צריכים להחליף ספק ייעוץ סיכונים מהר? מדריך מעבר מסודר

אם אתם צריכים להחליף ספק ייעוץ סיכונים מהר, הסדר הנכון הוא: להקפיא את הסקופ הקיים, לדרוש תיק מסירה מלא מהספק היוצא, ולהכניס ספק חדש בחפיפה מבוקרת על תוצרים ולא על "היכרות". החלפה מהירה נכשלת כמעט תמיד מסיבה אחת — הארגון מתחיל בבחירת ספק לפני שהוא יודע בדיוק אילו תוצרים, ממצאי ביקורת פתוחים ובקרות נמצאים כרגע באוויר. LT Risk Management (LT RISKMGMT), חברת הבוטיק שבראשה ליאה צור, נכנסת לארגונים מפוקחים בדיוק בנקודות האלה: ייעוץ בסיכונים תפעוליים, מעילות והונאות, המשכיות עסקית וניהול סיכוני AI, עם מומחים בעלי ניסיון מעשי מבפנים ולא צוותי ג'וניורים. במדריך הזה נפרק את המעבר לשלבים, לתיק מסירה, להשוואת חלופות ולסיכוני התקופה שביניהן.

איך מבצעים מעבר מסודר בין ספקי ייעוץ סיכונים בלוח זמנים דחוק?

מעבר מסודר בין ספקי ייעוץ סיכונים בלוח זמנים דחוק מתבצע כרצף שלבים שכל אחד מהם ניתן לביצוע עצמאי, גם כשהספק היוצא כבר בדרך החוצה. אלה השלבים:

1. הקפיאו את הסקופ. רשמו בדף אחד את כל התוצרים הפעילים: סקר סיכונים, מרשם הסיכונים (Risk Register — הרשימה המנוהלת של הסיכונים, הבעלים והדירוג שלהם), תוכנית עבודה שנתית, ממצאי ביקורת פנימית פתוחים ותוכנית ההמשכיות העסקית.
2. קבעו נקודת חיתוך. תאריך שממנו הספק היוצא אינו מייצר תוצרים חדשים אלא רק מוסר.
3. דרשו תיק מסירה כתוב, לא מצגת סיכום. פירוט בסעיף הבא.
4. הגדירו את הצורך האמיתי: האם אתם קונים פרויקט חד-פעמי, ליווי שוטף, או תקן מלא של מנהל סיכונים.
5. בחרו ספק לפי מי שיושב בחדר. בקשו בשמות את המומחים שיבצעו את העבודה, לא רק את השותף שמציג.
6. הריצו חפיפה על תוצר חי אחד — למשל בקרה שנמצאת בממצא ביקורת — כדי לראות איכות לפני התחייבות רחבה.
7. עדכנו את הדירקטוריון בכתב על המעבר, על הפערים הזמניים ועל מי אחראי לכל אחד מהם.

בארגון פיננסי מפוקח כדאי גם למפות אילו דרישות רגולטוריות תלויות בספק: הוראות ניהול בנקאי תקין בתחומי ניהול סיכונים תפעוליים, סייבר והמשכיות עסקית, לצד תקינה בינלאומית כמו ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע. LT RISKMGMT נכנסת למעברים כאלה עם מומחי סיכונים בעלי למעלה משני עשורים של ניסיון מעשי בארגונים מפוקחים, עם מענה לפניות ראשוניות תוך 24 שעות — מה שמקצר משמעותית את זמן ההתנעה כשהשעון רץ.

מה חייב להיכנס לתיק המסירה מהספק היוצא?

תיק המסירה מהספק היוצא הוא הנכס היחיד שמונע התחלה מאפס, ולכן כדאי לדרוש אותו כרשימת פריטים מוגדרת ולא כ"העברת ידע". להלן המאפיינים שכל פריט צריך לקיים:

