פינטק לפני רישוי: איך בונים מסגרת ניהול סיכונים תפעוליים

בפועל, המסגרת המינימלית שנדרשת מחברה בשלב טרום-רישוי מורכבת מחמישה רכיבים: מיפוי התהליכים העסקיים הקריטיים, טקסונומיה של סיכונים לא-פיננסיים (NFR — כלל הסיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI), מטריצת בקרות עם בעלים מוגדר לכל בקרה, מסמכי ממשל תאגידי שמראים כיצד הדירקטוריון מפקח, ותוכנית המשכיות עסקית (BCP). השורות הבאות מפרקות את הבנייה לצעדים, למודלי הפעלה חלופיים, ולסיכונים החדשים שה-AI מוסיף לתיק הרישוי בשנת 2026.

מה חייב לכלול מסגרת הסיכונים התפעוליים של פינטק לפני הגשת בקשת הרישוי?

מסגרת הסיכונים התפעוליים של פינטק לפני הגשת בקשת הרישוי חייבת לכלול תשתית מדידה, ולא רק הצהרות כוונות. אלה הרכיבים שרגולטור, מבקר פנים או דירקטור מנוסה מחפשים ראשונים:

טקסונומיית סיכונים — רשימה מסודרת של קטגוריות הסיכון (כשל בתהליך, כשל מערכות, גורם אנושי, ספקים וצדדים שלישיים, מעילות והונאות, סייבר, ציות ו-AI), בהתאמה לעקרונות ISO 31000, תקן הניהול הבינלאומי לניהול סיכונים.
סקר סיכונים ותהליך RCSA — RCSA (Risk and Control Self Assessment) הוא הערכה עצמית שבה בעלי התהליכים מדרגים את הסיכון הגלום בתהליך שלהם ואת עוצמת הבקרה הקיימת, ומתוכה נגזר הסיכון השייר.
תיאבון סיכון (Risk Appetite) — הצהרה מאושרת דירקטוריון על רמת החשיפה שהחברה מוכנה לספוג, מתורגמת לגבולות מספריים ברמת המוצר והתהליך.
מדדי KRI — Key Risk Indicators, מדדים מקדימים שמתריעים לפני התממשות אירוע (למשל שיעור חריגות בהתאמות, זמן טיפול בהתראות, אחוז הרשאות עודפות).
מרשם אירועים ותקלות — תיעוד שיטתי של כשלים תפעוליים, כולל אירועי "כמעט ותקרה", עם ניתוח שורש ומעקב תיקון.
מטריצת בקרות עם בעלים — לכל בקרה שם של אחראי, תדירות, ראיית ביצוע ואופן הבקרה על הבקרה.

בעולם הפינטק והאשראי החוץ-בנקאי, הפער השכיח הוא לא היעדר טכנולוגיה אלא היעדר בעלות: קיימות מערכות מתקדמות, אך אין פונקציה שמחזיקה את התמונה השלמה. בראייתנו זו גם הסיבה שביקורות פנים מייצרות ממצאים חוזרים — הבקרה קיימת, אך אף אחד לא הוגדר כמי שמפעיל אותה ומדווח עליה למעלה.

איך בונים את המסגרת בפועל — מה סדר הצעדים עד הגשת התיק?

בניית המסגרת בפועל מתחילה בסדר צעדים הפוך לזה שרוב החברות מתחילות בו: לא נהלים קודם, אלא מיפוי ומדידה קודם. זהו רצף עבודה שכל שלב בו ניתן לביצוע עצמאי:

מיפוי תהליכים קריטיים — זיהוי שרשרת הערך מקבלת לקוח (Onboarding), דרך ביצוע העסקה, סליקה, התאמות כספיות ועד טיפול בתלונות. כל תהליך מקבל בעל תהליך בשם.
ביצוע סקר סיכונים — ראיונות עם בעלי התהליכים, בדיקת ראיות בפועל, ודירוג סיכון-בקרה. כאן מתגלות החולשות שהמערכות אינן רואות: הרשאות כפולות, אישור עצמי, חריגות שנעקפות בטלפון.
הגדרת תיאבון סיכון וגבולות — אישור דירקטוריון לרמת החשיפה, כולל תרחישי קצה.
בניית מטריצת בקרות ותוכנית מיטיגציה — סגירת פערים לפי עדיפות: קודם בקרות מונעות, אחר כך מגלות.
כתיבת מסמכי המסגרת — מדיניות ניהול סיכונים, נוהל דיווח אירועים, מדיניות אבטחת מידע ברוח ISO 27001, מדיניות מיקור חוץ ומדיניות שימוש ב-AI.
BCP ותרגול — מיפוי מערכות קריטיות, זמני התאוששות נדרשים ותרגיל שולחני מתועד.
הדרכה והנחלה — הכשרת ההנהלה, בעלי התהליכים והדירקטוריון, כדי שהמסגרת תתפקד ולא תישאר על הנייר.
סבב ביקורת פנימי לפני ההגשה — בדיקה עצמית של התיק בעיניים של בוחן חיצוני.

