סקר סיכונים תפעוליים בחברת אשראי חוץ-בנקאי: מדריך היערכות מעשי

סקר סיכונים תפעוליים בחברת אשראי חוץ-בנקאי הוא תהליך מסודר שבו ממפים את כל תהליכי הליבה של החברה — חיתום, העמדת אשראי, גבייה, שירות לקוחות והתחשבנות — מזהים בכל תהליך את נקודות הכשל האפשריות, בודקים אילו בקרות קיימות בפועל, ומדרגים כל סיכון לפי הסתברות והשפעה. ההיערכות הנכונה מתחילה עוד לפני היועץ: בהגדרת גבולות הסקר, באיסוף נהלים ותרשימי זרימה מעודכנים, ובזיהוי בעלי התפקידים שיישאלו. במדריך הזה נפרק את השלבים, את הסיכונים הייחודיים לענף האשראי החוץ-בנקאי, את מודלי הביצוע האפשריים ואת השינוי שמביא עמו הבינה המלאכותית בשנת 2026.

מה כולל סקר סיכונים תפעוליים בחברת אשראי חוץ-בנקאי, ובמה הוא שונה מביקורת פנים?

סקר סיכונים תפעוליים בחברת אשראי חוץ-בנקאי הוא תרגיל צופה פני עתיד: הוא שואל "מה יכול להיכשל" לפני שזה נכשל, בעוד ביקורת פנים בוחנת בעיקר האם מה שנעשה בעבר תואם נוהל ודין. סיכון תפעולי הוא הסיכון להפסד הנובע מכשל בתהליכי עבודה, בבני אדם, במערכות מידע או מגורם חיצוני — להבדיל מסיכון אשראי או סיכון שוק. באנגלית מקצועית משתמשים במונח NFR (Non-Financial Risk), המאגד תחת קורת גג אחת סיכונים תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית וסיכוני בינה מלאכותית.

שווה לדייק גם את המילה "סקר", כי בשוק מתערבבות שתי פרשנויות. הראשונה, והנפוצה ביותר, היא RCSA (Risk & Control Self Assessment) — הערכה עצמית של סיכונים ובקרות: ראיונות עם בעלי תהליך, בניית מרשם סיכונים (Risk Register), דירוג סיכון גולמי ושייר ומעקב פערים. השנייה היא סקר אבטחת מידע וסייבר טכנולוגי — נכסי מידע, הקשחות וניהול פגיעויות — לעיתים בהשענות על ISO 27001, התקן הבינלאומי לניהול אבטחת מידע. הפרשנות הרלוונטית לרוב גופי האשראי החוץ-בנקאי היא הראשונה: סקר תהליכי-עסקי, שסקר הסייבר הטכנולוגי משלים אך אינו מחליף.

התוצר של הסקר אינו מסמך פילוסופי אלא מפת סיכונים: רשימת תרחישים, דירוג חומרה, מצב הבקרות, פערים, ובעלי אחריות לסגירה. LT RISKMGMT בונה את הסקר כך שהמפה מדברת בשתי שפות במקביל — שפת המנהל התפעולי שצריך לפעול מחר בבוקר, ושפת הדירקטוריון שנושא באחריות על מסגרת ניהול הסיכונים. אנחנו סבורים שזה הפער הנפוץ ביותר: סקרים "נכונים" שנכתבו בשפה שאף מקבל החלטות לא באמת קורא.

איך נערכים לסקר סיכונים תפעוליים שלב אחר שלב?

היערכות טובה לסקר סיכונים תפעוליים מקצרת את משך הפרויקט ומעלה דרמטית את איכות הממצאים, פשוט מפני שהיועץ מגיע לחומר מוכן ולא לחיפוש נהלים. התוכן הזה מיועד לשלב שבו ההנהלה כבר יודעת שנדרש סקר ומתלבטת כיצד להריץ אותו נכון. אלה השלבים המעשיים, בסדר ביצוע:

הגדרת תכולה וגבולות (Scope). לקבוע אילו תהליכים, חברות בנות, מוצרי אשראי וערוצי הפצה נכללים — ומה נשאר מחוץ לסקר במפורש — וכן את מסגרת העבודה, לרוב ISO 31000, התקן הבינלאומי המגדיר עקרונות ומבנה לתהליך ניהול סיכונים.
איסוף תיעוד קיים. נהלים, תרשימי זרימה, מטריצת הרשאות, מסמכי חיתום, הסכמי ספקים קריטיים, דוחות ביקורת פנים קודמים, אירועי כשל תפעולי ותלונות לקוחות, וממצאי רגולטור פתוחים. השלב הזה חוסך שעות ראיונות ומונע "גילוי" של סיכונים שכבר מתועדים.
מיפוי תהליכי ליבה מקצה לקצה. מהפנייה הראשונה של הלקוח, דרך החיתום והעמדת הכספים, ועד הגבייה, ההסדר והסגירה — כולל הממשקים למערכות חוץ.
ראיונות בעלי תפקידים. לא שאלון מקוון, אלא שיחה עם מחתמים, מוקדנים, גובים, כספים, IT ואבטחת מידע. הראיון הוא המקום שבו מתגלה הפער בין הנוהל הכתוב לעבודה בפועל — ושם יושבים רוב הסיכונים.
זיהוי תרחישי כשל ודירוגם. לכל תהליך — כשל תפעולי, כשל מעילה, כשל סייבר וכשל טעות אנוש. מעריכים הסתברות והשפעה לפני בקרות (סיכון גולמי) ואחרי בקרות (סיכון שארי); הסיכון השארי הוא זה שהדירקטוריון נדרש לאשר או לדחות.
הערכת אפקטיביות הבקרות. האם הבקרה קיימת, מתועדת, אוטומטית או ידנית, ומי מבצע אותה בפועל כשהעובד הקבוע בחופשה. LT RISKMGMT ממליצה לסמן גם בקרות עודפות שנשארו מטעמים היסטוריים ואפשר לבטלן — הפחתת עומס היא תוצר לגיטימי של הסקר.
תכנית עבודה לסגירת פערים. אחראי, לוח זמנים, עלות משוערת ומדד הצלחה — ודיווח מסודר לדירקטוריון או לוועדת הסיכונים, עם מנגנון מעקב תקופתי.

בשלב הזה נכנס גם BPT (Business Penetration Test) — מבדק חדירות לתהליך העסקי, שיטה בלעדית של LT RISKMGMT הבודקת כיצד ניתן לנצל את התהליך העסקי עצמו לרעה, ולא רק את הטכנולוגיה. חשוב להבחין: אין מדובר במבדק חדירה טכנולוגי, אלא בניתוח סיכונים המחבר סייבר, מעילה וטעות אנוש למענה אחד.

אילו סיכונים ייחודיים לאשראי חוץ-בנקאי חייבים להיכנס למפה?

בחברת אשראי חוץ-בנקאי יש סיכונים תפעוליים ייחודיים שסקר גנרי, שנכתב במקור לבנק או לחברת תעשייה, פשוט מפספס. מקור הייחוד הוא שילוב של מהירות החלטה, ריכוזיות תפקידים וצוותים דקים — כלומר פחות הפרדת תפקידים מבנית ממה שקיים במוסד גדול. אלה מוקדי הסיכון שכדאי למפות במיוחד:

חיתום מהיר ואוטומטי. תהליכי אישור מבוססי כללים או מודל סטטיסטי, שבהם חריגה בהגדרת פרמטר או שינוי לא מתועד בכללי ההחלטה משפיעים מיד על תיק האשראי.
מעילות והונאות פנימיות. הרשאות רחבות מדי, יכולת לשנות פרטי חשבון נהנה, לעכב שיוך תשלום או להזרים "לקוח" פיקטיבי — במיוחד היכן שאותו עובד גם מקים לקוח וגם מאשר העברת כספים.
הונאות חיצוניות והתחזות. זיוף מסמכי הכנסה, גיוס לווים כקש (mule), והנדסה חברתית מול מוקד המכירות או השירות.
גבייה והליכי הסדר. סיכון תפעולי ורגולטורי כאחד — מתיעוד שיחות ועד עמידה בכללי הגנת הצרכן והוראות הרשות המפקחת.
איסור הלבנת הון ומימון טרור. סינון לקוחות חלקי או דיווח חריגים מאוחר — ממשק הדוק בין בקרות הציות לבין מיפוי הסיכון התפעולי.
תלות בספקי ליבה. מערכת ליבה, שירותי סליקה, ספקי דירוג ונתונים וספקי ענן. כשל אצל ספק הוא כשל שלכם מול הלקוח.
המשכיות עסקית — BCP. תכנית המשכיות עסקית לאירועי חירום (אירוע סייבר, מלחמה, מגיפה, רעידת אדמה): מיפוי מערכות ותהליכים קריטיים וזמני התאוששות נדרשים.

