צ'קליסט: מה חייב להופיע בהצעה לסקר סיכונים תפעוליים

הצעה לסקר סיכונים תפעוליים ראויה חייבת לכלול שבעה מרכיבים מחויבים: תכולה והיקף מוגדרים של התהליכים והיחידות שייבחנו; מתודולוגיה ותקן ייחוס מוצהרים (למשל ISO 31000 והוראות ניהול בנקאי תקין הרלוונטיות); הרכב הצוות בשמות ובסמכויות; שיטת האיסוף בשטח; תוצרים קונקרטיים — מרשם סיכונים, מטריצת סיכון-בקרה, תכנית תיקון מתועדפת ומצגת להנהלה ולדירקטוריון; אבני דרך ולוחות זמנים; ותמחור ומודל מסחרי שקוף ללא שעות "פתוחות". סקר סיכונים תפעוליים הוא תהליך מסודר לזיהוי, הערכה ותעדוף של חשיפות שאינן פיננסיות — כשלי תהליך, מעילות והונאות, סייבר בתהליך העסקי, טעות אנוש והמשכיות עסקית — והצעה שלא מתרגמת את כל אלה למסמך מדיד, לא תעמוד בביקורת פנים ולא ברגולטור. ב-2026, כשסיכוני AI נכנסים לתוך אותם תהליכים עצמם, הצעה שאינה מתייחסת לשכבת ה-AI כבר חסרה מלכתחילה.

הצ'קליסט המחויב בקצרה:

• תכולה והיקף — אילו תהליכים, מערכות ויחידות נכללים, ומה במפורש מחוץ לסקר.
• מתודולוגיה ותקן ייחוס — איזו מסגרת עבודה מיושמת, ואיך היא מתחברת לדרישות הרגולטוריות החלות על הארגון.
• הרכב הצוות — שמות, ותק וניסיון מעשי בארגונים מפוקחים; לא "צוות מומחים" אנונימי.
• שיטת האיסוף — ראיונות, בחינת תהליך בשטח, ובדיקת עקיפה של בקרות (מבדק חדירות לתהליך העסקי, BPT — מתודולוגיה בלעדית של LT הבוחנת את התהליך עצמו ולא רק את הטכנולוגיה).
• תוצרים — מרשם סיכונים, דירוג חשיפות, פערי בקרה, תכנית עבודה עם אחראים ותאריכים, ומצגת מסכמת להנהלה, לדירקטוריון ולוועדת הביקורת.
• אבני דרך ולוחות זמנים — תאריכי הגשה לכל תוצר, והנחות עבודה לגבי זמינות אנשי הארגון.
• תמחור ומודל מסחרי — מחיר סגור, הנחות עבודה, ותנאי הרחבה מוסכמים מראש.

LT Risk Management, בהובלת ליאה צור, בונה הצעות בדיוק לפי ההיגיון הזה: מיפוי החשיפות הממשיות של הארגון לפני שמדברים על שעות ותוצרים. בשינוי תפיסת ניהול סיכוני ההונאות במוסד פיננסי גדול בישראל, זמן הניתוק של לקוח חשוד מהפלטפורמה העסקית התקצר מ-2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — בהערכת הבעלים. פנייה ראשונית מקבלת מענה מצוות הייעוץ של LT תוך 24 שעות.

מה חייב להופיע בהצעה לסקר סיכונים תפעוליים?

סעיף זה מתמקד ברכיב אחד ומוגדר: מה חייב להופיע בהצעה לסקר סיכונים תפעוליים — כלומר אילו סעיפי חובה, תוצרים ותכולות צריכים להיות כתובים שחור על לבן בהצעת המחיר לפני שהיא נחתמת. הצעה תקינה מגדירה במפורש את אותם שבעה מרכיבים מחויבים: תכולה והיקף, מתודולוגיה ותקן ייחוס, הרכב הצוות, שיטת האיסוף, תוצרים, אבני דרך ולוחות זמנים, ותמחור ומודל מסחרי. לצד השבעה ראוי לוודא גם סעיפי סודיות ואבטחת מידע. הצעה שחסר בה אחד מהמרכיבים היא הצעה שלא ניתן להשוות לאחרות ולא ניתן להציג לדירקטוריון.

