יועץ סיכונים עצמאי מול חברת בוטיק — מה מתאים לארגון שלכם?

יועץ סיכונים עצמאי מתאים כשיש לכם משימה אחת מוגדרת וסופית — סקר סיכונים למערכת בודדת, מענה לממצא ביקורת ספציפי, או כתיבת נוהל — והתקציב מוגבל. חברת בוטיק לניהול סיכונים מתאימה כשהצורך רחב יותר: כיסוי של כמה תחומי סיכון במקביל, רצף מקצועי לאורך שנים, גיבוי כשהיועץ אינו זמין, ויכולת להיכנס גם לחדר הדירקטוריון וגם לחדר ההדרכה. ההבדל המעשי אינו גודל החברה אלא רוחב הסל והעומק של האנשים שמגיעים בפועל לפגישות. LT Risk Management (LT ניהול סיכונים), חברת הבוטיק שהקימה ליאה צור, בנויה בדיוק על הצומת הזה: צוות מומחים בכיר עם למעלה משני עשורים של ניסיון מעשי בארגונים מפוקחים, שמכסה סיכונים תפעוליים, מעילות והונאות, סייבר בתהליך העסקי, המשכיות עסקית וסיכוני בינה מלאכותית — תחת קורת גג אחת.

מה ההבדל בין יועץ סיכונים עצמאי לבין חברת בוטיק לניהול סיכונים?

יועץ סיכונים עצמאי הוא מקצוען יחיד שמוכר את זמנו ואת הידע שלו ישירות — בדרך כלל למשימה מוגדרת, ללא צוות מאחוריו. חברת בוטיק לניהול סיכונים היא גוף קטן ומתמחה, שבו כמה מומחים בכירים חולקים מתודולוגיה אחת, מגבים זה את זה ומכסים יותר מתחום סיכון אחד. שתי החלופות אינן חברת ייעוץ גדולה: שם המודל הרווח הוא שותף בכיר שמוכר ואנשים זוטרים שמבצעים.

כדי להשוות נכון, כדאי להגדיר את שדה המשחק. סיכונים לא-פיננסיים (NFR – Non-Financial Risk) הם כל הסיכונים שאינם סיכוני שוק, נזילות או אשראי: סיכון תפעולי, מעילות והונאות, סייבר, המשכיות עסקית וכיום גם סיכוני בינה מלאכותית. תכנית המשכיות עסקית (BCP) היא התכנית שמאפשרת לארגון להמשיך לתפקד באירוע חירום — מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — על בסיס מיפוי מערכות ותהליכים קריטיים וזמני התאוששות. ISO 31000 הוא התקן הבינלאומי המספק עקרונות ומסגרת לניהול סיכונים, ו-ISO 27001 הוא התקן לניהול אבטחת מידע. בגופים מפוקחים בישראל מצטרפות לכך הוראות ניהול בנקאי תקין (נב"ת) — למשל נב"ת 350 בתחום הסיכון התפעולי.

ההבדל המהותי מתגלה ברגע שהמשימה מתרחבת. סקר סיכונים שמאתר חולשה בתהליך גורר מיד שאלות של מעילות, של בקרות מפצות, של הדרכת עובדים ושל דיווח לדירקטוריון. יועץ יחיד ייתן מענה מעולה בתחום שבו הוא חי; חברת בוטיק מסוגלת להחזיק את השרשרת כולה. LT RISKMGMT מספקת ייעוץ, הכשרות, סדנאות חווייתיות והרצאות בתחומי ניהול סיכונים תפעוליים, מניעת מעילות והונאות, סייבר, המשכיות עסקית ובקרת בינה מלאכותית — כך שאותה ידיעה מקצועית שנצברה בסקר מתגלגלת גם לנוהל, גם להדרכה וגם למצגת ההנהלה.

לפי אילו קריטריונים כדאי להשוות בין יועץ עצמאי לחברת בוטיק?