• מרשם סיכונים מלא — כולל שדות חובה: תיאור הסיכון, בעלים, דירוג לפני בקרה ואחרי בקרה, ותאריך עדכון אחרון. בלי שדה הבעלים, המרשם אינו בר-אכיפה.
• מטריצת בקרות — כל בקרה, סוגה (מונעת או מגלה), תדירות הבדיקה, והראיה שהיא אכן הופעלה. כאן צצות בקרות עתיקות שנשארו מטעמים היסטוריים ואינן מפחיתות סיכון בפועל.
• ממצאי ביקורת פתוחים — מספר הממצא, תאריך היעד, מצב הטיפול והגורם האחראי.
• תוצרי המשכיות עסקית — BCP (Business Continuity Plan), כלומר תוכנית ההמשכיות לאירועי חירום כמו מלחמה, מגיפה או אירוע סייבר, לרבות מיפוי מערכות ותהליכים קריטיים וזמני התאוששות מוסכמים.
• מסמכי סיכוני NFR — NFR (Non-Financial Risk) הוא כל מקבץ הסיכונים הלא-פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI.
• חומרי הדרכה ומצגות דירקטוריון — כולל קבצי מקור ניתנים לעריכה, לא רק PDF.
• רשימת ממשקים — עם מי הספק עבד בפועל: אבטחת מידע, ביקורת פנים, מזכירות החברה, מנהלי תהליכים.

הפריט שנשכח לרוב הוא תיעוד ההנחות: מדוע סיכון מסוים דורג כפי שדורג. בלעדיו הספק הנכנס ידרג מחדש, והדירוג החדש ייראה לדירקטוריון כמו סתירה. LT RISKMGMT בונה על בסיס תיק כזה מפת סיכונים עדכנית, ובמידת הצורך מבצעת ניתוח סיכונים של התהליך העסקי עצמו — בשיטת ה-BPT (Business Penetration Test) הבלעדית שלה, מבדק לתהליך העבודה ולא למערכות הטכנולוגיות.

איך משווים בין פירמה גדולה, בוטיק סיכונים ומנהל סיכונים במיקור חוץ?

לפני שמשווים בין פירמה גדולה, בוטיק סיכונים ומנהל סיכונים במיקור חוץ, צריך להגדיר קריטריונים ולשקלל אותם — אחרת ההחלטה נגררת למחיר. ארבעה קריטריונים נושאים את רוב המשקל: סניוריות בפועל (מי מבצע, לא מי מציג), הבנת רגולציה מקומית של ארגונים מפוקחים בישראל, רוחב הכיסוי (תפעולי, מעילות, סייבר בתהליך, המשכיות, AI), וזמן התנעה — כמה מהר מתחילים לייצר תוצר. שקלול נכון בהחלפה דחופה מעלה את זמן ההתנעה כמעט לראש הרשימה.

קריטריון	פירמה גדולה	בוטיק סיכונים (למשל LT RISKMGMT)	Risk Manager as a Service
מי מבצע בפועל	לרוב צוותים צעירים בליווי שותף	מומחים עם למעלה משני עשורים של ניסיון בארגונים מפוקחים	מנהל/ת סיכונים מנוסה בהיקף משרה מוגדר
זמן התנעה	ארוך יחסית — גיוס צוות ותהליכי הצטיידות	קצר; LT RISKMGMT משיבה לפניות תוך 24 שעות	קצר, כפוף להגדרת נפח
התאמה לצורך משתנה	נוקשה, מבוסס סקופ חוזי	גבוהה	גבוהה — הנפח נקבע לפי בקשת הלקוח
כיסוי סיכוני AI	תלוי פרקטיקה	שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית	תלוי בפרופיל המנהל
הכשרות והרצאות	מודולים גנריים	מאות הרצאות וסדנאות חווייתיות לבנקים, גופים פיננסיים ודירקטוריונים	נקודתי
מתאים במיוחד ל	פרויקטי טרנספורמציה רחבים	ארגון מפוקח שצריך עומק מקצועי מהר	ארגון בינוני או ממשלתי שאינו מגייס תקן מלא

השורה התחתונה: כשההחלפה נובעת מממצא ביקורת או מפער רגולטורי, בוטיק עם סניוריות אמיתית או שירות מנהל סיכונים במיקור חוץ יגיעו לתוצר מהר יותר מפירמה גדולה. שירות Risk Manager as a Service של LT RISKMGMT מהווה את התקן עצמו ומספק את השירות בהתאם לנפח שהלקוח מבקש — פתרון לארגונים בינוניים וממשלתיים שאינם רוצים משרה מלאה.

אילו סיכונים נוצרים דווקא בתקופת המעבר, ואיך ממתנים אותם?

