר מבוסס תהליך עסקי (גישת BPT)
עומק גילוי חולשות	נמוך — משקף כוונה מוצהרת	בינוני — תלוי בפתיחות המרואיין	גבוה — בוחן את הביצוע בפועל
כיסוי מעילות והונאות	חלקי מאוד	חלקי	מלא, כולל תפרים בין יחידות
כיסוי סייבר בתהליך העסקי	כמעט לא	עקיף	מהותי — הליבה של הגישה
קבילות מול מבקר פנים	קיימת אך שברירית	סבירה	גבוהה, בזכות ראיות תהליכיות
עומס על היחידות	נמוך	בינוני	בינוני-גבוה בשלב האבחון
תוקף לאורך זמן	נשחק במהירות	בינוני	ארוך, אם מוגדרים מדדי סיכון

השורה התחתונה: סקר מסמכים מתאים לרענון בין מחזורים, ראיונות הם תנאי הכרחי אך לא מספיק, וסקר שיורד לתהליך העסקי הוא היחיד שמאתר את החולשה לפני שהיא הופכת לממצא או לאירוע. LT RISKMGMT בונה את סקרי הסיכונים שלה על השכבה השלישית, מתוך התמחות ב-Middle Office — מערך הבקרה על פעילות שוק ההון, חדרי עסקאות ומסחר בנגזרים (OTC) — שם התהליך עצמו הוא הסיכון.

איך סיכוני מעילות, סייבר ו-AI נופלים בין הכיסאות בסקר הסיכונים?

סיכוני מעילות, סייבר ו-AI נופלים בין הכיסאות בסקר הסיכונים מסיבה מבנית: כל אחד מהם מנוהל על ידי פונקציה אחרת, וכל פונקציה ממפה את החלק שלה בשפה שלה. ה-CISO סוגר את שכבת ההגנה הטכנולוגית, מנהל הסיכונים התפעולי עוסק בכשלי תהליך, הביטחון או הביקורת מטפלים בחשד למעילה, ומוביל הטמעת ה-AI מדווח על התקדמות פרויקטים. בין ארבעת התיאורים האלה נפער חלל שבו יושב הסיכון האמיתי.

הדוגמה הקלאסית: לקוח חשוד שמנצל את הפלטפורמה העסקית. הזיהוי הוא סייבר, ההונאה היא מעילה, ההרשאה לנתק אותו היא תפעולית, והמשמעות המשפטית היא רגולטורית — ואף אחת מהפונקציות לא מחזיקה את השרשרת כולה. במקומות שבהם המענה לאירוע כזה השתפר, זה קרה לא בזכות כלי חדש אלא בזכות תהליך שהוגדר מקצה לקצה עם בעלות ברורה.

ב-AI הפער חריף אף יותר. מודל שמזין החלטת אשראי או מסייע במענה ללקוחות מייצר סיכוני דאטה, סיכוני הטיה, סיכוני דליפת מידע לספק חיצוני, וחשיפה רגולטורית שהולכת ומתהדקת עם ה-EU AI Act. אין די בשאלה "האם המודל מאובטח"; נדרשת מפה שמלווה את המודל לכל אורך חייו, כולל תיקוף (validation), בדיקות AI Red Teams וגזרה משפטית. ליאה צור, מנכ"לית LT RISKMGMT, מוסמכת Chief AI Officer מטעם Copenhagen Compliance, והחברה מספקת את שירות ה-Chief AI Officer כפונקציה שמנהלת את ה-AI בארגון ב-360 מעלות — כשהסייבר הוא רק אחת מזרועותיו.

התובנה המעשית: אל תחלקו את הסקר לפי מבנה ארגוני. חלקו אותו לפי תהליכים עסקיים חוצי-יחידות, ובכל תהליך שאלו במקביל את שאלת הסייבר, המעילה, טעות האנוש וה-AI.

למה מיפוי תהליכים חסר או לא מעודכן יוצר ממצא כמעט תמיד?

