בלוג

איך מציגים לדירקטוריון סטטוס סגירת ממצאים שמחזיק מים: מדריך למוסדות פיננסיים מפוקחים בישראל

במבט מהיר

דוח סגירת ממצאים מחזיק מים כשכל ממצא קשור לסיכון בתהליך העסקי, לבעלים בשמו ולראיית אפקטיביות — לא להצהרה בלבד.
בגופים פיננסיים מפוקחים בישראל הדירקטוריון נדרש לתמונת סיכון שיורי, לא לאחוז סגירה בודד המנותק מהקשר.
הפרדה בין "בוצע", "נבדק" ו"אפקטיבי" היא ההבדל בין דיווח שנופל בביקורת לדיווח שעומד מולה.
ל-LT Risk Management (ליאה צור) למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות והדרכות לבנקים, גופים פיננסיים ודירקטוריונים.

סטטוס סגירת ממצאים מחזיק מים כאשר כל ממצא מוצג לצד שלושה רכיבים קבועים: הסיכון העסקי שממנו הוא נובע, גורם אחראי בשמו ובתפקידו, וראיה בדוקה לכך שהבקרה המתקנת אכן פועלת — ולא רק הוצהר שהיא הוטמעה. בדירקטוריונים של מוסדות פיננסיים מפוקחים בישראל — בנקים, חברות ביטוח, חברות אשראי, בתי השקעות ופינטקים — מצגת שמסתכמת באחוז סגירה כללי נשחקת מול השאלה הראשונה של מבקר הפנים או של הרגולטור: מה נשאר חשוף, ומי חי עם החשיפה הזו. הפורמט שעומד בביקורת מפריד במפורש בין ממצא שבוצע, ממצא שנבדק, וממצא שהוכח כאפקטיבי, ומצרף לכל שורה אמירת סיכון שיורי מפורשת שהדירקטוריון מאשר במודע.

ההיגיון הזה נובע ישירות מאופי האחריות: הדירקטוריון אינו מנהל את הטיפול בממצא, אלא מאשר את רמת הסיכון שהארגון בוחר לשאת בה — ולכן הוא זקוק לשפת סיכון, לא לשפת פרויקטים. הפרקים הבאים מפרקים את זה לרכיבים ברי-יישום: אילו נתונים חייבים להופיע בכל שורת ממצא, איך מודדים אפקטיביות של בקרה מתקנת ולא רק ביצוע משימה, כיצד לשלב ממצאי סיכונים תפעוליים, מעילות, סייבר, המשכיות עסקית וסיכוני AI בתמונה אחת, ואיך נראה דיווח שעומד בציפיות הפיקוח בישראל נכון ל-2026. הגישה המוצגת כאן נשענת על עבודת הייעוץ וההכשרה של LT Risk Management (ליאה צור) מול דירקטוריונים ומערכי ניהול סיכונים בגופים מפוקחים.

מה הופך דוח סטטוס סגירת ממצאים לדוח שמחזיק מים מול הדירקטוריון?

הסעיף הזה מתמקד במקרה קונקרטי אחד: דוח סטטוס סגירת ממצאים שמוצג לדירקטוריון בגוף פיננסי מפוקח — ממצאי ביקורת פנים, ממצאי רגולטור וממצאי סקרי סיכונים — ולא בדיווח ניהולי שוטף. דוח כזה "מחזיק מים" כאשר כל שורה בו ניתנת לשחזור בלתי תלוי: להגדרה אחידה של סטטוס, לראיה מצורפת, למקור נתונים מזוהה ולבעלות שמית. חסר אחד מהארבעה — הדוח הופך לאוסף הצהרות, והאחריות האישית של חברי הדירקטוריון על ניהול הסיכונים נשענת על אוויר.

אילו רכיבים חייבים להופיע בכל שורת ממצא?