לפני שמשווים בין יועץ עצמאי לחברת בוטיק, נדרש להגדיר קריטריונים ולשקלל אותם — אחרת ההחלטה נגררת אחרי המחיר בלבד. להלן הקריטריונים שלדעתנו נושאים את המשקל הרב ביותר בארגון מפוקח, מהחשוב לפחות:

• סניוריטי בפועל. מי יושב מול המבקר הפנימי, מול ועדת הביקורת ומול הרגולטור? שאלו במפורש מי מבצע, לא מי מציג. הכאב הנפוץ ביותר שמנהלי סיכונים מדווחים עליו הוא יועצים ששולחים זוטרים לשטח.
• רוחב הכיסוי. האם נדרש מענה בתחום אחד או בכמה תחומי סיכון לא-פיננסי במקביל? חיבור בין מעילות, סייבר וטעות אנוש דורש ראייה הוליסטית ולא שלושה ספקים נפרדים.
• רצף וגיבוי. מה קורה כשהיועץ במילואים, בחו"ל או עסוק בפרויקט אחר? בוטיק מחזיק צוות; עצמאי מחזיק יומן אחד.
• הבנה רגולטורית. היכרות עם הוראות הפיקוח הרלוונטיות, עם דרישות ממצאי ביקורת ועם שפת הדירקטוריון — כולל היכולת להסביר מדוע בקרה היסטורית מסוימת כבר מייצרת יותר עומס מהגנה.
• יכולת העברת ידע. האם הספק יודע גם להדריך? הטמעה של בקרה בלי הכשרת מבצעים נשארת על הנייר.
• זמינות ותגובתיות. ב-LT RISKMGMT, למשל, נהוגה מחויבות שירות למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות, לא SLA חוזי — שמעידה על קצב העבודה הצפוי.
• ניגודי עניינים. ספק שמוכר גם מוצר טכנולוגי אינו ניטרלי בהמלצה על בקרה. בוטיק ייעוצי טהור נמדד בעצה בלבד.
• עלות מול עלות אלטרנטיבית. לא שכר יומי מול שכר יומי, אלא סך העלות של הפתרון לעומת גיוס תקן פנימי מלא.

בראייתנו המקצועית, זווית אחת נותרת לרוב לא-מוערכת: שני הקריטריונים הראשונים — סניוריטי ורוחב כיסוי — מנבאים את הצלחת הפרויקט טוב יותר מכל השאר יחד, מפני שהם קובעים אם הארגון מקבל עצה שמישהו מוכן להגן עליה מול ועדת ביקורת. את יתר הקריטריונים אפשר לתקן בהמשך הדרך; את חוסר העומק בחדר לא מתקנים בדיעבד.

איזו חלופה עדיפה בהשוואה ישירה בין ארבעת המודלים?

ההשוואה הישירה בין ארבעת המודלים — יועץ עצמאי, חברת בוטיק, חברת ייעוץ גדולה וגיוס תקן פנימי — מציבה כל חלופה מול הקריטריונים שהוגדרו: סניוריטי, רוחב כיסוי, רצף, התאמה רגולטורית, הדרכה ועלות. הטבלה מסודרת כך שהאפשרויות הן השורות והקריטריונים הם העמודות.

מודל	סניוריטי בפועל	רוחב כיסוי סיכונים	רצף וגיבוי	יכולת הדרכה והטמעה	מתאים במיוחד ל
יועץ סיכונים עצמאי	גבוה — היועץ עצמו מבצע	צר, תחום התמחות אחד	תלוי באדם יחיד	משתנה, לרוב נקודתית	משימה מוגדרת וסופית, תקציב מוגבל
חברת בוטיק לניהול סיכונים	גבוה — מומחים בכירים בשטח	רחב: תפעולי, מעילות, סייבר, המשכיות, בינה מלאכותית	צוות מגבה ומתודולוגיה משותפת	גבוהה — ייעוץ, סדנאות והרצאות	ארגון מפוקח שנדרש למענה מקצועי ואסטרטגי
חברת ייעוץ גדולה	משתנה — לעיתים ביצוע זוטר	רחב מאוד, אך במודולים נפרדים	מובטח, במחיר תחלופת אנשים	תלוי בקו המוצר	פרויקט תשתיתי גדול ורב-שנתי
גיוס תקן פנימי	תלוי בגיוס	תלוי באדם שנבחר	חופשות ותחלופה חושפות פער	פנימית, מוגבלת בזמן	ארגון גדול עם עומס שוטף קבוע