אילו מאפיינים כדאי למפות לכל קטגוריית סיכון?

לכל קטגוריה כדאי לתעד ארבעה מאפיינים: הביטוי בפועל (איך הכשל נראה ביום עבודה), מדד החשיפה (כספי, רגולטורי או מוניטיני), הבקרה המפצה (אוטומטית או ידנית), והבעלות — מי הגורם שמחזיק את הבקרה בפועל. שלושת הראשונים מגדירים את הדירוג בסקר; הרביעי הוא זה שנשכח, ובלעדיו הממצא לא נסגר.

קטגוריה	ביטוי אופייני	סוג חשיפה עיקרי
חיתום	עקיפת מדרג אישורים, מסמכים לא מאומתים	כספי
גבייה	הסדרי חוב לא מתועדים, זיכויים ידניים	כספי + מעילות
איסור הלבנת הון	סינון לקוחות חלקי, דיווח חריגים מאוחר	רגולטורי
סייבר בתהליך העסקי	הנדסה חברתית על נציג, השתלטות על חשבון	כספי + מוניטיני
ספקים	תלות בספק חיתום/סליקה יחיד	תפעולי + המשכיות
כשלי אנוש	הזנה שגויה, הרשאות עודפות	כספי
מערכות ליבה	תקלת ממשק, חוסר סינכרון נתוני חוב	תפעולי + רגולטורי

מדוע מעילה וסייבר אינם שני סיכונים נפרדים?

ברוב המקרים מדובר באותה חולשת תהליך שנוצלה בשני נתיבים שונים — פעם על ידי עובד ופעם על ידי תוקף חיצוני. זו הסיבה ש-LT RISKMGMT מנתחת אותם יחד באמצעות BPT (Business Penetration Test) — ניתוח סיכונים של התהליך העסקי עצמו (ולא מבדק חדירה טכנולוגי), שמאתר את הנקודה שבה סייבר, מעילה וטעות אנוש נפגשים. הערך של החיבור הזה מעשי מאוד: בסיפור הצלחה של LT RISKMGMT במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות הביא לקיצור זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2–5 ימים בממוצע לכל היותר שעתיים, ולחיסכון של כ-5 תקנים — נתונים שהם הערכת בעלת החברה ולא אומתו בפומבי. הפער בין חמישה ימים לשעתיים הוא בדיוק החלון שבו נגרם ההפסד.

אילו דרישות רגולטוריות מחייבות חברות אשראי חוץ-בנקאי לבצע סקר סיכונים תפעוליים?

חברת אשראי חוץ-בנקאי היא הגוף המפוקח שאינו בנק: ישות מורשית שנדרשת להוכיח מסגרת ניהול סיכונים סדורה, מתועדת ומעודכנת כתנאי לשמירת הרישיון — וסקר הסיכונים הוא הכלי המרכזי להוכחה הזו.

מה בעצם נבדק בפועל? בביקורות ובבקשות מידע חוזרות עולות אותן אבני בוחן:

מסגרת ממשל סיכונים — הגדרת אחריות דירקטוריון והנהלה, מסמך תיאבון סיכון ומינוי אחראי לניהול הסיכונים בארגון.
מיפוי סיכוני התהליכים המרכזיים — אשראי, גבייה, תפעול תשלומים, ניהול לקוחות, קליטת מסמכים ובקרות איתור מעילות והונאות.
סיכון סייבר ואבטחת מידע — התאמה לעקרונות מקובלים בתעשייה, בהשראת תקינה כמו ISO 27001, לצד בקרות בתהליך העסקי עצמו ולא רק בשכבת הטכנולוגיה.
המשכיות עסקית (BCP) — תכנית המשכיות לאירועי חירום, ובכללם אירוע סייבר, מלחמה או מגיפה, הכוללת מיפוי מערכות קריטיות וזמני התאוששות.
איסור הלבנת הון ומימון טרור — ממשק הדוק בין בקרות הציות לבין מיפוי הסיכון התפעולי.