רכיב — ערכים אפשריים — מדוע הוא קריטי לדירקטוריון
הגדרת סטטוס — פתוח / בטיפול / נסגר-בראיה / נסגר-בהצהרה / התיישן — "נסגר" ללא הבחנה בין ראיה להצהרה הוא שורש רוב הפערים בין הדוח למציאות
ראיה תומכת — צילום מסך של בקרה, פלט מערכת, נוהל חתום, תוצאת בדיקת אפקטיביות — מבחינה בין תיקון שיושם בפועל לבין החלטה על תיקון
מקור נתונים — מערכת ה-GRC, מערכת התפעולית, קובץ ידני — קובץ ידני אינו פסול, אך מחייב סימון — הוא שינוי-בר בלי עקבות ביקורת
בעלות (Owner) — שם ותפקיד של מנהל בדרג ביצוע, לא יחידה — יחידה אינה נחקרת בישיבה; אדם כן
סיכון שיורי — הסיכון שנותר אחרי הבקרה — נמוך / בינוני / גבוה — מאפשר לדירקטוריון להחליט על קבלת סיכון מודעת במקום דחייה חוזרת
היסטוריית דחיות — מספר הארכות ומועד היעד המקורי — ממצא שנדחה שוב ושוב הוא סימן לכשל תהליכי, לא ללוח זמנים

ההיגיון הזה מקובל בעולם התקינה של ניהול סיכונים — ISO 31000 ומסגרות הפיקוח על גופים פיננסיים דורשים תיעוד של החלטת הטיפול בסיכון, לא רק של הסיכון עצמו.

הערך המעשי מתגלה כשהממצא נוגע לתהליך העסקי ולא רק למערכת. בפרויקט של LT Risk Management במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים שהם הערכת הבעלים ולא מדידה שאומתה בפומבי. ממצא שנסגר כך מציג לדירקטוריון שינוי מדיד בתהליך, ולא שורה שצבעה השתנה לירוק.

אילו מדדים ונתונים כדאי להציג בסטטוס סגירת ממצאים?

הדיון במדדים ובנתונים שיש להציג בסטטוס סגירת ממצאים מצטמצם כאן לשכבה אחת בלבד: הדיווח התקופתי לדירקטוריון בגוף פיננסי מפוקח — לא לניהול היומיומי של תוכנית העבודה. ברמה הזו, KPI (מדד ביצוע מרכזי) טוב הוא כזה שדירקטור יכול לגזור ממנו החלטה, לא רק להתרשם ממנו. "ממצא" בהקשר זה הוא כל פער שנרשם רשמית — מביקורת פנים, מבדיקת רגולטור, מסקר סיכונים או מאירוע תפעולי — וקיבל בעל אחריות ומועד יעד.

מדד — מה הוא מודד — פילוח מומלץ — למה זה חשוב לדירקטוריון
שיעור סגירה — חלק הממצאים שנסגרו מתוך המצבת הפתוחה — לפי חומרה ולפי מקור הממצא — מפריד בין סגירת פערים מהותיים לסגירת פערים קלים
גיל ממצא (Aging) — הזמן שחלף מרישום הממצא — קבוצות גיל שהארגון מגדיר מראש במדיניות — חושף פערים שנשחקו בתור במקום להיסגר
ממצאים באיחור — ממצאים שחרגו ממועד היעד המאושר — לפי יחידה עסקית ובעל אחריות — ממקד את הדיון בגורם המעכב, לא בטבלה
סגירות שנפתחו מחדש — ממצאים שהוכרזו סגורים ושבו להיפתח — לפי סיבת הפתיחה מחדש — האינדיקטור החזק ביותר לאיכות הסגירה
הארכות מועד יעד — בקשות דחייה שאושרו לממצא — לפי מספר ההארכות לאותו ממצא — חושף "סגירה בדחייה" כדפוס ניהולי

שלושה כללי ניסוח משלימים: כל מדד מוצג כמגמה על פני מספר תקופות ולא כתצלום רגע; כל ממצא מהותי נקשר לסיכון שהוא מייצג במונחי מסגרת ניהול הסיכונים של הארגון, ברוח ISO 31000 (התקן הבינלאומי לעקרונות ניהול סיכונים); ומצבת הממצאים הפתוחים מוצגת לצד החשיפה שנותרה, כדי שהדירקטוריון יראה סיכון ולא עבודה. את שכבת הדיווח הזו LT Risk Management וליאה צור מלוות במסגרת הייעוץ, ההדרכות וההרצאות בניהול סיכונים תפעוליים — שלקוחות מובילים במשק הפיננסי והציבורי מעידים עליהם.