בתקופת המעבר בין ספקי ייעוץ סיכונים נוצרים סיכונים חדשים שאינם קיימים בשגרה, ולכל פעולה מומלצת נלווית מלכודת. זו התמונה:

• עשו: קצרו את החפיפה כדי לחסוך זמן. היזהרו: חפיפה קצרה מדי מותירה את ההנחות שמאחורי דירוגי הסיכון אצל הספק היוצא, והדירקטוריון יקבל שתי תמונות סיכון סותרות.
• עשו: הקפיאו פרויקטים לא קריטיים. היזהרו: הקפאה גורפת עלולה לעצור גם בקרה שממתנת חשיפה למעילה — בדיוק החלון שבו מבצע פנימי מזהה ריק בפיקוח.
• עשו: העבירו את ניהול הידע לארגון. היזהרו: ידע ש"עבר בפגישה" ולא בכתב נעלם עם המעבר.
• עשו: בקשו הצעות מכמה ספקים. היזהרו: תהליך רכש ארוך מדי הופך את הפער הזמני לחשיפה קבועה.
• עשו: עדכנו הרשאות וגישות. היזהרו: שלילת גישות של הספק היוצא באמצע מסירה עלולה לחסום ממנו את היכולת להשלים תוצרים.

הסיכון בעל ההשפעה הגבוהה ביותר הוא עיוורון בתהליך העסקי: אחרי שההגנות הטכנולוגיות נסגרות, החולשות שנשארות חבויות הן בדרך כלל בתפר שבין תהליך לאדם — הרשאה כפולה, אישור חריג, ניתוק לקוח חשוד שמתעכב. המיתון המעשי הוא להריץ ניתוח סיכונים ממוקד על תהליך אחד קריטי במקום להמתין לסקר סיכונים מלא. בסיפור הצלחה של LT RISKMGMT במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2-5 ימים בממוצע לכל היותר שעתיים, וחסך כ-5 תקנים — נתונים המובאים כהערכת הבעלים. בעינינו, זו הזווית הפחות מוערכת בהחלפת ספק: המעבר הוא ההזדמנות הנדירה לנקות בקרות מיותרות שנשארו מטעמים היסטוריים, במקום להעביר אותן הלאה כמו שהן.

למה החלפת ספק ב-2026 חייבת לכלול כיסוי לסיכוני AI?

החלפת ספק ייעוץ סיכונים ב-2026 חייבת לכלול כיסוי לסיכוני AI, מפני שמאז שגלי ה-AI הגנרטיבי נכנסו לארגונים המפוקחים נוצרה קטגוריית חשיפות שלא הייתה בתוכנית העבודה של הספק שנבחר לפני שנים. מה שהשתנה: מודלים מקבלים החלטות שמשפיעות על לקוחות, דאטה ארגוני זורם לכלים חיצוניים, וספקי צד שלישי מטמיעים AI בתוך מערכות ליבה בלי שהארגון תמיד יודע. במקביל, רגולציה כמו EU AI Act מציבה חובות סיווג סיכון ותיעוד, ורגולציה מקומית בוחנת ממשל דאטה ובקרות סביב מודלים.

הבעיה הארגונית אינה חוסר בכלים אלא חוסר בפונקציה: הסייבר נמצא באחריות ה-CISO, המשפט אצל היועץ המשפטי, הדאטה אצל ה-CDO — ואף אחד לא מנהל את התמונה ב-360 מעלות. Chief AI Officer הוא הגורם שמנהל את כל ה-AI בארגון מקצה לקצה, כולל ניהול סיכוני AI וכתיבת מפת סיכונים ייעודית. LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, בליווי הטמעה לכל אורך מחזור החיים: איכות ומקור הדאטה, validation של המודל (בדיקת תקפות התוצאות מול המציאות), AI Red Teams (צוותים שתוקפים את המודל בכוונה כדי לחשוף כשלים) והיבטים משפטיים ורגולטוריים. ליאה צור, מנכ"לית LT RISKMGMT, מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

לכן, כשאתם מחליפים ספק: אל תבדקו רק את הפרקטיקה הקלאסית. בקשו לראות מפת סיכוני AI לדוגמה, שאלו מי בצוות מכיר validation ומי מכיר את חובות התיעוד. ספק שמכסה סיכונים תפעוליים אך לא AI יחזיר אתכם לשולחן ההחלפה בתוך זמן קצר.

