סיכוני מעילות והונאות: איך ממפים תהליכים עסקיים חשופים

מיפוי תהליכים עסקיים חשופים למעילות והונאות נעשה בשבעה שלבים: הגדרת גבולות התהליך מקצה לקצה, תיעוד האופן שבו הוא מתבצע בפועל (ולא כפי שמופיע בנוהל), זיהוי נקודות ההחלטה, ההרשאות והחריגים, הצבת תרחישי מעילה קונקרטיים על כל נקודה כזו, מיפוי הבקרות הקיימות ובחינת אפקטיביותן, דירוג הסיכון השארי, וקביעת מדדי התראה מוקדמת. מעילה היא ניצול אמון או הרשאה לגיטימית לצורך הפקת טובת הנאה אישית; הונאה היא הטעיה מכוונת של הארגון או לקוחותיו. שתיהן כמעט תמיד מתרחשות בפער שבין התהליך הכתוב לתהליך המבוצע — ולכן המיפוי, ולא רק הבקרה הטכנולוגית, הוא הכלי המרכזי. LT RISKMGMT (ליאה צור) מתמחה בדיוק בזיהוי הפער הזה, בגופים פיננסיים מפוקחים ובארגונים ציבוריים.

איך ממפים תהליך עסקי חשוף למעילה, שלב אחר שלב?

מיפוי תהליך עסקי חשוף למעילה מתחיל לא בשרטוט התהליך התקין, אלא בשאלה ההפוכה: אם הייתי רוצה להוציא כאן כסף או מידע בלי שיבחינו — איפה הייתי עושה זאת. זו התפיסה שמנחה את עבודת הייעוץ של LT RISKMGMT, וכל שלב מוגדר עם תפוקה (deliverable) מוחשית שניתן להציג לדירקטוריון או למבקר הפנים:

1. הגדרת גבולות התהליך — קביעת נקודת הפתיחה והסיום מקצה לקצה, כולל ממשקים לספקים, למיקור חוץ ולמערכות היקפיות. תפוקה: תרשים זרימה מאושר על ידי בעל התהליך.
2. תיעוד ה-as is — ראיונות עם המבצעים בשטח ותצפית ישירה, כדי לחשוף את "הדרכים הקצרות" שאינן מתועדות בנוהל: אקסלים צדדיים, אישורים בעל פה, סיסמאות משותפות. תפוקה: תיאור התהליך כפי שהוא מבוצע בפועל, לא כפי שהוא כתוב.
3. מיפוי נקודות שליטה והרשאות — כל החלטה, חתימה, override (אישור חריגה ידני) וחריג, לצד ניתוח מטריצת הפרדת התפקידים (SoD — Segregation of Duties: הפרדה בין מי שיוזם פעולה, מי שמאשר אותה ומי שמבקר אותה). תפוקה: טבלת צמתים עם בעלי סמכות, ומטריצת SoD עם קונפליקטים והרשאות עודפות מסומנים.
4. הצבת תרחישי מעילה — לכל נקודה מוצמד תרחיש קונקרטי הכולל את המבצע האפשרי, המניע, ההזדמנות ודרך ההסתרה. תפוקה: בנק תרחישים מדורג לפי ישימות.
5. בחינת בקרות קיימות — האם הבקרה מונעת, מגלה או מתקנת; אוטומטית או ידנית; ומתי נבדקה אפקטיביותה לאחרונה — כולל סימון בקרות שנשארו מטעמים היסטוריים ואינן מכסות דבר. תפוקה: מטריצת סיכון-בקרה עם פערים.
6. דירוג הסיכון השארי — הסתברות מול נזק פוטנציאלי, אל מול תיאבון הסיכון שאישר הדירקטוריון. תפוקה: מפת חום (heat map) ותכנית עבודה מתועדפת עם אחראים ולוחות זמנים.
7. מדדי התראה מוקדמת (KRI) — אינדיקטורים כמותיים שמצביעים על התדרדרות עוד לפני האירוע, למשל גידול בחריגים או ריכוז פעולות אצל עובד בודד. תפוקה: לוח KRI שמנוטר לאורך זמן.