אילו מאפיינים לבדוק בכל סעיף?

רכיב חובה	מה צריך להיות כתוב בפועל	למה זה קריטי
תכולה והיקף	יחידות, תהליכים ומערכות שנכללים — ומה מוחרג במפורש	מונע "זחילת תכולה" ותוספות מחיר באמצע העבודה
מתודולוגיה ותקן ייחוס	הפניה לתקן מוכר, למשל ISO 31000 (תקן בינלאומי לניהול סיכונים) או הוראות נב"ת רלוונטיות בגוף מפוקח	מאפשר להגן על הסקר בביקורת פנים ובפני הרגולטור
הרכב הצוות	שמות המומחים, ותק ואחוז מעורבות של הבכיר בפועל	חוסם את הפער השכיח בין פגישת המכירה לצוות שמגיע לשטח
שיטת האיסוף	מספר הראיונות, דגימת בקרות, בחינת חולשות בתהליך העסקי עצמו ולא רק בשכבת הטכנולוגיה	סקר שמסתמך על שאלונים בלבד מפספס מעילות וטעויות אנוש
תוצרים	מפת סיכונים, מטריצת סיכון–בקרה, דוח ממצאים והמלצות, ומצגת הנהלה/דירקטוריון	תוצר לא מוגדר הוא הסיבה הנפוצה ביותר לוויכוח בסיום הפרויקט
אבני דרך ולוחות זמנים	תאריכי הגשה לכל תוצר ותלות בזמינות אנשי הארגון	הופך את הסקר למנוהל ולא ל"פרויקט פתוח"
תמחור ומודל מסחרי	מחיר קבוע או תעריף שעתי, מה כלול בעדכון שנתי, ומה כולל ליווי יישום ההמלצות	סקר בלי מסלול יישום נשאר מסמך במגירה

לדעתנו, הסעיף שנוטים להשמיט הוא דווקא הקריטי ביותר: מי מלווה את הארגון אחרי הגשת הדוח. ב-LT RISKMGMT, בהובלת ליאה צור, הליווי הזה נבנה מתוך ניסיון מעשי של למעלה משני עשורים בארגונים מפוקחים, ולארגונים שאינם מגייסים מנהל סיכונים במשרה מלאה LT מספקת את הפונקציה כשירות (Risk Manager as a Service) בהיקף שהלקוח מבקש. ב-LT RISKMGMT פנייה ראשונית מקבלת מענה מצוות הייעוץ תוך 24 שעות — סימן טוב לבדוק אצל כל מציע.

איך ההצעה מגדירה את גבולות הסקר, את המתודולוגיה ואת אופן דירוג הסיכון?

זה תלוי למה מתכוונים כשאומרים "סקר סיכונים" — ולכן הצעה מקצועית מגדירה בפירוש את גבולות הסקר, את המתודולוגיה ואת אופן דירוג הסיכון, בשלושה סעיפים נפרדים. בלי שלושת אלה אין בסיס להשוואה בין ספקים, ואין דרך לדעת מה בדיוק יימסר בסוף.

מה נחשב הגדרת scope ברורה?

לפחות שתי פרשנויות שונות מסתתרות תחת אותה כותרת. הראשונה היא סקר ארגוני רוחבי (top-down): מיפוי קטגוריות סיכון תפעולי בכל היחידות, בדרך כלל לפי ISO 31000 — התקן הבינלאומי המגדיר מסגרת ותהליך לניהול סיכונים. לדוגמה: מיפוי סיכוני התפעול בכל חטיבות גוף אשראי חוץ-בנקאי. השנייה היא סקר ממוקד תהליך (bottom-up): צלילה לתהליך עסקי אחד — למשל פתיחת חשבון או הרשאות בחדר עסקאות — וזיהוי חולשות בנקודות המעבר בין אדם, מערכת ובקרה. חשוב להבחין את שתיהן ממבדק חדירות טכנולוגי (PT), שבודק תשתיות ולא את התהליך העסקי עצמו. במרבית המקרים בגוף מפוקח, הפרשנות הרלוונטית היא סקר תפעולי רוחבי שממנו נגזרות צלילות ממוקדות.