הפסיקה בקצרה: למשימה אחת חדה בחרו יועץ עצמאי; לכל מצב שבו ממצא ביקורת, דרישת פיקוח או אירוע סייבר גורר כמה תחומי סיכון בבת אחת — חברת בוטיק היא ההתאמה הנכונה. שינוי כזה נוגע בבד בבד בתהליך העסקי, בבקרה, במערכות ובאנשים.

מתי שירות מנהל.ת סיכונים במיקור חוץ מתאים יותר מגיוס תקן פנימי?

שירות מנהל.ת סיכונים במיקור חוץ מתאים יותר מגיוס תקן פנימי כאשר הארגון חייב פונקציית סיכונים מוכרת — בגלל דרישת פיקוח, ממצא ביקורת או החלטת דירקטוריון — אבל היקף העבודה השוטף אינו מצדיק משרה מלאה. זהו המצב האופייני לארגונים בינוניים, לגופים ממשלתיים, לפינטקים ולנותני אשראי חוץ-בנקאי שגדלו מהר יותר מפונקציות הבקרה שלהם.

המודל של LT RISKMGMT בשירות זה פשוט: החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש. במקום לגייס מנהל סיכונים יחיד ולתקוות שהוא מכיר גם מעילות, גם המשכיות עסקית וגם בינה מלאכותית, הארגון מקבל גישה לצוות מומחים עם ניסיון מעשי בארגונים מפוקחים, בנפח שנקבע מראש ומשתנה לפי העומס.

מתי הבחירה הזו מתאימה במיוחד:

1. כשהתקן חסר אך לא מלא. הצורך אמיתי — ועדת ביקורת דורשת אחראי מוגדר — אבל שעות העבודה בפועל אינן מגיעות למשרה מלאה.
2. כשנדרשת התנעה מהירה. גיוס מנהל סיכונים בכיר בשוק הישראלי אורך זמן; שירות במיקור חוץ מתחיל לעבוד בתוך שבועות.
3. כשהעומס עונתי. הכנה לביקורת פיקוח, מיזוג, מעבר ליבה טכנולוגית או השקת מוצר יוצרים שיא זמני.
4. כשנדרשת אובייקטיביות. גורם חוץ מדווח על חולשה בתהליך בלי תלות פוליטית פנימית — יתרון מובנה מול פונקציה שכפופה למנוהל.
5. כשהידע צריך להישאר בארגון. ליווי שמשלב הכשרות וסדנאות מעביר את המתודולוגיה לצוותים הפנימיים, כך שהתלות בספק פוחתת עם הזמן.

הצד השני של המשוואה: מיקור חוץ אינו פותר בעלות. האחריות על ניהול הסיכונים נותרת של הדירקטוריון וההנהלה, ולכן נדרשת נקודת מיפגש פנימית קבועה — מזכיר החברה, המבקר הפנימי או סמנכ"ל תפעול — שמחזיקה את החוט ומתרגמת את התוצרים להחלטות.

איך מנהלים סיכוני בינה מלאכותית כשאין בארגון פונקציה אחראית?

סיכוני בינה מלאכותית מנוהלים נכון רק כשיש בארגון פונקציה שרואה אותם ב-360 מעלות; כשאין פונקציה כזו, הסיכון מתפזר בין תחומים ואף אחד לא מחזיק את התמונה. Chief AI Officer הוא התפקיד שמנהל את הבינה המלאכותית בארגון לרוחב — דאטה, ולידציה של מודלים, בדיקות תקיפה יזומות למודלים, היבטים משפטיים ורגולטוריים — כאשר הסייבר הוא רק אחת מזרועותיו ונשאר באחריות מנהל אבטחת המידע.