השלב שנוטים לדלג עליו הוא השלישי. ארגונים ממפים תהליכים לצורכי יעילות, ואז מנסים "להלביש" עליהם סיכונים. התוצאה היא מסמך שמתאר איך העבודה אמורה להתנהל, ולא איפה היא נשברת.

מהם הרכיבים של מפת החשיפה המתקבלת?

התוצר המרכזי של המיפוי הוא מפת חשיפה לסיכוני מעילות והונאות — תוצר מובנה של תהליך הערכת סיכוני מעילות (Fraud Risk Assessment) שממפה, תהליך אחר תהליך, היכן ניתן לגנוב, לשבש או להסתיר, ומה מונע זאת בפועל. בתוכנית הבקרה הפנימית המפה נכנסת בשלב התכנון — לפני קביעת תוכנית העבודה השנתית — ומזינה אותה.

רכיב	ערכים אפשריים	מדוע הוא קריטי להחלטה
תהליך עסקי	תשלומים, אשראי, רכש, סליקה, חדר עסקאות (Middle Office)	מגדיר את גבולות הבדיקה ואת בעל התהליך האחראי
תרחיש מעילה	הטיית תשלום, לקוח פיקטיבי, מניפולציה בנתונים, שימוש לרעה בהרשאה	הופך סיכון מופשט לתיאור תוקף קונקרטי
גורם מבצע	עובד, מנהל, ספק, שותף חיצוני, קנוניה בין שניים	קובע איזו בקרה בכלל רלוונטית
בקרה מפצה	הפרדת תפקידים, אישור כפול, התאמות, ניטור חריגות	מודדת עד כמה התרחיש נעצר בפועל
דירוג סיכון שיורי	נמוך / בינוני / גבוה / קריטי	מכתיב סדר עדיפויות ותקציב טיפול

אילו מונחי יסוד כדאי להגדיר מראש?

• סיכון מובנה (Inherent Risk) — עוצמת החשיפה לפני הפעלת בקרות. סיכון שיורי (Residual Risk) — מה שנשאר אחרי הבקרות; זה המספר שהדירקטוריון באמת צריך לראות.
• משולש ההונאה — המסגרת המוכרת בעולם ניהול הסיכונים: לחץ, הזדמנות והצדקה עצמית. רק "הזדמנות" נמצאת בשליטת הבקרה הפנימית, ולכן היא צלע העבודה של מיפוי החשיפה.

אילו תהליכים עסקיים חשופים במיוחד לסיכוני מעילות והונאות?

נקודות החשיפה חוזרות על עצמן בין ארגונים במידה מפתיעה, ולכן מיפוי טוב מתחיל מרשימת חשד קבועה. עבור כל תהליך מוגדרים שלושה מאפיינים קבועים — תרחיש המעילה הטיפוסי, נקודת התורפה (השלב שבו הבקרה נשענת על אדם בודד או על אמון), ומדד החשיפה שאיתו מודדים את עומק הסיכון. זו בדיוק שכבת הניתוח ש-LT Risk Management מייצרת עבור לקוחותיה — ניתוח סיכונים של התהליך העסקי עצמו, הבוחן את חולשות שרשרת העבודה ולא רק את ההגנה הטכנולוגית.