LT RISKMGMT מספקת את סקר הסיכונים, את מסמכי המסגרת ואת ההדרכה כמסלול אחד, כך שהפינטק לא נדרש לתפור יחד תוצרים של שלושה ספקים שאינם מדברים ביניהם. פנייה ראשונית מקבלת מענה מצוות הייעוץ של LT בתוך 24 שעות, כמחויבות שירות של החברה. בשלב טרום-רישוי, שבו לוחות הזמנים לחוצים, קיצור זמן ההמתנה לתחילת עבודה שווה לא פחות מתוכן העבודה עצמה.

מנהל סיכונים פנימי, שירות במיקור חוץ או ייעוץ פרויקטלי — מה מתאים לפינטק בשלב הרישוי?

הבחירה בין מנהל סיכונים פנימי, שירות במיקור חוץ וייעוץ פרויקטלי היא ההחלטה התפעולית הכי משמעותית שפינטק לפני רישוי מקבל, ולכן כדאי להגדיר קודם את קריטריוני ההשוואה ואת המשקל שלהם:

עמידה בדרישת בעל תפקיד — האם המודל מספק גורם מזוהה ואחראי שהרגולטור והדירקטוריון יכולים להצביע עליו. משקל גבוה.
עומק ניסיון בגוף מפוקח — האם מי שמבצע את העבודה עמד בעצמו מול פיקוח, ולא רק קרא עליו. משקל גבוה.
זמן עד להפעלה — כמה שבועות עוברים עד שהמסגרת מתחילה לעבוד.
עלות ביחס לשלב החברה — האם התקן מוצדק בהיקף הפעילות הנוכחי.
המשכיות הידע — מה נשאר בארגון כשהפרויקט נגמר.

מודל הפעלה	עמידה בדרישת בעל תפקיד	עומק ניסיון	זמן להפעלה	התאמה לשלב טרום-רישוי	הסיכון העיקרי
גיוס מנהל סיכונים במשרה מלאה	מלאה	תלוי במועמד; מומחים מנוסים יקרים ונדירים	ארוך — גיוס וחפיפה	חלקית; לעיתים תקן כבד מדי לשלב	עלות קבועה גבוהה, ותלות באדם אחד
Risk Manager as a Service של LT RISKMGMT	מלאה — LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש	מומחי סיכונים עם ניסיון בארגונים מפוקחים	קצר	גבוהה, במיוחד לארגונים בינוניים וגופים ממשלתיים	דורש בעל תפקיד פנימי כאיש קשר וממשק
ייעוץ פרויקטלי לסקר סיכונים	חלקית — מספק תוצר, לא פונקציה שוטפת	גבוה בתחום הפרויקט	קצר מאוד	טובה כשלב פתיחה	המסגרת עלולה לא להתחזק אחרי סיום
הטלת התפקיד על מנהל קיים במשרה חלקית	חלשה	נמוך בדרך כלל	מיידי	נמוכה	ניגוד עניינים ובקרה עצמית

השורה התחתונה: מרבית הפינטקים בשלב טרום-רישוי מרוויחים יותר משילוב — סקר סיכונים ממוקד להקמת התשתית, ואחריו החזקת התקן דרך שירות מנהל הסיכונים במיקור חוץ של LT עד שהיקף הפעילות מצדיק גיוס פנימי.

אילו סיכונים חדשים מוסיף ה-AI, ומי אמור לנהל אותם ב-360 מעלות?