זו נקודת ההכרעה בין יועץ עצמאי לחברת בוטיק בהקשר הזה. סיכון בינה מלאכותית אינו תחום התמחות אחד: הוא חוצה מודלים, נתונים, ספקים, חוזים, פרטיות ותהליך עסקי. מפת סיכוני AI ייעודית — מסמך שממפה את השימושים בארגון, את הסיכון בכל שימוש ואת הבקרות הנדרשות בכל שלב בחיי המודל — מחייבת מי שמדבר בשפת הדאטה ובשפת הרגולציה גם יחד. LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, בליווי הטמעה לכל אורך חיי המערכת. ליאה צור, מנכ"לית החברה, מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

הרקע הרגולטורי מחדד את הדחיפות. חוק הבינה המלאכותית האירופי (EU AI Act) מסדיר שימושים לפי דירוג סיכון ומחייב תיעוד, שקיפות ופיקוח אנושי בשימושים בסיכון גבוה, והשפעתו מורגשת גם על ספקים ישראליים שמשרתים לקוחות באירופה. במקביל, מסגרות הפיקוח המקומיות מצפות שהנהלה תדע להסביר איזו החלטה התקבלה על ידי מודל, על אילו נתונים הוא אומן ומה קורה כשהוא טועה.

עוד נקודה שפחות מדברים עליה: להערכתנו, בשנת 2026 חלק גדול מחשיפות הבינה המלאכותית בארגונים אינו נובע ממודל שפותח בבית, אלא משימוש עובדים בכלים חיצוניים ומהטמעת יכולות מלאכותיות אצל ספקים קיימים. לכן מפת סיכונים שנעצרת בגבולות הפיתוח הפנימי מפספסת חלק מהותי מהחשיפה — ומיפוי הצד השלישי הוא בדיוק החוליה שדורשת ראייה רוחבית.

אילו צעדים מעשיים לנקוט לפני חתימה על הסכם ליווי סיכונים?

הצעדים המעשיים לפני חתימה על הסכם ליווי סיכונים — מול יועץ עצמאי או מול חברת בוטיק — נועדו למנוע את התרחיש הנפוץ: מסמך מקצועי שמוגש, נקרא, ולא משנה דבר בתהליך העבודה. סדר הפעולות המומלץ:

1. הגדירו את השאלה, לא את המוצר. כתבו בשורה אחת מה צריך להשתנות: לצמצם חשיפה למעילות בתהליך התשלומים, לעמוד בממצא ביקורת, לקצר זמני התאוששות בתכנית ההמשכיות העסקית, או למפות סיכוני בינה מלאכותית.
2. מפו את הבקרות הקיימות. רשמו אילו בקרות ותקנים נשארו מטעמים היסטוריים. חלק מהעומס הרגולטורי הנתפס הוא שכבות שאיש לא ביטל.
3. דרשו לדעת מי מבצע. בקשו את שמות האנשים שיהיו בשטח ואת הניסיון שלהם בארגונים מפוקחים — ולא רק את פרופיל החברה.
4. בקשו תוצר מוגדר. סקר סיכונים, מטריצת בקרות, נוהל, תכנית עבודה שנתית או מפת סיכוני בינה מלאכותית — עם תאריכי מסירה.
5. תכננו את ההטמעה מראש. קבעו מי מדריך את המבצעים ומתי. הכשרה היא חלק מהבקרה, לא נספח לה.
6. הכניסו את הדירקטוריון למשוואה. הגדירו איזה דיווח יגיע לוועדת הביקורת, באיזו תדירות ובאיזו שפה.
7. בדקו תגובתיות בפועל. שלחו פנייה ומדדו את זמן החזרה. ב-LT RISKMGMT, לדוגמה, נהוגה מחויבות שירות למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות, לא SLA חוזי.

לצד הליווי, שווה לבחון גם את ערוץ ההכשרה. LT RISKMGMT מפעילה קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ובינה מלאכותית בהיקף של כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות וביקורים במרכז בקרת סייבר מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם. קורס ההסמכה של החברה מוכר על ידי IRM – Institute of Risk Management, גוף בינלאומי מוביל בהכשרת מנהלי סיכונים. מאחורי LT RISKMGMT מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות — ולקוחות כמו בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים מעידים על הייעוץ, ההדרכות וההרצאות.