תהליך עסקי	תרחיש מעילה טיפוסי	נקודת התורפה	מדד חשיפה
רכש והתקשרות עם ספקים	פיצול הזמנות מתחת לרף אישור; הטיית מכרז	קרבה בין מזמין ומאשר	שיעור התקשרויות ללא הצעות מתחרות
חשבונות לתשלום (AP)	ספק פיקטיבי או שינוי פרטי בנק	עדכון כרטיס ספק ללא אימות חוזר	מספר שינויי חשבון בנק לחודש
שכר ונוכחות	עובד רפאים, שעות נוספות מנופחות	הזנת נתונים ידנית בלי בקרה מפצה	חריגות שכר מול תקן
קופה קטנה והוצאות נסיעה	קבלות כפולות או פיקטיביות	אישור בדיעבד על סמך אמון	אחוז החזרים ללא אסמכתה תקינה
גבייה וניהול לקוחות	מחיקת חוב או הטבה לא מאושרת	הרשאת זיכוי בידי מנהל תיק	היקף זיכויים ידניים
מזומן ואמצעי תשלום	הסטת תקבולים (lapping)	הפרדת תפקידים חלקית בקבלה ורישום	פערי התאמה בנקאית
מלאי ולוגיסטיקה	גריעת מלאי כ"פחת" והוצאתו	ספירה עצמית של האחראי	סטיות ספירה חוזרות
נכסים קבועים	הוצאה או השבחה פרטית	מרשם נכסים לא מעודכן	פריטים ללא איתור פיזי
IT והרשאות מערכת (ERP)	הרשאות עורף, שימוש בהרשאת פורש	צירופי הרשאות מסוכנים (toxic combinations)	מספר משתמשים עם הרשאה כפולה
תרומות וכספים מיוחדים	ניתוב כספים לגורם קשור	תיעוד חלקי של מקבלי הכספים	שיעור העברות ללא ועדה מאשרת

מעבר לטבלה, שלוש נקודות רוחביות חוזרות כמעט בכל ארגון: חריגים ו-override — כל מסלול שמאפשר לעקוף בקרה "כי הלקוח דחוף" הוא מסלול שמאפשר לעקוף בקרה, נקודה; תהליכי הטיפול בלקוח חשוד — הזמן שבין העלאת החשד לפעולה בפועל הוא חלון ההזדמנות של המעילה; ומיקור חוץ וספקי טכנולוגיה — הבקרה מסתיימת בגבול הארגון, הסיכון לא.

נקודת הלקוח החשוד ממחישה את הפוטנציאל היטב. בפרויקט לשינוי תפיסת ניהול סיכוני ההונאות במוסד פיננסי גדול בישראל, שזהותו חסויה, לפי הערכת הבעלים קיצרה LT RISKMGMT את זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2–5 ימים בממוצע לכל היותר שעתיים, וחסכה כחמישה תקנים — תוצאה של תכנון מחדש של התהליך והבקרות, ולא של רכישת מערכת נוספת.

בראייתנו, זו התובנה הפחות אינטואיטיבית בתחום: הרוב המוחלט של הבקרות שאנו פוגשים אינו חסר — הוא פשוט ממוקם בשלב הלא נכון של התהליך. בקרה שמופעלת אחרי שהכסף יצא היא תיעוד, לא מנגנון מנע.

מה השתנה במיפוי סיכוני מעילות בעידן ה-AI בשנת 2026?

מיפוי סיכוני מעילות בעידן ה-AI בשנת 2026 חייב להתייחס לשכבה שלא הייתה קיימת בסקרי הסיכונים של אתמול: מודלים שמקבלים החלטות, סוכני AI שמבצעים פעולות, וכלים גנרטיביים שהופכים התחזות למשכנעת בהרבה. מבחינת הונאות, השינוי דו-כיווני. מצד אחד ה-AI משפר זיהוי אנומליות; מצד שני הוא מוריד דרמטית את חסם הכניסה להתחזות קולית ולזיוף מסמכים, ומכניס וקטור חדש לגמרי — מניפולציה של הדאטה שעליו המודל מתאמן.

לכן מפת סיכוני AI הפכה למרכיב אינטגרלי במיפוי התהליכים החשופים, ולא לנספח נפרד. הרכיבים שצריכים להיכנס אליה:

• דאטה — מקור הנתונים, איכותם, הרשאות הגישה, וסיכון להזרקת נתונים מוטים או זדוניים.
• Validation — מי מאמת את פלט המודל לפני שהוא הופך להחלטה עסקית, ומה קורה כשהמודל טועה בביטחון גבוה.
• AI Red Teams — צוותים שתפקידם לתקוף את המודל ולנסות להוציא ממנו התנהגות חריגה.
• היבטים משפטיים ורגולטוריים — חובות שקיפות, הסברתיות ותיעוד, ברוח EU AI Act ודרישות הרגולציה בישראל.
• בעלות ואחריות — מי חותם על השימוש, ומה מסלול האישור לכלי AI חדש.