מיפוי תהליכים חסר או לא מעודכן יוצר ממצא כמעט תמיד מסיבה לוגית פשוטה: סקר סיכונים נבנה על גבי שרשרת התהליך העסקי, ואם השרשרת עצמה לא מתועדת במלואה — כל דירוג סיכון שנגזר ממנה אינו בר-הוכחה. מכאן נובע שהמבקר הפנימי אינו צריך למצוא כשל בקרה כדי לרשום ממצא; די לו להראות שהאוכלוסייה שנסקרה חלקית, וכל תוצרי הסקר מאבדים תוקף.

ארבעה כשלים חוזרים על עצמם בעבודות שאנו רואים בשוק הפיננסי:

מיפוי חלקי — תיעוד ה"תהליך כפי שתוכנן" במקום התהליך כפי שהוא מתבצע בפועל, כולל עקיפות ידניות בקבצי Excel.
היעדר Process Owner מוגדר — Process Owner הוא בעל התהליך: הגורם היחיד שאחראי על תקינותו, על הבקרות בו ועל עדכונו. בלעדיו אין למי לשייך את הסיכון ואין מי שיאשר את הדירוג.
תהליכי צל (shadow processes) — פעילות עסקית שנוצרה בשטח ללא אישור, תיעוד או בקרה: אישור חריג בוואטסאפ, ממשק לא רשמי, ולאחרונה גם שימוש בכלי AI גנרטיבי מול נתוני לקוחות.
אי-עדכון לאחר שינוי — מיזוג, החלפת מערכת ליבה, מיקור חוץ או שינוי מבנה ארגוני שלא גררו רענון של המיפוי והבקרות.

מה לעשות מול כל אחד מהכשלים — ומה הסיכון שבצד השני של אותה פעולה:

הפעולה המומלצת	הסיכון שצריך לשמור עליו עין
למפות את התהליך בשטח מול המבצעים בפועל	הצפה בפרטים מיקרוסקופיים שמעכבת את הסקר ומאבדת את מבט הסיכון
למנות Process Owner בכתב לכל תהליך קריטי	מינוי פורמלי ללא סמכות תקציבית או ארגונית — "בעלות על הנייר"
לחפש באופן יזום תהליכי צל	חשש העובדים מהאשמה, שמוביל להסתרה נוספת
לקבוע טריגר עדכון בכל שינוי מערכתי או ארגוני	עדכון טכני של מסמך בלי בחינה מחדש של אפקטיביות הבקרות

המיטיגציה החשובה ביותר: לחבר את עדכון המיפוי לתהליך ניהול השינויים הארגוני, כך שהוא מופעל אוטומטית ולא נזכר רק לפני ביקורת. בשיטת ה-BPT (Business Penetration Test) — מבדק חדירות לתהליך העסקי, שיטה בלעדית של LT RISKMGMT — התהליך נבחן מנקודת מבטו של תוקף, מועל וטועה אנוש יחד, וכך תהליכי הצל מתגלים לפני שהמבקר מגלה אותם.

איך דירוג סיכון שגוי בהסתברות ובחומרה מייצר ממצאים חוזרים?

דירוג סיכון שגוי בהסתברות ובחומרה מייצר ממצאים חוזרים מפני שכל סקר סיכונים שנשען על מטריצה לא מכוילת מוליד תמונת חשיפה מעוותת — ובביקורת הבאה אותו פער בדיוק חוזר ונרשם מחדש. אבל כאן חשוב לדייק: התלוי בשאלה למה בדיוק אתם מתכוונים כשאתם אומרים "דירוג שגוי". קיימות שתי פרשנויות נפרדות, והמענה לכל אחת שונה לחלוטין.

פרשנות ראשונה — שגיאה מתודולוגית בסקאלה עצמה. כאן הבעיה אינה בשיקול הדעת אלא בכלי. סקאלת חומרה שמנוסחת במילים בלבד ("נזק בינוני") ללא עוגן כמותי או תיאורי מוסכם, מטריצה שלא כויילה לתיאבון הסיכון (Risk Appetite) של הארגון, או ערבוב בין סיכון גולמי (inherent — החשיפה לפני בקרות) לסיכון שייר (residual — החשיפה שנותרת אחרי הבקרות). דוגמה קונקרטית: תהליך העברות כספים שדורג "נמוך" כי המעריך שקלל בראשו את הבקרה הקיימת — ובכך העלים את החשיפה הגולמית, ואיתה את הצורך לבחון אם הבקרה בכלל אפקטיבית.