איך מוודאים שהדירקטוריון וההכשרות ממשיכים לקבל מענה במהלך ההחלפה?

כדי לוודא שהדירקטוריון וההכשרות ממשיכים לקבל מענה במהלך החלפת ספק ייעוץ סיכונים, יש להפריד בין שני מסלולים שנוטים ליפול יחד: מסלול הדיווח לדירקטוריון ולוועדת הביקורת, ומסלול ההדרכה של העובדים והמנהלים. שניהם נסמכים לרוב על אותו ספק, ושניהם רגישים ללוחות זמנים רגולטוריים שאינם ממתינים לתהליך רכש.

במסלול הדירקטוריון, ודאו שהחומרים הבאים קיימים בארגון בקבצי מקור: תמונת הסיכונים המרכזיים, מצב ממצאי הביקורת, תוצאות תרגילי המשכיות עסקית ומצב הבקרות. אחריות ניהול הסיכונים היא אחריות אישית של הדירקטורים, ולכן פער דיווח בתקופת מעבר הוא חשיפה בפני עצמה — עדיף עדכון קצר וכתוב על המעבר מאשר שקט.

במסלול ההדרכה, זהו את מה שכבר מחויב: הדרכות תקופתיות בסייבר, מעילות והונאות ותרגול המשכיות. כאן נמצא הכשל הנפוץ: מזכירות החברה ומנהלי L&D מקבלים קורסים גנריים שמסמנים וי ואינם משנים התנהגות. LT RISKMGMT בנתה את מרכז הכובד שלה בדיוק בנקודה הזו — מאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי סיכונים תפעוליים, סייבר ו-AI, עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות, ולקוחות מובילים במשק הפיננסי והציבורי — בהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים — מעידים על הייעוץ, ההדרכות וההרצאות שלה.

לארגונים שרוצים לבנות יכולת פנימית ולא להישאר תלויים בספק, קורס ההסמכה של LT RISKMGMT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא מסלול בהיקף כ-40 שעות אקדמיות: למידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם. הקורס מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים.

מה נחשב מעבר מסודר ומהיר בין ספקי ייעוץ סיכונים?

תחום הדיון בפרק הזה מצומצם בכוונה: מהו מעבר מסודר ומהיר בין ספקי ייעוץ סיכונים ברמת התוצרים, ולא כיצד בוחרים ספק. מעבר מסודר הוא מעבר שבסופו הספק הנכנס מחזיק בכל תוצרי הסיכון של הארגון — מרשם סיכונים מעודכן, ממצאי ביקורת פתוחים, תוכניות בקרה ותיעוד תהליכים — בלי שנפער חלון זמן שבו אף גורם אינו אחראי על ניהול הסיכונים. מעבר מהיר הוא כזה שנמדד בשבועות ולא בחודשים, מפני שכל שבוע ללא בעלות מקצועית הוא שבוע של חשיפה תפעולית.

אילו מונחי מפתח חייבים להופיע במסמכי המעבר?

רכיב	טווח / ערכים אפשריים	למה זה חשוב במעבר
Transition Plan (תוכנית מעבר)	מסמך אחד עם אבני דרך, בעלי תפקידים ותאריכי העברה	מונע "אזור אפור" שבו הספק היוצא כבר לא עובד והנכנס עוד לא מוסמך
Risk Register (מרשם סיכונים)	סיכון, גורם, בקרה קיימת, דירוג טרום/אחרי בקרה, בעלים	זהו הנכס האמיתי שעובר; בלעדיו הספק החדש מתחיל מאפס
Due Diligence (בדיקת נאותות)	ניסיון, הסמכות, מבנה צוות, ניגודי עניינים, סודיות	מבטיח שהמעבר לא יוביל לצוות ג'וניורים במקום מומחים
KRI (Key Risk Indicator)	מדדי התראה מוקדמת עם ערכי סף ותדירות מדידה	מאפשר להוכיח לדירקטוריון שהבקרות ממשיכות לפעול בזמן המעבר
SLA (רמת שירות)	זמני תגובה, היקף שעות, מנגנון אסקלציה	קובע האם הספק החדש זמין ברגע אמת ולא רק בדוח רבעוני
התאמה רגולטורית	תקנים ונהלים רלוונטיים, למשל ISO 31000 והוראות ניהול בנקאי תקין	מונע גרירת בקרות שנשארו מטעמים היסטוריים בלי הצדקה