הפונקציה שמחזיקה את התמונה הזו ב-360 מעלות היא Chief AI Officer — הגורם שמנהל את ה-AI בארגון לאורך כל מחזור חייו, כאשר הסייבר הוא רק אחת מזרועותיו ונשאר באחריות ה-CISO. LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, וליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance. בראייתנו, הכשל הנפוץ ביותר כיום אינו טכנולוגי אלא ארגוני: הכלים נכנסים דרך היחידות העסקיות, בזמן שהאחריות על הסיכון נשארת ללא כתובת מוגדרת — וזה בדיוק המצב שבו מעילה מנוצלת דרך אוטומציה שאף אחד לא ממפה.

מהם הדגלים האדומים שמעידים על תהליך חשוף לפני שהמעילה מתגלה?

הדגלים האדומים שמעידים על תהליך חשוף מופיעים כמעט תמיד לפני שהמעילה מתגלה — הם פשוט לא נאספים למקום אחד. ברמת התהליך מדובר בסימנים מבניים; ברמת האדם — בהתנהגות חריגה סביב נקודת בקרה. LT RISKMGMT מאתרת את שני סוגי הסימנים בתוך התהליך העסקי עצמו — בבחינת חולשות שרשרת העבודה, ולא רק ההגנה הטכנולוגית.

סימני אזהרה ברמת התהליך:

• ספק בודד שנבחר ללא הליך תחרותי, בלי הצעות משוות בתיק ההתקשרות
• כתובת או חשבון בנק של ספק הזהים לפרטי עובד
• שינויי פרטי בנק של ספקים ללא אימות חוזר בערוץ עצמאי
• חריגות ופערים חוזרים בהתאמות בנקאיות שנסגרים ב"התאמה ידנית"
• זיכויים, ביטולי חשבוניות והחזרים בהיקף חריג לענף
• חשבוניות בסכומים עגולים או במספור סדרתי, וגידול חריג בהוצאות מזומן

סימני אזהרה ברמת האדם: עובד שאינו יוצא לחופשה, מסרב להעביר תפקיד או לעבור רוטציה, מחזיק בהרשאות כפולות (הזנה ואישור), ומתנגד לתיעוד התהליך שהוא מנהל.

איך פועלים בלי לייצר נזק?

הפעולה המומלצת	הסיכון שצריך לקחת בחשבון
הפעלת ניתוח נתונים (Data Analytics) וכלי CAAT — כלים ממוחשבים לביקורת המריצים חוקי אנומליה על מלוא האוכלוסייה	ריבוי אזעקות שווא שמכריע את צוות הבקרה ושוחק את אמינות המודל
הצלבת קובץ ספקים מול קובץ עובדים	פגיעה בפרטיות ובדין העבודה ללא בסיס מוסדר לעיבוד הנתונים
חקירה מקדימה של דגל אדום שזוהה	סיכון פעולה: חקירה חפוזה מסמנת עובד חף מפשע או מתריעה לחשוד ומאפשרת השמדת ראיות

הפחתת הסיכון המשמעותי ביותר — אזעקות השווא — נעשית בכיול סף ההתראה לפי תיאבון הסיכון שהוגדר בדירקטוריון, ובבניית מסלול טיפול מדורג במקום התראה בינארית.

אולי אתם גם שואלים את עצמכם: האם דגל אדום מחייב דיווח מיידי לדירקטוריון? לא בהכרח — נדרש שלב אימות מקדים מתועד. ומה עם עובד ותיק ומוערך? דווקא שם ההיכרות האישית היא הבקרה שנשחקה. נכון ל-2026, הבשלת מודלים אוטומטיים מגדילה את נפח ההתראות, ולכן פרשנות מקצועית של מומחי LT הופכת קריטית יותר, לא פחות.

במה שונה מיפוי סיכוני הונאה מביקורת פנימית רגילה או מסקר סיכונים כללי?