פרשנות שנייה — הטיית שיפוט אנושית. המתודולוגיה תקינה, אך הדירוג נעשה על ידי בעל התהליך שמדרג את עצמו. כאן פועלות הטיות מוכרות: עיגון למספר הקודם, זמינות (מדרגים גבוה רק את מה שקרה לאחרונה) ואופטימיות ניהולית. דוגמה: מנהל סניף שמדרג הסתברות למעילה כ"נדירה" משום שבתחומו לא אירעה — בעוד נתוני אירועי הכשל התפעוליים בארגון מצביעים אחרת.

הפרשנות הרלוונטית לרוב הארגונים המפוקחים היא הראשונה: כשהסקאלה אינה מוגדרת, ההטיות ממילא נכנסות דרך הדלת האחורית. ולכן:

הגדירו סקאלות הסתברות וחומרה עם עוגנים תיאוריים וכמותיים לפני תחילת הסקר, בהתאם למסגרת ISO 31000.
הפרידו במפורש בין דירוג גולמי, הערכת אפקטיביות הבקרה ודירוג שייר.
כיילו את המטריצה מול נתוני אירועי כשל בפועל, ולא מול תחושת בטן.
ודאו ערכאת אתגור (challenge) בלתי תלויה מחוץ לבעל התהליך.

בראייתנו, זווית שראוי להדגיש: מטריצה לא מכוילת אינה כשל טכני אלא כשל שפה — היא מונעת מהדירקטוריון להשוות סיכונים ביניהם. LT Risk Management מכיילת את מתודולוגיית הדירוג מול הפרקטיקה הפיננסית שבה צמחה ליאה צור, וב-2026 גם מול סיכוני AI חדשים שהסקאלות הישנות פשוט לא נבנו לתאר.

מדוע תיעוד בקרות ללא הוכחת אפקטיביות נחשב לממצא חמור?

תיעוד בקרות ללא הוכחת אפקטיביות נחשב לממצא חמור מפני שהמבקר אינו בודק מה כתוב בנוהל אלא מה קרה בפועל: אם קיים תיאור בקרה מפורט (control design) אך אין ראיה שהבקרה הופעלה בכל מקרה ובכל תקופה (operating effectiveness), המסקנה המתחייבת היא שהסיכון לא מטופל — ולכן הפער נרשם כחשיפה, לא כליקוי ניסוח. זה המקום שבו נכשלים הכי הרבה סקרי סיכונים שנראים מרשימים על הנייר.

מה זה אומר בפועל? אם אין עקבות ביקורת (audit trail) — רישום בלתי ניתן לשינוי של מי ביצע, מתי ומה נבדק — אין דרך להוכיח שהבקרה פעלה. ומכיוון שאי אפשר להוכיח, מבחינת המבקר הפנימי או הפיקוח היא לא פעלה. הגיון זהה חל על בדיקות תקופתיות שלא בוצעו: תדירות שהוצהרה ולא קוימה גורעת מהאפקטיביות של הבקרה יותר מהיעדר בקרה מוצהרת מראש, כי היא יוצרת ביטחון כזב אצל ההנהלה והדירקטוריון.

מה לעשות	מפני מה להיזהר
לחייב כל בקרה בראיה מזוהה: פלט מערכת, לוג, טופס חתום, דוח חריגים	ראיות "רטרואקטיביות" שנוצרו לקראת הביקורת — דגל אדום מובהק
לתעד בעלות (owner) ותדירות מחייבת לכל בקרה, בהתאם לגישת ISO 31000	תדירות שאפתנית מדי שלא תעמוד במבחן העומס התפעולי
למפות בקרות ידניות ולהמיר חלק מהן לבקרות מבוססות מערכת	ידניות שנשארות ללא פיצוי בקרתי — כר פורה למעילות וטעות אנוש
לבצע מבחן אפקטיביות מדגמי לפני הביקורת, לא אחריה	מדגם קטן ולא מייצג שמחמיץ בדיוק את התהליכים הרגישים