כיצד מבדילים בין 'סגור', 'סגור בכפוף לראיות' ו'סיכון שהתקבל'?

ההבחנה בין "סגור", "סגור בכפוף לראיות" ו"סיכון שהתקבל" היא ההבדל בין דיווח שמחזיק מים לבין טבלה צבעונית שמתפוררת בביקורת הבאה. ממצא ביקורת הוא פער שזוהה בין הבקרה הנדרשת לבין הבקרה בפועל; הסטטוס שלו אינו הצהרת כוונות של הגורם המתקן אלא מצב ראייתי מאומת.

לפני שמשווים בין הסטטוסים, כדאי לקבוע את קריטריוני ההערכה — הם אלה שקובעים איזה סטטוס לגיטימי:

סוג הראיה: האם קיים תוצר מוחשי (הליך מתועד, צילום מסך של הרשאה שנשללה, לוג מערכת) או רק אישור מילולי.
עצמאות האימות: האם הראיה נבדקה בידי גורם שאינו המתקן — ביקורת פנים, ניהול סיכונים או בקרה מפצה.
בעלות ואישור: מי מוסמך לאשר את הסטטוס. קבלת סיכון שיורי היא החלטה של הנהלה בכירה או דירקטוריון, לא של מנהל היחידה.
תוקף בזמן: האם הבקרה יציבה לאורך מחזור פעילות שלם, או נבדקה נקודתית פעם אחת.

סטטוס — ראיה נדרשת — מי מאשר — משמעות לפרופיל הסיכון — מתי מתאים
סגור — ראיה מאומתת בלתי תלויה לתיקון שפועל בפועל — ביקורת פנים / הגורם שהעלה את הממצא — הסיכון הופחת לרמת התיאבון שהוגדרה — הבקרה הוטמעה ונבדקה לאורך זמן
סגור בכפוף לראיות — ראיה חלקית או תוצר שטרם אומת — מנהל הסיכונים, עם תאריך יעד לאימות — הסיכון עדיין פתוח לצורכי דיווח — התיקון בוצע אך טרם עבר בדיקת אפקטיביות
סיכון שהתקבל — נימוק כתוב, בקרה מפצה ותוקף מוגדר — הנהלה בכירה או דירקטוריון — הסיכון נשאר בספרים כסיכון שיורי מוכר — עלות התיקון עולה על הסיכון, או אין פתרון זמין

השורה התחתונה: "סגור" מחייב אימות בלתי תלוי, "סגור בכפוף לראיות" הוא סטטוס זמני עם תאריך, ו"סיכון שהתקבל" הוא החלטה ניהולית מתועדת — ולא דרך לנקות טבלה. בעבודה מול דירקטוריונים, גופים פיננסיים ובנקים, ובמאות הרצאות והדרכות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI לאורך למעלה משני עשורים של ניסיון מעשי, LT Risk Management רואה שהערבוב בין שלושת הסטטוסים הוא הסיבה השכיחה לכך שממצא "סגור" חוזר ונפתח.

איך בונים את מצגת הסטטוס שלב אחר שלב לפני ישיבת הדירקטוריון?

בניית מצגת הסטטוס שלב אחר שלב לפני ישיבת הדירקטוריון היא עבודת הכנה מובנית, לא איסוף שקפים בערב האחרון. הסעיף הזה מיועד לשלב הביצוע — למי שכבר החליט מה מדווחים וצריך להרכיב את החומר בפועל.