מיפוי סיכוני הונאה נבדל מביקורת פנימית רגילה ומסקר סיכונים כללי בשלושה קריטריונים שכדאי להגדיר לפני כל השוואה: נקודת המבט (האם בוחנים את התהליך בעיני תוקף פוטנציאלי או בעיני מבקר שמאמת ציות), עומק החדירה לתהליך העסקי (האם יורדים לרמת ההרשאה, ההתממשקות והחריג היחיד), וסוג התוצר (רשימת ממצאים לתיקון מול מפת חשיפות עם תרחישי מעילה). קריטריונים משניים — תדירות, הגורם המזמין ומשך העבודה — קובעים בעיקר את התקצוב, ולכן יש לשקלל אותם אחרי השלושה הראשונים.

הבחנה מהותית: ביקורת פנימית עובדת לפי תוכנית עבודה שנתית שמאושרת בוועדת הביקורת ומודדת פער מול נוהל; סקר סיכונים ארגוני (ERM — Enterprise Risk Management, ניהול סיכונים כולל; ISO 31000 הוא התקן הבינלאומי המוכר בתחום זה) ממפה את מרחב הסיכונים בכל הרמות ברזולוציה גבוהה; סקר סיכוני מעילות והונאות מניח כוונת זדון ומחפש את החוליה שבה שליטה של אדם אחד מספיקה כדי להוציא כסף או מידע.

קריטריון	סקר סיכוני מעילות והונאות	ביקורת פנימית (תוכנית שנתית)	סקר סיכונים ארגוני (ERM)
מטרה	זיהוי חשיפות לניצול זדוני של התהליך	אימות ציות לנוהל, לחוק ולהוראות הפיקוח	מיפוי רוחבי של מרחב הסיכונים והתיאבון לסיכון
נקודת מבט	של התוקף מבפנים ומבחוץ	של מבקר בלתי תלוי	של ההנהלה ובעלי התהליכים
עומק בתהליך	הרשאות, חריגים, נקודות תפר בין מערכות	דגימת בקרות מול תוכנית העבודה	ברמת תהליכי-אב וקטגוריות סיכון
תוצר	מפת חשיפות, תרחישי מעילה ובקרות ממתנות	דוח ממצאים והמלצות לתיקון	מרשם סיכונים ומטריצת הסתברות-השפעה
תדירות	נקודתית או מחזורית, לפי שינוי בתהליך	שנתית לפי תוכנית מאושרת	שנתית עד דו-שנתית
מי מזמין	הנהלה, CISO, מנהל סיכונים, דירקטוריון	ועדת ביקורת והמבקר הפנימי	הדירקטוריון וההנהלה הבכירה
עלות ומשך	ממוקד וקצר יחסית, תלוי מספר התהליכים	תלוי היקף התוכנית השנתית	ארוך ורוחבי

השורה התחתונה: הביקורת הפנימית עונה על "האם עמדנו בנוהל", ה-ERM עונה על "מה מטריד את הארגון", ורק סקר סיכוני ההונאה עונה על "איך בפועל מוציאים מכאן כסף" — וזו הזווית שממנה LT Risk Management בונה את המיפוי אצל לקוחותיה.

מי אחראי לתחזק את המיפוי, ומה הצעד הבא אחרי שהוא הושלם?

האחריות לתחזוקת המיפוי היא השלב שקובע אם הוא הופך לכלי ניהולי או למסמך מדף. מיפוי סיכוני מעילות והונאות אינו פרויקט חד-פעמי: כל שינוי מערכת, מבנה ארגוני, ספק או כלי AI חדש משנה את מפת החשיפות. לכן נדרש בעל תפקיד מוגדר — לרוב מנהל הסיכונים — שמעדכן את התהליכים הקריטיים בקדנציה קבועה, מדווח לדירקטוריון ולוועדת הביקורת, ומקשר בין המיפוי לתכנית ההמשכיות העסקית (BCP — תכנית להתמודדות עם אירועי חירום כמלחמה, מגיפה או אירוע סייבר, הכוללת מיפוי מערכות ותהליכים קריטיים וזמני התאוששות).