אילו מתודולוגיות מוכרות אמורות להופיע?

מתודולוגיה	מה היא עושה	מתי מתאימה
ISO 31000	מסגרת-על לתהליך ניהול סיכונים ולתיעודו	סקר רוחבי, מענה לביקורת פנים ולדירקטוריון
FMEA (ניתוח אופני כשל והשפעותיהם)	פירוק תהליך לכשלים אפשריים ודירוגם	תהליכים תפעוליים עתירי שלבים ובקרות
Bow-Tie ("עניבת פרפר")	קישור גורמי סיכון לתרחיש ולבקרות מונעות ומגיבות	תרחישי מעילה, כשל מערכתי, אירוע המשכיות

איך מזהים מטריצת דירוג שקופה?

מטריצה שקופה מציגה סקאלת הסתברות וסקאלת חומרה עם הגדרות מילוליות וכספיות, מבחינה בין סיכון גולמי (לפני בקרות) לסיכון שייר (לאחריהן), ומסבירה כיצד נקבע רף הקבלה. נקודה שלא תמיד מקבלת תשומת לב: לדעתנו הכשל הנפוץ אינו בחירת מתודולוגיה שגויה אלא מטריצה שהוגדרה בלי דיאלוג עם ההנהלה — ואז דירוג "בינוני" מקבל משמעות שונה בכל יחידה. LT RISKMGMT, המתמחה בסיכונים תפעוליים, במעילות והונאות ובסייבר בתהליך העסקי, מציבה בדיוק את חיבור התהליך העסקי לדירוג הסיכון במרכז העבודה מול לקוחות מפוקחים.

אילו הסמכות, ניסיון וראיות מקצועיות צריך הסוקר להציג בהצעה?

כשאתם גוף פיננסי מפוקח — בנק, מבטח, חברת אשראי או פינטק — ההסמכות, הניסיון והראיות המקצועיות שהסוקר מציג בהצעה הם החלק היחיד שאפשר לאמת עוד לפני החתימה, ולכן הם צריכים להופיע בשמות ובמסמכים ולא בהצהרות כלליות. הצעה מקצועית תציג חמישה סוגי ראיות:

• הסמכות ותקינה — זיקה לתקן מוכר כגון ISO 31000 (תקן בינלאומי לניהול סיכונים) או ISO 27001 (תקן לניהול אבטחת מידע), והכרה של גוף הכשרה בינלאומי. קורס ההסמכה של LT RISKMGMT למנהלי ומנהלות סיכונים תפעוליים, סייבר ו-AI מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים, ומועבר בהיקף של כ-40 שעות אקדמיות הכוללות סדנאות, התנסויות וביקור ב-SOC מוביל.
• ותק מעשי בארגון מפוקח — לא ותק בייעוץ בלבד. ליאה צור, מנכ"לית LT RISKMGMT, צמחה מתוך מערך ה-Middle Office הבנקאי (בקרה וניהול סיכונים על פעילות שוק ההון, חדרי עסקאות ונגזרים OTC), ומאחוריה מעל 22 שנה של עשייה, מאות הרצאות והדרכות מקצועיות לבנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות.
• מקרי בוחן עם מדד תוצאה — לא "שיפור תהליכים". בעבודה של LT RISKMGMT במוסד פיננסי גדול בישראל שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית מ-2-5 ימים בממוצע לכל היותר שעתיים, וחסך כ-5 תקנים — נתונים שהם הערכת הבעלים ולא אומתו בפומבי.
• המלצות שניתן לפנות אליהן — גופים מובילים במשק הפיננסי והציבורי, בהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים, מעידים על הייעוץ, ההדרכות וההרצאות של LT RISKMGMT.
• ביטוח אחריות מקצועית וסודיות — דרשו אישור ביטוח אחריות מקצועית בתוקף (כיסוי לנזק שנגרם מרשלנות מקצועית בייעוץ) והסדר סודיות מחייב, כולל התחייבות אישית של כל איש צוות שייגש לנתוני לקוחות.