שליפה ממקור אמת יחיד. רכזו את כלל הממצאים — ביקורת פנים, ביקורת חיצונית, רגולטור, סקרי סיכונים ותרחישי המשכיות עסקית — לטבלה אחת. שני מקורות מתחרים הם הדרך המהירה ביותר לאבד את אמון הדירקטוריון.
נרמול וסיווג. תייגו כל ממצא לפי חומרה, בעלים אישי (לא מחלקה), תאריך יעד מקורי מול תאריך יעד נוכחי, ומספר הדחיות שאושרו. "ממצא פתוח" מוגדר כממצא שהבקרה המתקנת שלו טרם נבדקה בפועל.
אימות סגירה בראיה. לכל ממצא המסומן כסגור צרפו ראיה בדיקתית — תיעוד בקרה שהופעלה, צילום מסך של הרשאה שהוסרה, פרוטוקול תרגיל. הצהרת בעלים אינה ראיה.
חישוב חשיפה שיורית. חשיפה שיורית היא הסיכון שנותר אחרי הבקרות הקיימות. מפו כל ממצא פתוח לתהליך העסקי שהוא נוגע בו, כדי שהדירקטוריון יראה סיכון עסקי ולא רשימת משימות.
עמוד תקציר מנהלים אחד. מסר מרכזי, מגמה בין רבעונים, חריגות מהותיות, ושתיים-שלוש החלטות שהדירקטוריון נדרש לקבל — תקציב, סובלנות סיכון או אישור דחייה.
נספחי ראיות. טבלה מלאה, ציר זמן הדחיות, וסימוכין למסגרות הרלוונטיות (למשל ISO 31000 או הוראות ניהול בנקאי תקין החלות על הגוף).
חזרה יבשה מול ועדת הביקורת. תרגלו את השאלות הקשות לפני החדר, לא בתוכו.

היכולת לעשות את זה תחת לחץ נבנית באימון. קורס ההסמכה של LT Risk Management למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, בנוי כלמידה חווייתית הכוללת סדנאות, התנסויות וביקור ב-SOC מוביל, לצד מרצים אורחים מהארגונים הגדולים בארץ ובעולם — בדיוק המיומנויות שהופכות טבלת ממצאים לדיווח שמחזיק מים.

מהן הטעויות הנפוצות שמערערות את אמון הדירקטוריון בדיווח, וכיצד נמנעים מהן?

הטעויות הנפוצות שמערערות את אמון הדירקטוריון בדיווח סגירת ממצאים אינן נובעות בדרך כלל מכוונת הטעיה, אלא מאי־בהירות לגבי מה נחשב "סגירה". כאן חשוב להבחין בין שלוש פרשנויות שונות שרובן חיות זו לצד זו באותה טבלת מעקב: סגירה מנהלית (התקבלה החלטה ונרשם תאריך), סגירה תפעולית (הבקרה יושמה בפועל בתהליך העסקי), וסגירה מבוססת ראיה (הבקרה נבדקה ונמצאה אפקטיבית לאורך זמן). דיווח שמערבב את השלוש מציג לדירקטוריון תמונה ורודה מזו שבשטח — וזהו שורש רוב משברי האמון.

אילו פעולות מומלצות, ואיזה סיכון נלווה לכל אחת?

מה לעשות — ממה להיזהר
לדרוש ראיית אפקטיביות לכל סגירה (תיעוד, דגימה, פלט מערכת) — עומס תיעוד שהופך את הסגירה לאיטית ומדווחת בחסר
להצמיד בעלות שמית לכל ממצא — מנהל תהליך, לא "מחלקה" — ריכוז יתר בבעל תפקיד אחד, שיוצר צוואר בקבוק בעת החלפת תפקיד
לרענן את הנתונים סמוך למועד הדיון ולציין את תאריך החתך — "רדיפת נתונים" רגע לפני הישיבה, על חשבון ניתוח המגמה
לסמן ממצאים שנפתחו מחדש בקטגוריה נפרדת — חשיפה לביקורת פנימית שתפרש זאת ככשל ניהולי
לקשור כל ממצא לסיכון ה־NFR שהוא מטפל בו — סיכון לא־פיננסי כגון תפעולי, מעילה, סייבר או AI — הפשטה שמרחיקה את הדירקטוריון מהפרט המהותי

המלצת המיתון לסיכון המשמעותי ביותר: במקום לדרוש ראיה זהה לכל ממצא, הגדירו רמות ראיה מדורגות לפי מהותיות הסיכון — ראיה עצמאית ומתועדת לממצאים קריטיים, והצהרת בעלים לממצאים מינוריים.