כמה זה עולה וכיצד נראה מודל התמחור בכל אחת מהחלופות?

העלות והמודל התמחורי בכל אחת מהחלופות — יועץ סיכונים עצמאי מול חברת בוטיק — נבנים כמעט תמיד על אחד מארבעה מודלים כספיים: תעריף שעתי, ריטיינר חודשי קבוע, מחיר סגור לפרויקט (מחיר פיקס), או מודל מבוסס תמורה שנקשר לאבני דרך. בשוק הישראלי המפוקח הטווחים משתנים מאוד לפי ותק היועץ, עומק הפיקוח והיקף התוצרים, ולכן נכון יותר להשוות לפי קריטריונים ולא לפי מחיר גלובלי אחיד.

הקריטריונים שכדאי לשקלל לפני שמסתכלים על המחיר:

• ודאות תקציבית — עד כמה הסכום ניתן לתקצוב שנתי מדויק. הקריטריון החשוב ביותר לגוף מפוקח שמדווח לדירקטוריון.
• גמישות היקף — היכולת להרחיב לסקר סיכונים, תכנית המשכיות עסקית (BCP – תכנית להתמודדות עם אירועי חירום) או מיפוי סיכוני בינה מלאכותית ללא משא ומתן מחדש.
• רצף ידע — הסיכון לאובדן ידע ארגוני בהחלפת גורם מייעץ.
• עלות ניהול הספק — זמן ההנהלה שנשרף בתיאום, בקרה ואישור תוצרים.

מודל תמחור	ודאות תקציבית	גמישות היקף	רצף ידע	מתאים בעיקר ל
תעריף שעתי	נמוכה	גבוהה	תלוי אדם	ליווי נקודתי, יועץ עצמאי
ריטיינר חודשי	גבוהה	בינונית-גבוהה	גבוה	ליווי מתמשך, בוטיק
מחיר סגור לפרויקט	גבוהה מאוד	נמוכה	חלקי	סקר סיכונים או תוצר מוגדר
מודל מבוסס אבני דרך	בינונית	בינונית	גבוה	פרויקטי שינוי תפיסה

בחישוב עלות בעלות כוללת לשלוש שנים יש להוסיף את העלויות הנסתרות: הטמעה והיכרות עם התהליכים, ניהול הספק, החלפת יועץ ואובדן הידע שנצבר. כאן, לדעתנו, נמצא הפער האמיתי: תעריף שעתי נמוך יכול להתגלגל ליוקר לאורך זמן.

מדדי התמורה שכדאי למדוד: הפחתת פרמיית הביטוח, הימנעות מקנס רגולטורי וקיצור בדיקות הנאותות מול שותפים. שירות מנהל/ת סיכונים במיקור חוץ של LT RISKMGMT מחליף תקן פנימי בעלות משתנה — ובמוסד פיננסי גדול בישראל הוביל, לפי הערכת בעלי החברה, לחיסכון של כ-5 תקנים. גם ב-2026, מחויבות השירות של LT RISKMGMT למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות, לא SLA חוזי — חוסכת זמן הנהלה יקר.

איזה מודל מתאים לארגון שלכם לפי גודל, ענף ועומס רגולטורי?

בחירת המודל המתאים לארגון שלכם נקבעת לפי שלושה משתנים מכריעים — גודל, ענף ועומס רגולטורי — ולא לפי תקציב בלבד. כשהעומס הרגולטורי גבוה והממשל התאגידי בשל, נדרש עומק של צוות בוטיק; כשהארגון קטן ותהליכי הבקרה עדיין נבנים, יועץ יחיד יכול להספיק.

אילו פרמטרים באמת מכריעים?