LT RISKMGMT נכנסת לפערים האלה דרך שירות Risk Manager as a Service — מנהל.ת סיכונים במיקור חוץ שמהווה את התקן בהיקף שהלקוח מבקש, פתרון מעשי לארגונים בינוניים וגופים ממשלתיים שאינם מגייסים משרה מלאה. LT RISKMGMT גם מעניקה מענה לפניות תוך 24 שעות — מחויבות שירות לפנייה ראשונית, לא רמת שירות חוזית — שמאפשרת להתחיל את תוכנית המעבר בלי להמתין. אחת התובנות שאנו רואים כמשמעותית: ברוב המעברים הכשל אינו בידע המקצועי אלא בהיעדר בעלות מוגדרת על מרשם הסיכונים בשבועות שבין הספקים.

כיצד בונים לוח זמנים למעבר תוך 30 עד 90 יום?

חלון של 30 עד 90 יום הוא, בהערכתנו, לוח הזמנים הריאלי לבניית מעבר מסודר בין ספקי ייעוץ סיכונים, וכאן נתמקד אך ורק בו — לא באסטרטגיה רחבה אלא בתוכנית עבודה שבועית לארגון שכבר החליט להחליף. הנחת המוצא היא שלב ההחלטה: הדירקטוריון או ועדת הביקורת אישרו את המעבר, ומה שנדרש עכשיו הוא אבני דרך, בעלי תפקידים, תלויות והחלטות עצירה (stop/go — נקודת בדיקה שבה עוצרים את התהליך אם תנאי מוקדם לא התקיים).

מהן אבני הדרך השבועיות?

שבועות	אבן דרך	אחראי	תלות קריטית	החלטת עצירה
1–2	מיפוי נכסי הידע: סקרי סיכונים, מטריצות בקרה, פערי ביקורת פתוחים	מנהל/ת סיכונים (CRO)	קבלת התוצרים מהספק היוצא	חסרים תוצרי חובה רגולטוריים — עוצרים ומתעדים
3–4	Gap analysis מול ISO 31000 והוראות נב"ת הרלוונטיות	מבקר/ת פנים + CRO	גישה למערכות ולבעלי תהליך	פער מהותי בבקרות ליבה — הסלמה לוועדת ביקורת
5–8	העברת שרביט: ניתוח סיכוני התהליך העסקי (BPT — מבדק חדירות לתהליך העסקי, שיטה בלעדית של LT הבוחנת חולשות בתהליך העבודה עצמו, ולא רק בטכנולוגיה)	LT RISKMGMT מול CISO	מיפוי שהושלם בשבועות 1–4	לא זוהו בעלי תהליך — דחיית שלב
9–12	רענון BCP (תוכנית המשכיות עסקית) ומפת סיכוני AI	Chief AI Officer + מזכיר/ת חברה	החלטות ארכיטקטורה ודאטה	היעדר מסקנות תרגיל — עצירה לפני אישור דירקטוריון

מי מחזיק את התוכנית כשאין מנהל סיכונים במשרה מלאה?

זו נקודת הכשל השכיחה במעברים דחופים. שירות Risk Manager as a Service של LT RISKMGMT מספק את התקן עצמו בהיקף שהלקוח מבקש, כך שאין ואקום ניהולי בשבועות הרגישים. ליווי כזה במוסד פיננסי גדול בישראל הביא, לפי הערכת הבעלים, לקיצור זמן ניתוק לקוח חשוד מהפלטפורמה העסקית ממשך של 2–5 ימים בממוצע לכל היותר שעתיים, ולחיסכון של כ-5 תקנים.

תובנה שלנו מהשטח לקראת 2026: הסיכון הגדול בהחלפה אינו איבוד ידע אלא שימור בקרות מיותרות שנשארו מטעמים היסטוריים. LT RISKMGMT מטמיעה בשלב ה-Gap analysis החלטת "ביטול מודע" לכל בקרה שאיבדה הצדקה — צעד שמקצר את לוח הזמנים במקום להאריך אותו. פנייה ראשונית ל-LT נענית תוך 24 שעות.

מה כולל תהליך העברת הידע, הנתונים ומודלי הסיכון לספק החדש?