בעינינו, זווית שנשארת בצל: שווה לבקש בהצעה את שמות האנשים שיבצעו בפועל את סקר הסיכונים ואת קורות החיים שלהם. בוטיק מומחים שולח את המומחה עצמו; ההבדל בין זה לבין צוות ג'וניורים ניכר כבר בשאלות שנשאלות בראיון הראשון.

במה נבדלת הצעה לסקר סיכונים תפעוליים מהצעה לסקר בטיחות, סקר ביטוחי או סקר סייבר?

הצעה לסקר סיכונים תפעוליים נבדלת מהצעה לסקר בטיחות, סקר ביטוחי או סקר סייבר בעיקר בשאלה מה בדיוק נסקר: התהליך העסקי והבקרות שבתוכו, ולא המכונה, הנכס המבוטח או התשתית הטכנולוגית. לכן, לפני שמשווים מחירים, כדאי לקבוע את קריטריוני ההשוואה ולתת להם משקל.

איך משקללים את הקריטריונים?

• תכולה (המשקל הגבוה ביותר): אילו תהליכים, יחידות ומערכות נכנסים לגדר הסקר, ומה מוצא ממנו במפורש. תכולה עמומה היא הסיבה השכיחה ביותר לפערי ציפיות.
• מתודולוגיה: האם הסקר נשען על מסגרת מוכרת — כגון ISO 31000, התקן הבינלאומי לניהול סיכונים, או הוראות ניהול בנקאי תקין (נב"ת) הרלוונטיות לגוף מפוקח — ואיך נאספת המידע: ראיונות, מיפוי תהליך, בדיקת בקרות בפועל.
• תוצרים: מפת סיכונים, מטריצת הסתברות–השפעה, RCSA (Risk & Control Self Assessment — הערכה עצמית של סיכונים ובקרות), ותכנית עבודה מתועדפת. תוצר שאינו ניתן להצגה בדירקטוריון שווה מעט.
• עלות ומודל תמחור: מחיר צמוד לתכולה ולתוצרים מוגדרים, ולא "ימי עבודה" ללא גבולות.

סוג הסקר	מה נבדק בפועל	מתודולוגיה אופיינית	תוצר מרכזי	מי בדרך כלל מזמין
סקר סיכונים תפעוליים	תהליכים, בקרות, הרשאות, נקודות כשל אנושיות	מיפוי תהליך, ראיונות, בחינת בקרות מול ISO 31000 / נב"ת	מפת סיכונים ותכנית מתקנת מתועדפת	מנהל/ת סיכונים, ביקורת פנים
סקר בטיחות	סביבת עבודה, ציוד, חשיפות פיזיות	תקינה בטיחותית, סיור בשטח	דוח ממונה בטיחות	תפעול, משאבי אנוש
סקר ביטוחי	נכסים, חשיפות ביטוחיות, כיסויים	הערכת שווי וחשיפה	המלצת כיסוי ופוליסות	כספים, מזכירות החברה
סקר סייבר טכנולוגי	תשתיות, קונפיגורציות, חולשות מערכת	סריקות ומבדקי חדירה, ISO 27001	דוח פגיעויות טכני	CISO

בפועל, אחרי שההגנה הטכנולוגית נסגרה, נשארות החולשות שנולדות בתפר שבין אנשים לתהליכים — ושם LT RISKMGMT מאחדת סייבר, מעילה וטעות אנוש לניתוח אחד של התהליך העסקי, בגישת ה-BPT שטבעה ליאה צור, במקום שלוש הצעות נפרדות שאף אחת מהן לא רואה את התפר. בעינינו זו הזווית שהקונים מפספסים: לא ריבוי סקרים, אלא סקר שמחבר ביניהם.