• מורכבות רגולטורית — טווח: נמוכה (חברה פרטית ללא פיקוח) עד גבוהה מאוד (גוף מפוקח על ידי בנק ישראל, רשות ניירות ערך או רשות שוק ההון, הכפוף לשורת הוראות נב"ת). ככל שהמורכבות עולה, נדרשת התמחות רוחבית ולא איש אחד.
• בשלות ממשל תאגידי — טווח: ללא ועדת ביקורת פעילה עד דירקטוריון עם ועדת סיכונים. בשלות נמוכה דורשת ליווי מתודולוגי לפי מסגרת כמו ISO 31000.
• קיום ממונה סיכונים פנימי — קיים / חסר. בהיעדרו, שירות מנהל/ת סיכונים במיקור חוץ של LT מהווה את התקן ומסופק בנפח שהלקוח מבקש.
• פיזור גיאוגרפי ופיזור מערכות — משפיע ישירות על היקף תכנית ההמשכיות העסקית (BCP) ועל זמני ההתאוששות.
• לחץ משקיעים ולקוחות ארגוניים — דרישות לתקן אבטחת מידע כדוגמת ISO 27001 או לשאלוני ספקים מקצרות את לוח הזמנים.
• חשיפה לבינה מלאכותית — נוכחות מודלים בתהליך העסקי מחייבת מפת סיכוני AI ומענה לרגולציה מתגבשת כמו חוק ה-AI האירופי.

אילו שאלות אבחון לשאול לפני ההחלטה?

1. האם הארגון מפוקח, ואם כן — על ידי מי?
2. האם קיים ממונה סיכונים או שהאחריות מפוזרת?
3. האם נדרשת התמחות במעילות והונאות בנוסף לסייבר?
4. האם יש ממצא ביקורת פתוח עם לוח זמנים מחייב?
5. האם נדרשת גם הכשרת מנהלים ודירקטוריון, ולא רק מסמך?
6. האם קיימת תכנית המשכיות עסקית מעודכנת ומתורגלת?
7. האם ה-AI בארגון מנוהל בידי גורם אחד ב-360 מעלות?
8. מה נפח העבודה החודשי הצפוי — נקודתי או שוטף?

בראייתנו, זווית שלא זוכה לתשומת לב מספקת בשנת 2026 היא שפינטקים ונותני אשראי חוץ-בנקאי צומחים לתוך עומס רגולטורי מהר יותר מכפי שהם בונים ניהול סיכונים תפעוליים — פער שמודל בוטיק סוגר טוב יותר.

אילו סיכונים ונקודות כשל אופייניות לכל חלופה ואיך מצמצמים אותן?

אם ההתקשרות עצמה היא מקור סיכון, נובע מכך שאותה מתודולוגיה שמיישמים על תהליכים עסקיים חייבת לחול גם על החוזה עם היועץ — ולכן נקודות הכשל האופייניות לכל חלופה ניתנות לצמצום בעיקר בסעיפי ההסכם, לא בשיחות אמון. אצל יועץ עצמאי הכשל המרכזי הוא Key-person risk (תלות באדם יחיד): מחלה, מילואים או עומס אצל לקוח אחר עוצרים את הפרויקט. נוספים לו ניגודי עניינים מול לקוחות מתחרים, היעדר ביטוח אחריות מקצועית, וחשיפת סודיות ואבטחת מידע בעבודה על מסמכי בקרה רגישים. בחברת בוטיק הכשלים שונים: הצמדה בפועל ליועץ זוטר במקום למומחה שהוצג בפגישת המכר, תלות בספק, תמחור שנפתח מחדש בכל שלב, ותוצרים המבוססים על תבניות גנריות שאינן מדברות בשפת הרגולציה הישראלית.