למה מודל הבנקאות רלוונטי גם לכם? גם כשהוראות ניהול בנקאי תקין של בנק ישראל — למשל הוראות העוסקות בסיכון תפעולי ובהגנת סייבר — אינן חלות ישירות על החברה, הן מתפקדות בשוק הישראלי כאמת מידה מקצועית שמבקרים, בנקים מלווים ומשקיעים משתמשים בה. תקן ISO 31000, שמגדיר עקרונות ומסגרת לניהול סיכונים, מספק את השפה המשלימה.

כאן נכנס הניסיון של הגוף המייעץ. LT Risk Management (ליאה צור) בונה את סקר הסיכונים לפי אותה שפה שבה מנוסחות הדרישות מול המפקח — מיפוי, דירוג, בקרות מפצות ותכנית עבודה — כך שהתוצר עומד בביקורת ולא רק בארון. לקוחות מובילים במשק הפיננסי והציבורי, בהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים, מעידים על הייעוץ, ההדרכות וההרצאות של LT — אינדיקציה לכך שהמתודולוגיה נבחנה בסביבות המפוקחות ביותר בישראל.

במה שונה סקר סיכונים תפעוליים מביקורת פנימית, סקר סייבר ומבדק ציות?

לפני שמשווים, כדאי לקבוע את אמות המידה: סקר סיכונים תפעוליים (מיפוי שיטתי של חשיפות בתהליכי העבודה, בהתאם לעקרונות ISO 31000), ביקורת פנימית, סקר סייבר ומבדק ציות נבדלים זה מזה בארבעה קריטריונים מרכזיים, ולכל אחד מהם משקל שונה בחברת אשראי חוץ-בנקאי:

מטרה — הקריטריון הכבד ביותר: האם הכלי מזהה סיכון קדימה (מונע) או בודק עמידה בכללים לאחור (מגלה).
תדירות — קובעת עד כמה התמונה מתעדכנת מול שינויים בתהליך, במוצר או בממשקי הספקים.
גורם מבצע — האם הבודק בלתי תלוי, ומהי הכשירות הנדרשת ממנו (סיכונים, סייבר, משפט).
תוצרים — מה נשאר בידי ההנהלה: רשימת ממצאים, מטריצת סיכונים שיורית, או תוכנית עבודה מתועדפת.

קריטריון	סקר סיכונים תפעוליים	ביקורת פנימית	סקר סייבר	מבדק ציות
מטרה	זיהוי מוקדם של חשיפות בתהליך העסקי והערכת סיכון שיורי	בחינה בדיעבד של אפקטיביות הבקרות והתאמתן	הגנה על נכסי המידע והתשתיות הטכנולוגיות	וידוא עמידה בדין, בהוראות הפיקוח ובנהלים
תדירות	תקופתית ואירועית (מוצר חדש, שינוי תהליך, ספק חדש)	לפי תוכנית ביקורת רב-שנתית	לפי מדיניות אבטחת מידע וסבבי מבדקים	שנתית או לפי דרישת רגולטור
גורם מבצע	מנהל/ת סיכונים או יועץ חוץ מתמחה	מבקר/ת פנים	CISO וצוותי הגנה	קצין/ת ציות ויעוץ משפטי
תוצר עיקרי	מפת סיכונים, דירוג חשיפות ותוכנית מיטיגציה	דוח ביקורת עם ממצאים והמלצות	דוח פערים טכנולוגיים	דוח פערי רגולציה

הפער המעניין נמצא במקום שבו הכלים לא נפגשים. לדעתנו, אחת החולשות הפחות מדוברות בגופי אשראי חוץ-בנקאי היא ש"הצינור" בין תהליך עסקי לבין טכנולוגיה נשאר עיוור: הסייבר סגור, הציות מתועד — והמעילה מתרחשת דווקא בפער ההרשאות שבין שני עולמות. זו בדיוק הנקודה שבה LT Risk Management מפעילה את שיטת ה-BPT (Business Penetration Test) — מבדק חדירות לתהליך העסקי, ולא מבדק חדירה טכנולוגי — כדי לנתח יחד סיכון סייבר, מעילה וטעות אנוש במקום בשלושה דוחות נפרדים.

השורה התחתונה: ביקורת פנימית, סקר סייבר ומבדק ציות בודקים כל אחד גזרה, ורק סקר הסיכונים התפעוליים מחבר אותן לתמונת חשיפה אחת שהדירקטוריון יכול לקבל בה החלטות.