המיטיגציה לסיכון בעל ההשפעה הגבוהה ביותר — הבקרה הידנית ללא עקבות — היא לבחון את התהליך העסקי מקצה לקצה ולא ברמת הבקרה הבודדת. זו בדיוק הזווית של שיטת ה-BPT (Business Penetration Test), מבדק חדירות לתהליך העסקי הייחודי ל-LT RISKMGMT, שמאתר את החולשה בתפר שבין המערכות, ההרשאות והאדם, ונותן מענה אחד לסייבר, למעילה ולטעות אנוש. בעינינו, זו ההבחנה שמפרידה בין סקר סיכונים שמייצר רשימת ממצאים לבין סקר שמייצר שינוי בר-הוכחה.

מה ההבדל בין סקר סיכונים איכותני לכמותני ומתי כל אחד מהם מתאים?

ההבדל בין סקר סיכונים איכותני לסקר כמותני הוא בעיקר סוג הראיה: הסקר האיכותני מדרג סיכונים על סולם מילולי (נמוך/בינוני/גבוה) על בסיס שיפוט מקצועי וראיונות, בעוד הסקר הכמותני מתרגם את החשיפה לערכים מספריים על בסיס נתוני אירועים והפסדים בפועל. שתי הגישות כשרות — השאלה היא איזו מהן עומדת בקריטריונים של המקרה שלכם.

לפני שבוחרים שיטה, כדאי להגדיר את קריטריוני ההשוואה ואת המשקל שלהם:

עלות ומשאבים — כמה שעות מומחה וכמה זמן הנהלה הסקר צורך. משקל גבוה בארגונים בינוניים ללא פונקציית סיכונים במשרה מלאה.
זמן עד תוצאה — האם נדרש מענה לממצא ביקורת בטווח קצר או מיפוי אסטרטגי רב-שנתי.
איכות הנתונים הקיימת — בלי מסד אירועים והפסדים מסודר, מודל כמותני מייצר דיוק מדומה ולא תובנה.
קבילות מול רגולטור — הרגולציה הישראלית לניהול סיכונים תפעוליים בגופים מפוקחים, לצד תקן ISO 31000 לניהול סיכונים, מצפה לשיטה מתועדת, עקבית וניתנת לשחזור — לא בהכרח למספר.

גישה	עלות וזמן	איכות נתונים נדרשת	קבילות מול רגולטור	מתי מתאימה
איכותני	נמוכה, מהיר	מינימלית	טובה, בתנאי שהדירוג מתועד ומנומק	סקר ראשון, ארגון ללא היסטוריית אירועים
כמותני	גבוהה, ממושך	מסד אירועים והפסדים אמין	גבוהה, כשהמודל מתוקף	תהליכים בשלים עם נתונים היסטוריים
חצי-כמותני	בינונית	חלקית — טווחי אומדן	גבוהה בפרקטיקה	רוב הגופים הפיננסיים המפוקחים
תרחישי קיצון	בינונית-גבוהה	ידע מומחה, לא נתונים	נדרשת להמשכיות עסקית (BCP)	אירועי סייבר, מלחמה, כשל ספק קריטי

הזווית שפחות מדברים עליה, לדעתנו: ארגונים בוחרים גישה כמותנית כדי להיראות מתוחכמים מול הדירקטוריון, ואז נופלים על ממצא של "מודל לא מתוקף". עדיף סקר חצי-כמותני מהודק שמסתמך על טווחי אומדן ועל תרחישי קיצון, מלווה בהנחות מתועדות. LT Risk Management מתאימה את עומק הכימות לבשלות הנתונים בפועל, ומשלימה פערים בתרחישים — כך שהסקר עומד בביקורת ב-2026 גם בלי מסד נתונים מושלם.

השורה התחתונה: התחילו איכותני, התקדמו לחצי-כמותני, וכמנו רק את מה שיש לו נתונים.

כיצד בונים סקר סיכונים תפעוליים שעומד בביקורת פנימית ובדרישות הרגולציה?