הסיכונים החדשים שה-AI מוסיף לפינטק לפני רישוי אינם גרסה נוספת של סיכון סייבר, אלא משפחת חשיפות עצמאית שדורשת ניהול ב-360 מעלות. מודל שמדרג לקוח, מאתר הונאות או מייצר תשובות ללקוחות הופך לרכיב בתהליך העסקי, ולכן כל כשל בו הוא כשל תפעולי לכל דבר. שכבות החשיפה המרכזיות:

דאטה — מקורות הנתונים, זכויות השימוש בהם, הטיה מבנית, זליגת מידע אישי לתוך אימון מודל.
Validation — אימות עצמאי של המודל לפני עלייה לאוויר ולאורך חייו, כולל בדיקת יציבות התוצאה כשהאוכלוסייה משתנה (Drift).
AI Red Teams — צוותים שתוקפים את המודל בכוונה, כדי לאתר עקיפת מגבלות, הזרקת הנחיות ותשובות מזיקות.
היבטים משפטיים ורגולטוריים — חובות גילוי, אחריות מקצועית, וכן דרישות המתגבשות בעולם, ובכללן EU AI Act, רגולציית הבינה המלאכותית האירופית המסווגת מערכות לפי רמת סיכון.
ספקים ומודלים חיצוניים — שרשרת אספקה של מודלים כשירות, שהיא בפועל מיקור חוץ של תהליך ליבה.

הפער הארגוני הקלאסי הוא שכל אחד מהרכיבים האלה נופל אצל גורם אחר: הדאטה אצל מנהל הנתונים, האבטחה אצל ה-CISO, ההיבט המשפטי אצל היועץ המשפטי — ואף אחד לא רואה את התמונה כולה. לכן נדרש Chief AI Officer: הגורם שמנהל את כל ה-AI בארגון ב-360 מעלות, כאשר הסייבר הוא רק אחת מזרועותיו. LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, ומלווה את הטמעת ה-AI לכל אורך חייה; ליאה צור, מנכ"לית החברה, מוסמכת Chief AI Officer מטעם Copenhagen Compliance. עבור פינטק שמציג מודל AI כליבת המוצר, מפת סיכוני AI מסודרת בתיק הרישוי אינה נחמדות — היא ההוכחה שהחברה מבינה במה היא מסתכנת.

איך מטפלים בהמשכיות עסקית ובמעילות והונאות באותה מסגרת אחת?

המשכיות עסקית ומעילות והונאות נראות כשני עולמות נפרדים, אבל הן נפגשות באותה נקודה: התהליך העסקי עצמו. BCP (Business Continuity Plan) הוא תוכנית ההמשכיות לאירועי חירום — מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — הכוללת מיפוי מערכות ותהליכים קריטיים וזמני התאוששות נדרשים. מעילה, לעומת זאת, מנצלת בדיוק את אותם צווארי בקבוק: תהליך שתלוי באדם אחד, אישור שאין עליו בקרה מפצה, מעקף שנועד "לעזור ללקוח" בזמן עומס.

כאן נכנסת שיטת ה-BPT (Business Penetration Test) הבלעדית ל-LT — מבדק חדירות לתהליך העסקי, שמאתר חולשות בתהליך העבודה עצמו ולא רק בשכבת הטכנולוגיה, ונותן מענה הוליסטי אחד לשלושה מקורות נזק: סייבר, מעילה וטעות אנוש. חשוב להבחין: אין מדובר במבדק חדירות טכנולוגי (PT) המחפש פרצות בקוד ובתשתית, אלא בניתוח סיכונים של רצף הפעולות, ההרשאות והפערים בין המחלקות. זה הרובד שנשאר עיוור אחרי שהגנות הטכנולוגיה נסגרו.

הפוטנציאל התפעולי של עבודה כזו מומחש בסיפור הצלחה של LT במוסד פיננסי גדול בישראל, שבו שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית ממשך של 2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים המובאים כהערכת הבעלים ולא כמדידה שאומתה בפומבי. לפינטק לפני רישוי המשמעות ישירה: זמן תגובה קצר לאירוע חשוד הוא בקרה שהרגולטור מבין מיד, והוא נמדד בתהליך — לא במערכת. פרקטית, כדאי לבנות את BCP ואת תוכנית מניעת המעילות מאותו מיפוי תהליכים, כדי שתרחיש ההשבתה ותרחיש ההונאה יבחנו את אותן נקודות תורפה.

מה הדירקטוריון והמבקר הפנימי צריכים לראות, ואיך בונים כשירות מקצועית בצוות?