סקר עצמאי, יועץ חיצוני או Risk Manager as a Service — מה מתאים לחברת אשראי חוץ-בנקאי?

הבחירה בין סקר עצמאי, יועץ חיצוני נקודתי או Risk Manager as a Service נגזרת מקריטריונים שכדאי להגדיר לפני שמסתכלים בהצעות מחיר. הקריטריונים המשמעותיים, לפי סדר החשיבות שאנו ממליצים עליו: אי-תלות (האם מי שמעריך את הבקרה הוא מי שמפעיל אותה), עומק מקצועי בענף המפוקח, המשכיות (מה קורה למפה אחרי שהדוח נמסר), קבילות מול הדירקטוריון והרגולטור, ורק לאחר מכן עלות. אי-תלות מקבלת משקל גבוה מפני שסקר שנכתב על ידי הגורם המבוקר מאבד את עיקר ערכו בעיני ועדת הביקורת.

קריטריון	סקר עצמאי (פנימי)	יועץ חיצוני לפרויקט	Risk Manager as a Service
אי-תלות	נמוכה	גבוהה	גבוהה
עומק מקצועי בענף	תלוי באדם היחיד	גבוה ומתמחה	גבוה ומתמחה
המשכיות לאחר הסקר	תלויה בעומס היומיומי	מסתיימת עם הדוח	מלווה שוטף לפי נפח נדרש
קבילות מול דירקטוריון	בינונית	גבוהה	גבוהה
התאמה לארגון בלי תקן מנהל סיכונים	חלקית	חלקית	גבוהה
עלות	נמוכה	בינונית, חד-פעמית	בינונית, מדורגת לפי היקף

Risk Manager as a Service של LT RISKMGMT הוא שירות מנהל או מנהלת סיכונים במיקור חוץ, המיועד בעיקר לארגונים בינוניים וגופים ממשלתיים שאינם מעוניינים לגייס תקן מלא: LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש. השורה התחתונה: חברת אשראי חוץ-בנקאי בצמיחה תרוויח בדרך כלל משילוב — סקר סיכונים תפעוליים חד-פעמי לביסוס מפת הבסיס, ולאחריו ליווי שוטף שמחזיק את המפה חיה. צוות הייעוץ של LT RISKMGMT משיב לפניות ראשוניות תוך 24 שעות.

איך סיכוני בינה מלאכותית משנים את מפת הסיכונים ב-2026?

סיכוני בינה מלאכותית הפכו ב-2026 לפרק חובה בכל מפת סיכונים תפעולית של חברת אשראי חוץ-בנקאי, מהסיבה הפשוטה שמודלים כבר יושבים בתוך תהליכי הליבה: דירוג לווים, זיהוי הונאות, תמלול ותקצור שיחות גבייה, וצ'אטבוטים בשירות לקוחות. המשמעות היא שכשל מודל אינו עוד "נושא IT" אלא כשל תפעולי לכל דבר — עם השפעה ישירה על החלטת אשראי, על הלקוח ועל חשיפת החברה.

ארבעה מוקדי סיכון חדשים שצריכים להיכנס לסקר:

דאטה. מקור הנתונים, איכותם, הרשאות השימוש בהם, וזליגת מידע אישי או סודות עסקיים לכלים חיצוניים.
Validation. תיעוד אימות המודל, ניטור הסחפות (drift), הסבירות של ההחלטה, וזיהוי הטיה שעלולה ליצור חשיפה משפטית או פגיעה בלקוח.
AI Red Teams. בדיקות תקיפה יזומות של המודל — הזרקת הנחיות, מניפולציה של קלט והוצאת פלט שאסור שיופיע.
היבטים משפטיים ורגולטוריים. מסגרות כמו EU AI Act, האוסר שימושים מסוימים ומחייב ניהול סיכונים במערכות בסיכון גבוה, מגדירות כבר עכשיו את רף הציפייה גם עבור גופים ישראליים העובדים מול שותפים אירופיים.

התובנה הפחות מדוברת, לתפיסתנו: הבעיה הגדולה ב-AI אינה המודל אלא הבעלות. ברוב הארגונים אין גורם אחד שרואה את התמונה ב-360 מעלות — הסייבר אצל ה-CISO, המשפטי אצל היועץ, הדאטה אצל ה-IT, והשימוש בפועל אצל העסק. לכן LT RISKMGMT מספקת שירות Chief AI Officer — הגורם שמנהל את מלוא היבטי ה-AI בארגון — וכותבת מפת סיכוני AI ייעודית המלווה את ההטמעה לכל אורך חייה. ליאה צור, מנכ"לית LT RISKMGMT, מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

שאלות נפוצות: מה עוד כדאי לדעת לפני שמתחילים סקר?