כדי לבנות סקר סיכונים תפעוליים שעומד בביקורת פנימית ובדרישות הרגולציה, יש לעבוד לפי סדר פעולות שכל שלב בו מייצר ראיה שניתן להציג. הצעדים הבאים ניתנים לביצוע כמו שהם, גם בארגון בינוני בלי מחלקת סיכונים מלאה:

עגנו את המסגרת בתקן ובהנחיות הרלוונטיות. ISO 31000 לעקרונות ניהול הסיכונים, ISO 27001 לניהול אבטחת מידע, וחוזרי הפיקוח החלים על הגוף שלכם — למשל נב"ת 350 בהיבטי ניהול סיכונים תפעוליים ונב"ת 361 בהיבטי סייבר. תיעוד המסגרת הוא הראיה הראשונה שהמבקר מבקש.
הגדירו תיאבון סיכון ואשרו אותו בדירקטוריון. בלי גבול מוסכם, כל דירוג הוא דעה.
מפו תהליכים עסקיים קריטיים, לא יחידות. התחילו מהתהליכים שהפסקתם פוגעת בלקוח, בכספים או ברישוי.
בצעו אבחון בשטח, לא רק ראיון. לכו עם התהליך: מי מזין, מי מאשר, מה קורה כשהמערכת למטה, אילו הרשאות עודפות נשארו, איפה אדם יכול לעקוף. זו הלוגיקה של מבדק חדירות לתהליך העסקי.
תקפו את הדירוג בנתונים. אירועי כשל, תלונות, חריגות בקרה ולוגים — כל אחד מהם הופך הערכה לראיה.
הצליבו מעילות, סייבר, טעות אנוש ו-AI בכל תהליך. אותו תהליך, ארבע שאלות.
חברו את הסקר ל-BCP. תוכנית ההמשכיות העסקית — מיפוי מערכות ותהליכים קריטיים וזמני התאוששות לאירועי מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — חייבת להישען על אותה מפת סיכונים.
הגדירו מדדי סיכון מובילים ובעלות אישית. לכל סיכון מהותי: בעל תהליך, מדד, יעד ותאריך.
הכשירו את השורה השנייה והשלישית. סקר טוב נשחק כשאין מי שיתחזק אותו.

בשלב ההכשרה LT RISKMGMT מפעילה קורס הסמכה למנהלות ומנהלי סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות, ביקור ב-SOC מוביל ומרצים אורחים מארגונים מובילים — קורס ההכשרה של LT המוכר על ידי IRM (Institute of Risk Management).

מה עושים אחרי שהסקר הושלם — ואיך מתחזקים אותו בין מחזורים?

אחרי שהסקר הושלם מתחילה העבודה שקובעת אם יהיו ממצאים במחזור הבא: תחזוקה שוטפת של מפת הסיכונים בין המחזורים. סקר שנשאר קפוא שנה שלמה מאבד תוקף כבר בשינוי המערכתי או המוצרי הראשון, ובדיוק שם נולד הפער שהביקורת תזהה.

מה שכן עובד בפועל:

טריגרים לעדכון, לא רק לוח שנה — השקת מוצר, מעבר לספק ענן, מיזוג, הטמעת כלי AI חדש או אירוע כשל מחייבים רענון ממוקד של הסיכון הרלוונטי.
דיון תקופתי בדירקטוריון או בוועדת ביקורת — אחריות ההנהלה על ניהול הסיכונים היא אישית, ותיעוד הדיון הוא הראיה לכך שהמידע הגיע ליעדו.
מעקב יישום מיטיגציות — סטטוס, לא הצהרת כוונות.
תרגול BCP חי — תרגיל שמאמת זמני התאוששות בפועל שווה יותר מכל מסמך.
מיפוי מחדש של שימושי AI — רשימת הכלים והמודלים בשימוש משתנה מהר מכל תהליך אחר.

לארגונים שאינם מעוניינים לגייס מנהל סיכונים במשרה מלאה — בעיקר גופים בינוניים וגופים ממשלתיים — LT RISKMGMT מציעה Risk Manager as a Service: מנהל.ת סיכונים במיקור חוץ, כאשר LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש. זה מודל שמאפשר להחזיק פונקציית סיכונים מקצועית ורציפה בלי עלות תקן קבוע, ומונע את הדפוס המוכר שבו הסקר נעשה בקפידה ואז נשכח.