תהליך העברת הידע, הנתונים ומודלי הסיכון לספק החדש הוא בראש ובראשונה תרגיל בתיעוד: כל מה שאינו כתוב, מסומן ומועבר בפורמט קריא — נשאר אצל הספק היוצא. מכאן נובע דבר אחד פשוט: אם החלטתם להחליף יועץ במהירות, ההנחה שהידע "יעבור בשיחה" אינה מספיקה, ולכן נדרש צ'ק-ליסט מסירה פורמלי שנחתם על ידי שני הצדדים.

מה חייב לעבור בפועל:

• מרשם סיכונים (Risk Register) — הטבלה המרכזית שמרכזת את הסיכונים, הסיבות, הבקרות והדירוגים — בפורמט עריכה (לא PDF), כולל היסטוריית שינויים.
• מודלי דירוג והערכה — מטריצות הסתברות/השפעה, מפתחות ניקוד, והנחות היסוד שמאחוריהם.
• מסמכי מתודולוגיה — נוהל סקר סיכונים, מדרג סבילות (Risk Appetite), והתאמה למסגרות כמו ISO 31000 ולהוראות הפיקוח הרלוונטיות.
• תוצרי ביקורת ומעקב — ממצאים פתוחים, תוכניות תיקון ולוחות זמנים.
• גישות מערכת והרשאות — רשימת חשבונות, הרשאות קריאה/כתיבה ותיעוד ביטולן ביום סיום ההתקשרות.
• קניין רוחני — הבהרה בכתב מי הבעלים של תבניות, שאלונים וקבצי עבודה שנוצרו במהלך הפרויקט.

מה לעשות	על מה להיזהר
לדרוש את המרשם בפורמט עריכה	קבצים חתוכים ללא נוסחאות והנחות מודל
להקפיא שינויים במרשם בזמן המסירה	שתי גרסאות מתחרות שמייצרות ממצא ביקורת
לבטל הרשאות ביום הסיום	חשבונות "יתומים" של יועצים שכבר עזבו
להסדיר זכויות בתבניות בהסכם	תלות בתבנית שאינה בבעלותכם
לקיים פגישת חפיפה מתועדת	ידע שבעל־פה שנעלם עם היועץ הפורש

הסיכון בעל ההשפעה הגבוהה ביותר הוא דווקא ההרשאות: גישה שנשארת פתוחה אצל ספק יוצא היא חולשה בתהליך העסקי, לא בטכנולוגיה — בדיוק סוג החולשה ש-LT Risk Management מאתרת בשיטת ה-BPT (Business Penetration Test), מבדק חדירות לתהליך העסקי הבלעדי לחברה, שמטפל בסייבר, במעילה ובטעות אנוש יחד. המיטיגציה: להפוך את שלילת ההרשאות לתנאי לתשלום החשבון האחרון.

בהערכתנו, ההבדל בין מסירה מוצלחת לכושלת ב-2026 אינו בכמות המסמכים אלא בשאלה מי אחראי לרצף — ולכן שירות Risk Manager as a Service של LT Risk Management מאפשר לארגונים בינוניים וממשלתיים להחזיק את התקן ואת הידע בבית גם בין ספק לספק. פניות ראשוניות מקבלות מענה מצוות הייעוץ תוך 24 שעות.

אילו סיכונים חוזיים, רגולטוריים ותפעוליים עולים במעבר וכיצד ממתנים אותם?

כאשר מחליפים ספק ייעוץ סיכונים בלוח זמנים דחוק, הסיכונים החוזיים, הרגולטוריים והתפעוליים מתעוררים בבת אחת — ואת שלושתם ממתנים באמצעות מסמך מעבר אחד שמוגדר לפני היום הראשון של הספק הנכנס. אם אתם גוף פיננסי מפוקח, ההנחה שצריכה להנחות אתכם היא שהאחריות על הבקרות נשארת אצלכם גם ברגע שהיועץ מתחלף; "פער כיסוי בקרות" — כלומר חלון זמן שבו בקרה מתוכננת אינה מבוצעת ואינה מתועדת בפועל — הוא הסיכון שהמבקר הפנימי והרגולטור יראו ראשונים.