עשו זאת בחוזה	אך היזהרו מ־
סעיף Named Personnel המחייב שמות מומחים ספציפיים	החלפה שקטה במתמחה — דרשו אישור בכתב לכל שינוי
דרישת ביטוח אחריות מקצועית בתוקף	פוליסה שהסתיימה — בקשו אישור קיום ביטוח שנתי
הסכם סודיות (NDA) הכולל טיפול בדאטה וב־AI	העלאת מסמכים רגישים לכלים ציבוריים
הצהרת היעדר ניגוד עניינים מול מתחרים	הצהרה חד־פעמית ללא חידוש תקופתי
בעלות מלאה על התוצרים והעברת ידע מסודרת	דוח PDF בלבד ללא הכלים שמאחוריו
תנאי יציאה, אבני דרך ותקרת תקציב	הרחבות שוליים שמנפחות את העלות

ההפחתה המשמעותית ביותר היא לסיכון האדם היחיד: התקשרות שמגדירה גם מומחה מוביל בשמו וגם גיבוי מקצועי מוסכם. זהו בדיוק ההיגיון שמאחורי שירות מנהל סיכונים במיקור חוץ של LT Risk Management, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש — כך שהרציפות אינה תלויה בזמינות של אדם אחד. ב-LT Risk Management נהוגה גם מחויבות שירות למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות, לא SLA חוזי — מה שמקצר את זמן התגובה כשמתעורר ממצא ביקורת דחוף.

כיצד בודקים כשירות, ניסיון ואמינות של יועץ סיכונים או חברת בוטיק?

זה תלוי למה אתם מתכוונים כשאתם בודקים כשירות, ניסיון ואמינות של יועץ סיכונים עצמאי או של חברת בוטיק: יש כשירות פורמלית (תעודות), יש כשירות ניסיונית (מה האדם עשה בפועל בארגון מפוקח), ויש כשירות תקשורתית (היכולת לעמוד מול דירקטוריון ומול המפקח). שלושתן נבדקות אחרת.

כשירות פורמלית. בענף מקובלות הסמכות כגון FRM ו-PRM לסיכונים פיננסיים, CRMA לביקורת פנימית, הסמכת מוביל בתקן ISO 31000 לניהול סיכונים ארגוני, ו-CISM בהיבטי סייבר. תעודה היא תנאי סף, לא הוכחת יכולת. בהקשר זה קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI מוכר על ידי IRM‏ (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים, וליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

כשירות ניסיונית. בקשו רקע תעסוקתי בתפקידי ניהול סיכונים, בקרה או ביקורת פנימית בתוך ארגון מפוקח — לא רק ייעוץ מבחוץ. LT נשענת על למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI עבור בנקים, גופים פיננסיים ודירקטוריונים.

שלוש שאלות אבחון לראיון:

1. תארו סקר סיכונים שביצעתם ומה השתנה בפועל בתהליך העסקי בעקבותיו.
2. מתי המלצתם ללקוח לבטל בקרה קיימת, ואיך הגנתם על ההמלצה מול הביקורת?
3. מי בדיוק יבצע את העבודה — ומה החלופה אם אותו אדם אינו זמין?

מה לבקש לראות: מפת סיכונים מוסתרת (ללא זיהוי לקוח), דוח לדירקטוריון וטיוטת תכנית עבודה. בקשו גם ממליצים מארגונים דומים לשלכם; על הייעוץ, ההדרכות וההרצאות של LT מעידים לקוחות מובילים במשק הפיננסי והציבורי, ובהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים. סימן נוסף לרצינות תפעולית: מחויבות השירות של LT למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות, לא SLA חוזי.

שאלות נפוצות: מה עוד כדאי לדעת לפני בחירת יועץ סיכונים?

לפני בחירת יועץ סיכונים — עצמאי או חברת בוטיק — אלה השאלות שחוזרות אצל דירקטוריונים, מנהלי סיכונים ומנהלי אבטחת מידע בגופים מפוקחים.

מה זה BPT ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT – Business Penetration Test הוא מבדק חדירות לתהליך העסקי: שיטה ייחודית ובלעדית ל-LT RISKMGMT, שמאתרת חולשות בתהליך העבודה עצמו ולא רק בטכנולוגיה, ונותנת מענה הוליסטי לסיכון סייבר, למעילה ולטעות אנוש. הוא אינו מבדק חדירות טכנולוגי (PT) ואינו מחליף אותו — הוא בא אחריו, אחרי שההגנות הטכנולוגיות נסגרו והחולשה שנותרה יושבת בתהליך.

האם חברת בוטיק יקרה מיועץ עצמאי?