הצעדים המעשיים אחרי סיום המיפוי:

1. תיעדוף — לבחור את התהליכים בעלי הסיכון השארי הגבוה ולהגדיר להם בעל אחריות מנוי בשם.
2. הטמעת בקרות מונעות — להזיז בקרות מזיהוי בדיעבד למנע בזמן אמת, במיוחד בנקודות התשלום וההרשאות.
3. הכשרת המנהלים — מיפוי שלא תורגם לשפה של מנהלי היחידות אינו מיושם. LT RISKMGMT מעבירה הדרכות חווייתיות וסדנאות לדירקטוריונים ולהנהלות, ומקיימת קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות, הכולל סדנאות, התנסויות וביקור ב-SOC מוביל, ומוכר על ידי IRM (Institute of Risk Management).
4. סגירת פער תקן — ארגונים בינוניים וגופים ממשלתיים שאינם מגייסים מנהל סיכונים במשרה מלאה יכולים להיעזר בשירות Risk Manager as a Service של LT RISKMGMT, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש.
5. בדיקה חוזרת — הרצת מבדק תהליכי נוסף אחרי שינוי מהותי, כדי לאמת שהבקרה החדשה אכן עובדת.

לקוחות מובילים במשק הפיננסי והציבורי — בהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים — מעידים על הייעוץ, ההדרכות וההרצאות של LT RISKMGMT. פנייה ראשונית לצוות הייעוץ מקבלת מענה תוך 24 שעות.

מה עוד שואלים על מיפוי תהליכים עסקיים חשופים למעילות והונאות?

מה זה BPT ולמה הוא לא מבדק חדירה?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה בלעדית של LT RISKMGMT שבודקת איפה ניתן לנצל את אופן העבודה עצמו, ומכסה במבט אחד סייבר, מעילה וטעות אנוש. בשונה ממבדק חדירה טכנולוגי, הוא אינו תוקף מערכות ותשתיות אלא מנתח את שרשרת ההחלטות, ההרשאות והחריגים.

כמה זמן לוקח למפות תהליך עסקי אחד?

משך המיפוי תלוי במספר הממשקים, בכמות המערכות ובזמינות המבצעים לראיונות. תהליך תשלומים ממוקד נסגר בפרק זמן קצר יחסית, בעוד תהליך רחב עם מיקור חוץ ומספר מערכות ליבה דורש עבודה ארוכה יותר. הכלל המעשי: להתחיל מתהליך אחד קריטי במקום למפות את כל הארגון בבת אחת.

מי צריך להיות מעורב במיפוי מלבד מנהל הסיכונים?

נדרשת נוכחות של בעל התהליך העסקי, נציג אבטחת מידע וסייבר, נציג מערכות מידע, ולעתים ייעוץ משפטי וביקורת פנים. בארגונים שמטמיעים כלי בינה מלאכותית כדאי לשלב גם את מוביל ההטמעה, כדי שהחשיפות החדשות ייכנסו למפה בזמן אמת ולא בדיעבד.

האם המיפוי עונה גם על דרישות רגולטוריות?

מיפוי תהליכים וסיכונים משמש תשתית לדרישות רגולטוריות בתחומי ניהול הסיכונים התפעוליים וההמשכיות העסקית — למשל חובת סקר סיכונים שמטילות הוראות ניהול בנקאי תקין של הפיקוח על הבנקים על גופים מפוקחים. עם זאת, ההיקף המדויק והתיעוד הנדרש נקבעים לפי סוג הגוף והרגולטור המפקח עליו.

מי מנהל את זה כשאין מנהל סיכונים במשרה מלאה?

לארגונים בינוניים וגופים ממשלתיים LT Risk Management מציעה Risk Manager as a Service — מנהל/ת סיכונים במיקור חוץ, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש, כולל תחזוקה שוטפת של מפת החשיפות.

איך AI משנה את התמונה ב-2026?

מודלים גנרטיביים יוצרים וקטורי הונאה חדשים — התחזות משכנעת, דאטה מזוהם והחלטות אוטומטיות ללא validation. לכן מפת סיכוני AI ייעודית, מהסוג ש-LT Risk Management כותבת ללקוחותיה במסגרת שירות ה-Chief AI Officer, הופכת חלק בלתי נפרד ממיפוי התהליכים העסקיים החשופים.