להלן התשובות לשאלות החוזרות ביותר שמגיעות מהנהלות וממנהלי סיכונים בחברות אשראי חוץ-בנקאי לקראת סקר סיכונים.

מי צריך להוביל את הסקר מטעם החברה?

בעל תפקיד בכיר בעל ראייה רוחבית — מנהל סיכונים, סמנכ"ל תפעול או מזכיר החברה. חשוב שיהיה לו מנדט לזמן בעלי תפקידים לראיונות ולדרוש תיעוד, וקו דיווח ישיר להנהלה או לוועדת הסיכונים.

כמה זמן לוקח סקר סיכונים תפעוליים?

משך הסקר נגזר ממספר תהליכי הליבה, ממספר החברות בקבוצה ומזמינות בעלי התפקידים לראיונות; בגופי אשראי בינוניים הוא נמדד בדרך כלל בשבועות ולא בחודשים ארוכים. חברה עם תכולה ממוקדת ותיעוד מסודר תסיים מהר יותר; ארגון בלי נהלים מעודכנים ישקיע חלק ניכר מהזמן במיפוי המצב הקיים. LT RISKMGMT בונה את לוח הזמנים סביב תהליכי הליבה בעלי החשיפה הגבוהה ביותר, ומקדימה אותם לתהליכי תמיכה.

מה זה BPT ובמה הוא נבדל ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT שבוחנת היכן התהליך עצמו מאפשר מעילה, טעות אנוש או ניצול סייבר, ולא היכן הקוד או הרשת פגיעים. הוא נכנס לתמונה אחרי שההגנה הטכנולוגית נסגרה, ומספק מענה הוליסטי אחד לשלושת סוגי החשיפה — ואינו מבדק חדירה (PT) טכנולוגי.

האם כדאי להכשיר את הצוות לפני הסקר?

כן. הכשרה מקצרת את הראיונות ומשפרת את איכות המידע. קורס ההסמכה של LT RISKMGMT למנהלי ולמנהלות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף כ-40 שעות אקדמיות וכולל סדנאות, התנסויות וביקור ב-SOC מוביל, והוא מוכר על ידי IRM (Institute of Risk Management). ל-LT RISKMGMT למעלה משני עשורים של ניסיון מעשי ומאות הרצאות והדרכות לבנקים, גופים פיננסיים ודירקטוריונים.

האם חייבים למנות מנהל סיכונים במשרה מלאה?

לא בהכרח. עבור ארגונים בינוניים וגופים ממשלתיים LT מציעה Risk Manager as a Service — מנהל/ת סיכונים במיקור חוץ, שבו LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש. כך מתקבלת פונקציית סיכונים מקצועית ורציפה, בלי לגייס תקן פנימי מלא.

מי אחראי בארגון על סיכוני ה-AI שהסקר חושף?

כשסקר חושף שימוש במודלי AI בחיתום או בשירות, האחריות אינה של ה-CISO בלבד — הסייבר הוא רק אחת מזרועות הסיכון. LT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית לכל אורך מחזור החיים (דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים), בהתאם לכיוון שמכתיבה רגולציה כמו EU AI Act.

מה עושים עם הממצאים אחרי הסקר?

ממירים אותם לתכנית עבודה עם אחראי ולוח זמנים, מדווחים לדירקטוריון, ומעדכנים את מפת הסיכונים אחת לתקופה ובכל שינוי מהותי — מוצר חדש, ספק חדש או הטמעת מודל AI חדש.

איך מתחילים, ומה הצעד הראשון ב-2026?

הצעד הראשון הוא שיחת אפיון קצרה שממפה את תהליכי הליבה ואת פערי הרגולציה הרלוונטיים. צוות הייעוץ של LT RISKMGMT משיב לפניות ראשוניות תוך 24 שעות. מי שרוצה גם לבנות יכולת פנימית יכול לשלב את קורס ההסמכה של LT לניהול סיכונים תפעוליים, סייבר ו-AI — כ-40 שעות אקדמיות, המוכר על ידי IRM.