יום עבודה של מומחה בכיר בבוטיק אינו זול, אך ההשוואה הנכונה היא לעלות הכוללת. כשחלופת הבוטיק חוסכת גיוס תקנים, מקצרת הגעה לתוצר ומונעת פיצול בין כמה ספקים, התמונה הכספית משתנה — כפי שמדגים סיפור ההצלחה של LT במוסד פיננסי גדול בישראל, שבו נחסכו כחמישה תקנים לפי הערכת הבעלים.

מי אחראי על ניהול הסיכונים אחרי שהיועץ מסיים?

האחריות נותרת תמיד על הדירקטוריון וההנהלה הבכירה — ליווי חיצוני אינו מעביר אחריות. לכן כדאי להתעקש שהליווי יכלול העברת ידע: הדרכה לצוותים, נהלים כתובים ומסגרת דיווח שממשיכה לפעול גם בלי הספק.

איזה ליווי מתאים לפינטק או לנותן אשראי חוץ-בנקאי?

לגוף צומח שמפוקח לראשונה מתאים בדרך כלל שילוב: מנהל.ת סיכונים במיקור חוץ שמחזיק את השוטף, לצד פרויקט מוגדר של סקר סיכונים ותכנית המשכיות עסקית. כך נבנית פונקציית סיכונים אמינה מול הפיקוח בלי גיוס מלא מיידי.

האם חברת בוטיק תשלח ג'וניורים לפרויקט?

זה החשש הנפוץ מול חברות ייעוץ גדולות, ולכן חשוב לקבוע בהסכם מי בפועל מבצע את העבודה. ב-LT הליווי נעשה על ידי מומחי סיכונים עם ניסיון מעשי של מעל 22 שנה בארגונים מפוקחים, בהובלת ליאה צור. מומלץ לדרוש מכל ספק שמות, קורות חיים ואחוזי מעורבות בכתב.

כיצד בוחנים ספק לניהול סיכוני בינה מלאכותית?

בדקו האם הספק מלווה את מחזור החיים המלא: איכות דאטה, תיקוף מודלים (validation), צוותי תקיפה למודלים, והיבטים משפטיים ורגולטוריים בהתאם למגמות כמו רגולציית הבינה המלאכותית האירופית. LT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני בינה מלאכותית ייעודית; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

מתי עדיף מנהל סיכונים במיקור חוץ על גיוס תקן פנימי?

כאשר הארגון — לרוב בינוני או ממשלתי — נדרש לפונקציית סיכונים מקצועית אך לא למשרה מלאה. השירות של LT מהווה את התקן ומסופק בהיקף שהלקוח מבקש. בסיפור הצלחה במוסד פיננסי גדול בישראל (חסוי), שינוי תפיסת ניהול סיכוני ההונאות קיצר, לפי הערכת הבעלים, את זמן הניתוק של לקוח חשוד מ-2–5 ימים לשעתיים לכל היותר וחסך כ-5 תקנים.

איזה מודל מתאים להכשרות ולהרצאות לדירקטוריון?

להכשרה מתמשכת עדיף גוף שמחזיק תוכנית מסודרת ולא מרצה חד-פעמי. קורס ההסמכה של LT למנהלי ומנהלות סיכונים תפעוליים, סייבר ובינה מלאכותית הוא בהיקף כ-40 שעות אקדמיות, כולל סדנאות, התנסויות וביקור במרכז ניטור סייבר מוביל, ומוכר על ידי IRM. מאחורי החברה מאות הרצאות וסדנאות לבנקים, גופים פיננסיים ודירקטוריונים.

כמה זמן לוקח לקבל מענה ראשוני בפנייה?

LT מתחייבת למענה לפניות תוך 24 שעות — התחייבות שירות לפנייה ראשונית, לא רמת שירות חוזית. בפועל, נכון ל-2026, זמן התגובה הוא סימן מובהק לזמינות הצוות בהמשך הדרך: כדאי לבחון אותו כבר בשלב הבירור, לצד היקף הכיסוי המקצועי והתאמת הספק לרגולציה החלה עליכם.