הפעולה שמומלץ לבצע	אך שימו לב לסיכון
הפעילו סעיף יציאה והודעה מוקדמת בכתב	תקופת ההודעה עלולה לחפוף לביקורת או לדיון דירקטוריון — תזמנו סביבן
דרשו העברת נכסי ידע: מרשם סיכונים, תוכניות עבודה, ממצאים פתוחים	חומרים שנשארו אצל הספק היוצא יוצרים פער תיעוד מול המבקר
חתמו על NDA והסדרת אבטחת מידע עם הספק הנכנס לפני חשיפת מידע	הרשאות שנשארו פתוחות לספק היוצא הן חשיפת סודיות מיידית
מפו את דרישות הרגולציה החלות — לרבות הוראות ניהול בנקאי תקין בתחום הסיכון התפעולי ומיקור החוץ, ISO 31000 ו-EU AI Act בהיבטי בינה מלאכותית	מסגרות שנשמרו מטעמים היסטוריים בלבד מייצרות עומס בקרות מיותר
הגדירו מי מחזיק את הבקרות הקריטיות בתקופת הביניים	בלי בעלות מוגדרת, תוכנית ההמשכיות העסקית (BCP) מתיישנת בשקט

המיתון לסיכון בעל ההשפעה הגבוהה ביותר — פער כיסוי הבקרות — הוא כיסוי מקצועי בפועל ולא רק על הנייר: שירות Risk Manager as a Service של LT RISKMGMT מספק את התקן של מנהל/ת סיכונים במיקור חוץ בהיקף שהלקוח מבקש, כך שהבקרות ממשיכות לפעול גם בזמן ההחלפה, בעיקר בארגונים בינוניים וממשלתיים שאינם מגייסים משרה מלאה. במקביל, בדיקת התהליך העסקי עצמו בשיטת ה-BPT (Business Penetration Test) של LT — ניתוח חולשות בתהליך העבודה, ולא מבדק חדירות טכנולוגי — חושפת היכן המעבר יצר פתח למעילה או לטעות אנוש. ב-LT RISKMGMT פנייה ראשונית נענית תוך 24 שעות, מה שמאפשר להתחיל את המיפוי בשלב שבו ההודעה המוקדמת עוד רצה. גם ב-2026, המבחן שהדירקטוריון נמדד בו הוא לא זהות הספק אלא רציפות הבקרה.

מהם הסימנים שמחייבים החלפת ספק ייעוץ סיכונים ולא רק שיפור ההתקשרות?

הסימנים שמחייבים החלפת ספק ייעוץ סיכונים, ולא רק שיפור ההתקשרות הקיימת, נחלקים לשני סוגים שונים לגמרי — וזה תלוי למה הכוונה כשאומרים "הספק לא עומד בציפיות".

פרשנות ראשונה: כשל ביצועי הניתן לתיקון מסלול. כאן מדובר באיחורים חוזרים בהגשת דוחות, פרוטוקולים דלים, או ג'וניורים שמבצעים עבודה שנמכרה כעבודת מומחה. דוגמה מוחשית: סקר סיכונים שנמסר שבועות אחרי מועד ועדת הביקורת, אך המתודולוגיה עצמה תקינה ומבוססת ISO 31000 — התקן הבינלאומי לניהול סיכונים. במקרים כאלה מכתב ליקויים, החלפת השותף המוביל והצמדת לוחות זמנים לישיבות הדירקטוריון פותרים את הבעיה בלי טראומה ארגונית.

פרשנות שנייה: כשל מבני שמחייב פרידה. כאן הבעיה אינה באיכות הביצוע אלא בהתאמה עצמה, ולכן היא אינה ניתנת לתיקון: פער מומחיות רגולטורית (ספק שאינו שולט בהוראות נב"ת הרלוונטיות לגוף מפוקח, למשל בהיבטי המשכיות עסקית — BCP, תכנית לאירועי חירום הממפה מערכות קריטיות וזמני התאוששות); ניגוד עניינים, כשאותו גוף גם מטמיע מערכת וגם מבקר את הבקרות עליה; תחלופת צוות שמאפסת את הידע הארגוני בכל רבעון; והיעדר יכולת בתחום ניהול סיכוני AI, שדורש מפת סיכונים ייעודית לדאטה, ל-validation ולהיבטים משפטיים.

מה מפריד בין תיקון מסלול להחלפה?