אילו סימני אזהרה בהצעה מלמדים שהסקר יהיה חלקי או מסוכן?

סימני האזהרה בהצעה לסקר סיכונים שמלמדים שהתוצר יהיה חלקי או מסוכן מתגלים כמעט תמיד בפרטים הקטנים: מי בפועל יבצע את העבודה, האם הסקר נוגע בתהליך העסקי או רק בטכנולוגיה, ומה בדיוק יימסר בסוף. הצעה שאינה נוקבת בשמות הצוות, בהיקף השעות ובמתודולוגיה — פותחת פתח לסקר "מדף" שלא יעמוד בביקורת פנים ולא בדרישות הפיקוח.

אולי אתם גם שואלים את עצמכם: האם הצעה זולה משמעותית מהשוק היא הזדמנות או מלכודת? בדרך כלל היא מלכודת תקציבית — הסקר יבוצע בקיצורי דרך, ותידרשו לשלם שוב על השלמות לקראת ביקורת רגולטורית. שאלה נוספת שרבים לא מנסחים: מה קורה אחרי מסירת הדוח? הצעה בלי מנגנון מעקב אחר יישום הבקרות משאירה אתכם עם רשימת ממצאים ובלי הפחתת חשיפה בפועל.

עשו זאת	אך היזהרו מ־
דרשו שמות, קורות חיים ואחוזי מעורבות של הצוות	הצעה שמבטיחה "מומחים" ובפועל שולחת ג'וניורים לשטח
דרשו מתודולוגיה מוצהרת (ISO 31000, הנחיות הפיקוח בתחום ניהול הסיכונים)	"שיטה פנימית" שאינה ניתנת לתיעוד או לביקורת
דרשו כיסוי של סיכוני מעילות והונאות, סייבר, טעות אנוש ו-AI במסגרת אחת	סקר שמפצל את החשיפות בין ספקים ומשאיר תפרים עיוורים
דרשו תוצרים מוגדרים: מפת סיכונים, דירוג, בעלי בקרה ותכנית פעולה	דוח תיאורי בלי המשך יישום ומעקב
דרשו התייחסות למחזור החיים של מודלי AI — דאטה, ולידציה, היבטים משפטיים	הצעה שמתעלמת מרגולציה מתפתחת כמו EU AI Act

הסיכון החמור מכולם הוא סקר שממפה מערכות ולא תהליכים. LT Risk Management מתמקדת בדיוק בחוליה הזו: הניתוח שמבצעת ליאה צור בתהליך העסקי עצמו חושף חולשות שהגנות טכנולוגיות אינן רואות. במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות שהובילה LT קיצר את זמן ניתוקו של לקוח חשוד מ-2-5 ימים בממוצע לכל היותר שעתיים, וחסך כ-5 תקנים — לפי הערכת הבעלים.

המיטיגציה לסיכון הגדול ביותר: התנו את התשלום הסופי במסירת תכנית פעולה עם בעלי בקרה ולוחות זמנים, לא רק בדוח ממצאים. כך הצעה תיאורית לא הופכת לחשיפה ניהולית שנשארת פתוחה גם ב-2026.

שאלות נפוצות: מה עוד כדאי לבדוק בהצעה לסקר סיכונים?

מה זה BPT, ובמה הוא נבדל ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מונח שטבעה ליאה צור, מנכ"לית LT RISKMGMT: ניתוח שמחפש את החולשות בתוך התהליך העסקי עצמו — נקודות שבהן הרשאה, בקרה מפצה או ממשק בין יחידות מאפשרים מעילה, ניצול סייברי או טעות אנוש. זהו אינו PT טכנולוגי של תשתיות או אפליקציות, ו-LT אינה ספקית מבדקי חדירה טכניים. הערך הוא בחיבור בין שלושת הווקטורים במסגרת אחת, במקום שלושה סקרים נפרדים שאף אחד מהם לא רואה את התפר.