לקוחות מובילים במשק הפיננסי והציבורי — ובהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים — מעידים על הייעוץ, ההדרכות וההרצאות של LT RISKMGMT, שמאחוריה למעלה משני עשורים של ניסיון מעשי ומאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות לבנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות. פנייה ראשונית לצוות הייעוץ מקבלת מענה תוך 24 שעות.

מה עוד שואלים על סקר סיכונים תפעוליים?

להלן השאלות שחוזרות אצל מנהלי סיכונים, מבקרי פנים, דירקטוריונים ומובילי AI סביב סקר סיכונים תפעוליים ובניית מפת סיכונים שעומדת בביקורת.

מה זה BPT ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT RISKMGMT שמאתרת חולשות בתהליך העבודה עצמו ולא רק במערכות. מבדק חדירות טכנולוגי (PT) בודק תשתיות, אפליקציות ורשתות, ו-LT אינה עוסקת ב-PT טכני; BPT בא לאחר סגירת ההגנה הטכנולוגית ושואל היכן אדם יכול לעקוף את התהליך — ולכן נותן מענה אחד לסיכוני סייבר, מעילה וטעות אנוש.

מהי הטעות הנפוצה ביותר בסקרי סיכונים?

מיפוי סיכונים ברמת המערכת ולא ברמת התהליך העסקי. כשהסקר בוחן אפליקציות ובקרות טכנולוגיות בלבד, נקודות התפר — העברת סמכות, אישור חריג, ממשק בין מחלקות — נשארות עיוורות, ומשם נולדים ממצאי ביקורת חוזרים.

כמה זמן לוקח סקר סיכונים תפעוליים?

משך הסקר נגזר ממספר התהליכים הקריטיים, ממידת התיעוד הקיים ומזמינות בעלי התהליכים. בגופים מפוקחים מדובר בפרויקט של כמה שבועות עד כמה חודשים בשלב האבחון, ולאחריו מחזור תחזוקה שוטף. הגורם שמאריך את הלוח הזמנים יותר מכל אחר הוא היעדר מפת תהליכים מעודכנת בפתיחה.

למה מעילות וסייבר צריכים להיבחן יחד?

מפני שרוב אירועי המעילה מנצלים דווקא הרשאה לגיטימית וחולשה בתהליך, לא פרצה בקוד. הפרדת שני העולמות לשתי פונקציות יוצרת שטח מת.

מתי נכון לעדכן את הסקר?

בכל שינוי מהותי: השקת מוצר, מיקור חוץ חדש, מיזוג, שינוי רגולטורי, ובעיקר הטמעת בינה מלאכותית. ב-2026 הטמעת AI היא הטריגר הנפוץ ביותר, ולכן נדרשת מפת סיכוני AI ייעודית לצד הסקר התפעולי הרגיל, בהתאם לעקרונות ISO 31000 ולדרישות EU AI Act.

מי צריך להיות אחראי על סיכוני ה-AI בארגון?

סיכוני AI דורשים פונקציה שמנהלת אותם ב-360 מעלות — Chief AI Officer — הרואה את הדאטה, התיקוף, ההיבטים המשפטיים והרגולטוריים והממשקים לספקים כמערכת אחת, כאשר הסייבר הוא רק זרוע אחת שבאחריות ה-CISO. ליאה צור, מנכ"לית LT RISKMGMT, מוסמכת Chief AI Officer מטעם Copenhagen Compliance, והחברה מספקת את השירות וכותבת מפת סיכוני AI ייעודית לארגון.

האם קורס ההסמכה מתאים גם למי שאינו מנהל סיכונים בהכשרתו?

כן. קורס ההסמכה של LT RISKMGMT, בהיקף כ-40 שעות אקדמיות ומוכר על ידי IRM, מיועד גם למבקרי פנים, אנשי ציות, CISO-ים ומובילי AI שנדרשים לדבר בשפת הסיכונים. הלמידה חווייתית וכוללת סדנאות, התנסויות וביקור ב-SOC מוביל, כך שהתוכן מתורגם לפרקטיקה ולא נשאר תיאורטי.