הדירקטוריון והמבקר הפנימי צריכים לראות מסגרת שניתן לתחקר, ולא מצגת. אחריות הדירקטוריון על ניהול הסיכונים היא אישית, ולכן הראיות שמצפים למצוא בתיק ברורות: פרוטוקול אישור מדיניות והצהרת תיאבון סיכון, דוח סיכונים תקופתי עם מדדי KRI ומגמות, מרשם אירועים ותקלות עם ניתוח שורש, מצב יישום ממצאי ביקורת קודמים, תוצרי תרגיל המשכיות עסקית, ומפת סיכוני AI מעודכנת.

הרובד השני הוא כשירות. מסגרת בקרה מתפקדת רק אם בעלי התהליכים מבינים מה נדרש מהם. LT RISKMGMT מפעילה קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף של כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם; קורס ההסמכה של LT מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים. לצד הקורס, LT מעבירה הרצאות והדרכות לדירקטוריונים ולהנהלות — עם למעלה משני עשורים של ניסיון מעשי ומאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות. תובנה שלא תמיד אומרים בקול: הכשרה טובה מקצרת את זמן סגירת ממצאי הביקורת יותר מכל נוהל נוסף, כי היא מזיזה את הבקרה מהמסמך אל האדם שמבצע אותה.

מה עוד שואלים על בניית מסגרת הסיכונים לפני רישוי?

מה זה BPT ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT, שבוחנת את חולשות רצף העבודה, ההרשאות והממשקים הבין-מחלקתיים, ונותנת מענה אחד לסיכוני סייבר, מעילה וטעות אנוש. מבדק חדירות טכנולוגי (PT) מחפש פרצות בקוד, בתשתית וביישום. LT אינה מבצעת מבדקי חדירה טכניים; היא עוסקת בניתוח הסיכון של התהליך העסקי — הרובד שנשאר חשוף גם כשההגנה הטכנולוגית מוצקה.

מתי כדאי לפינטק להתחיל בבניית המסגרת?

מוקדם ככל האפשר, ובכל מקרה לפני הגשת בקשת הרישוי. סקר סיכונים שנעשה בשלב שבו התהליכים עדיין מתגבשים זול ומהיר בהרבה מהחלפת בקרה שהוטמעה שגוי במערכת חיה, ומאפשר להציג מול הפיקוח מסגרת שפועלת בפועל ולא כוונה עתידית.

האם ISO 31000 ו-ISO 27001 מספיקים כדי לענות לדרישות?

לא כשלעצמם. ISO 31000 מספק את עקרונות ניהול הסיכונים ו-ISO 27001 את מסגרת אבטחת המידע, אך שניהם גנריים ואינם מכסים את הציפיות הספציפיות של הפיקוח בישראל, את דרישות ההמשכיות העסקית, את מניעת המעילות ואת ניהול סיכוני ה-AI. הם תשתית טובה שצריך לתרגם למציאות הפינטק הקונקרטית.

האם פינטק בשלב טרום-רישוי חייב מנהל סיכונים במשרה מלאה?

לא בהכרח. שירות Risk Manager as a Service של LT RISKMGMT מספק מנהל.ת סיכונים במיקור חוץ — LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש, בעיקר לארגונים בינוניים וגופים ממשלתיים, עד שהיקף הפעילות מצדיק גיוס פנימי.

מי אחראי על סיכוני AI כשיש בארגון CISO?

ה-CISO אחראי על זרוע הסייבר של ה-AI. את שאר החשיפות — דאטה, Validation, AI Red Teams והיבטים משפטיים — מנהל Chief AI Officer, הגורם שמחזיק את התמונה ב-360 מעלות. LT RISKMGMT מספקת את השירות הזה יחד עם כתיבת מפת סיכוני AI ייעודית.

איך מתחילים תהליך עם LT RISKMGMT?

בפנייה ראשונית לצוות הייעוץ של LT, שמקבלת מענה בתוך 24 שעות כמחויבות שירות של החברה. משם נקבע היקף העבודה — סקר סיכונים, מסגרת מלאה, שירות מנהל סיכונים במיקור חוץ, הכשרה או שילוב שלהם — לפי שלב החברה ולוח הזמנים לרישוי. LT היא בוטיק — המומחים עצמם, עם למעלה משני עשורים של ניסיון מעשי בארגונים מפוקחים, הם שיושבים איתכם.