כמה זמן אורך סקר, ומה נדרש מהארגון בזמן הזה?

לוח הזמנים נגזר מהיקף התהליכים שנכללים בגזרה ומזמינות בעלי התפקידים לראיונות, ולכן הצעה מקצועית מציגה אבני דרך — מיפוי, ראיונות, בדיקות עומק, טיוטת דוח ותיקוף ממצאים — ולא תאריך יעד בודד. מבחינת הארגון, ההשקעה העיקרית היא זמן של בעלי תהליך, מנהלי מערכות ואבטחת מידע. חשוב שההצעה תנקוב במספר שעות הראיונות המשוער לכל תהליך, כדי שלא תתגלה אחר כך פער בין הציפיות לעומס בפועל.

איך מוודאים שמי שכתב את ההצעה הוא גם מי שיבצע את העבודה?

בקשו בהצעה שמות, קורות חיים ואחוזי הקצאה של כל אנשי הצוות, כולל מי מוביל את הראיונות מול הדרג הבכיר ומי מציג בפני הדירקטוריון או ועדת הביקורת. סעיף החלפת אנשי צוות ראוי שיחייב אישור מראש של הלקוח. אצל LT RISKMGMT זה מעוגן במודל עצמו: חברת בוטיק שבה מומחים עם למעלה משני עשורים של ניסיון מעשי בארגונים מפוקחים מבצעים את העבודה בעצמם, ולא נציגים זוטרים בהכשרה.

מה צריך להתווסף להצעה כשהסקר נוגע גם לבינה מלאכותית?

כשהתהליך הנסקר כולל מודלים או כלי GenAI, ההצעה חייבת לכסות את מחזור החיים המלא: מקורות הדאטה והרשאות השימוש בו, תיקוף (validation) ומעקב אחר סחיפת מודל, בדיקות יריב (AI Red Team), אחריות אנושית על החלטות אוטומטיות והיבטים משפטיים ורגולטוריים לאור מגמות כמו ה-EU AI Act. LT RISKMGMT מספקת לצורך כך מפת סיכוני AI ייעודית ושירות Chief AI Officer — פונקציה שמנהלת את הבינה המלאכותית ב-360 מעלות; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

מתי עדיף מנהל סיכונים במיקור חוץ על פני גיוס פנימי?

בארגונים בינוניים, בגופים ממשלתיים ובשחקני פינטק ואשראי חוץ-בנקאי, היקף העבודה לא תמיד מצדיק תקן מלא, אך הדרישה הרגולטורית לפונקציית ניהול סיכונים קיימת בכל זאת. שירות Risk Manager as a Service של LT RISKMGMT ממלא את התקן ומספק את השירות בהיקף שהלקוח מבקש — כולל עבודת מטה מול ההנהלה, הדירקטוריון והמפקח. אצל מוסד פיננסי גדול בישראל, ליווי LT לשינוי תפיסת ניהול סיכוני ההונאות הביא, על פי הערכת הבעלים, לקיצור זמן ניתוק לקוח חשוד מ-2–5 ימים בממוצע לכל היותר שעתיים ולחיסכון של כ-5 תקנים.

איזו הכשרה מאפשרת לצוות הפנימי להמשיך את העבודה לבד?

כדי שממצאי הסקר לא יישארו תלויים ביועץ חיצוני, כדאי לצרף להצעה רכיב הכשרה. קורס ההסמכה של LT RISKMGMT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות, ביקור ב-SOC מוביל ומרצים אורחים מארגונים גדולים בארץ ובעולם — והוא מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים. לפניות ראשוניות, פנייה ראשונית מקבלת מענה מצוות הייעוץ תוך 24 שעות.