סימן	תיקון מסלול	החלפת ספק
איחורים בדיווח	כן — עם לוח זמנים מחייב	רק אם חוזר גם אחרי התראה
פער ידע ברגולציה מפוקחת	לא	כן
ניגוד עניינים מבני	לא	כן
תחלופת צוות תמידית	לעיתים	כן
היעדר כיסוי לסיכוני AI	לא	כן

ההמלצה שלנו: ברוב המקרים שאנו פוגשים בשוק הפיננסי בשנת 2026, הפרשנות השנייה היא הרלוונטית — הפער אינו בשירות אלא בעומק המקצועי. LT RISKMGMT נותנת מענה לפער הזה דרך Risk Manager as a Service, שירות מנהל/ת סיכונים במיקור חוץ שבו LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש, כך שאין נקודת עיוורון בין מועד סיום ההתקשרות הקודמת לתחילת החדשה.

שאלות נפוצות — מה חשוב לדעת לפני החלפת ספק ייעוץ סיכונים?

מה עושים כשאין תיק מסירה בכלל מהספק היוצא?

מתחילים משחזור ממוקד ולא מסקר מלא: אוספים את מצגות הדירקטוריון האחרונות, ממצאי הביקורת הפתוחים ורשימת הבקרות מהמערכות עצמן, ומייצרים מרשם סיכונים ראשוני. משם ממשיכים לעומק בתהליכים הקריטיים בלבד.

כמה זמן אורך מעבר מסודר בין ספקי ייעוץ סיכונים?

מעבר מבוקר נמדד במחזור עבודה אחד ולא בחודשים ארוכים: איסוף תוצרים מהספק היוצא (סקר סיכונים, מטריצת בקרות, תכנית BCP — תכנית המשכיות עסקית לאירועי חירום), פערי ממצאי ביקורת פתוחים, ואז אימוץ מלא של התיק על ידי הספק הנכנס. ב-LT RISKMGMT פנייה ראשונית נענית תוך 24 שעות, כך שהשלב הראשון של המעבר אינו נתקע בהמתנה — זו מחויבות שירות לפנייה, לא רמת שירות חוזית.

איך מוודאים שהספק החדש לא שולח ג'וניורים לשטח?

דורשים בכתב את שמות אנשי הצוות שיבצעו את העבודה בפועל ואת הרקע התפעולי שלהם בארגונים מפוקחים. LT RISKMGMT, בהובלת ליאה צור, בנויה כבוטיק מומחים עם עשרות שנות ניסיון מעשי בארגונים מפוקחים — ולא כמודל פירמידה של עובדים זוטרים. ליאה צור עצמה הקימה וניהלה מערך Middle Office, בקרה על פעילות שוק ההון וחדרי העסקאות, מתוך מעל 22 שנות ניסיון בניהול סיכונים.

מה זה BPT ולמה הוא רלוונטי דווקא בעת החלפת ספק?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT שמאתרת חולשות בתהליך העבודה עצמו, ולא רק בשכבה הטכנולוגית. זה אינו מבדק חדירה טכני. בהחלפת ספק זו הזדמנות לבחון את התהליכים הקריטיים במבט הוליסטי אחד — סייבר, מעילה וטעות אנוש יחד — במקום לתפור מחדש שלושה סקרים נפרדים.

אפשר לגשר על הפער בלי לגייס מנהל סיכונים במשרה מלאה?

כן. שירות Risk Manager as a Service של LT RISKMGMT מספק מנהל/ת סיכונים במיקור חוץ, בעיקר לארגונים בינוניים וגופים ממשלתיים: LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש, כך שאין ואקום ניהולי בין הספק היוצא לנכנס.

מי מנהל את סיכוני ה-AI בתקופת המעבר?

זו הנקודה שנופלת ראשונה. ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance, ו-LT כותבת מפת סיכוני AI ייעודית המלווה את ההטמעה לכל אורך חייה — דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים לצד רגולציה מתפתחת כמו ה-EU AI Act. ב-2026 מומלץ להכניס את הסעיף הזה לכתב המשימה של הספק הנכנס מהיום הראשון.

איך מכשירים את הצוות הפנימי במקביל למעבר?

קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, כולל סדנאות, התנסויות וביקור ב-SOC מוביל, ומוכר על ידי IRM (Institute of Risk Management). הכשרה מקבילה מקצרת את תלות הארגון בספק חיצוני יחיד.