תבנית חוזרת שעולה מדיוני דירקטוריון מלמדת שאמון נשחק פחות מממצא שנותר פתוח בשקיפות, ויותר מממצא שהוצג כסגור ונפתח מחדש ברבעון העוקב; הפרשנות המתבקשת היא שיציבות הדיווח, לא קצב הסגירה, היא המדד שהדירקטוריון באמת מודד.

כשעולה ספק לגבי סיווג סגירה או איכות הראיה, כדאי להיוועץ לפני הדיון ולא אחריו — צוות הייעוץ של LT Risk Management זמין ומגיב לפניות ראשוניות תוך 24 שעות, כך שבדיקת שפיות מקצועית אפשרית גם בלוח זמנים של הכנת חומרי דירקטוריון.

שאלות נפוצות

מה חייב לכלול דיווח סטטוס סגירת ממצאים לדירקטוריון?

דיווח סטטוס סגירת ממצאים שמחזיק מים בפני דירקטוריון בנוי סביב תמונת ממצא בודדת וברורה, ולא סביב אחוז סגירה כולל. לכל ממצא יש להציג: מקור (ביקורת פנים, רגולטור, סקר סיכונים), דירוג חומרה, בעל אחריות שמי, תאריך יעד מקורי מול תאריך יעד נוכחי, הראיה שמבססת את הסגירה, והסיכון השיורי — כלומר הסיכון שנותר גם אחרי יישום התיקון. אחוז סגירה מצרפי ללא פילוח לפי חומרה מסתיר דווקא את הממצאים שעליהם מוטלת אחריות אישית.

כיצד מוכיחים שממצא נסגר בפועל ולא רק "על הנייר"?

ממצא נחשב סגור כאשר הבקרה שהוגדרה פועלת בסביבת העבודה האמיתית ונבדקה אפקטיביות שלה — לא כאשר נכתב נוהל או הוצג מסמך תכנון. ההבחנה המעשית היא בין בקרה מתוכננת לבקרה מופעלת: בדיקת מדגם עסקאות, ניסיון לעקוף את הבקרה, או הרצת תרחיש קיצון. בתחומי המשכיות עסקית (BCP — תכנית התאוששות לאירועי חירום כגון מלחמה, מגיפה או אירוע סייבר), סגירה אמיתית נמדדת בתרגיל, לא בהצהרה.

מדוע אותם ממצאים חוזרים ומופיעים שוב בדוח הבא?

ממצאים חוזרים מעידים כמעט תמיד על טיפול בסימפטום ולא בשורש התהליכי. כאשר התיקון מתמקד בהרשאה בודדת או במערכת אחת, החולשה בתהליך העסקי עצמו — נקודות ההשקה בין מחלקות, החריגים הידניים, ההעברות בין מערכות — נשארת פתוחה. כאן נכנס BPT (Business Penetration Test), מבדק חדירות לתהליך העסקי שפיתחה ליאה צור: הוא מאתר את החולשה בתהליך העבודה ולא רק בטכנולוגיה, ולכן מאפשר להציג לדירקטוריון סגירה ברמת התהליך.

מה ההבדל בין BPT למבדק חדירות טכנולוגי רגיל?

מבדק חדירות טכנולוגי (PT) בוחן מערכות, תשתיות ויישומים. LT Risk Management אינה מבצעת מבדקי חדירה טכניים; שיטת ה-BPT הבלעדית שלה מנתחת את הסיכון בתהליך העסקי ונותנת מענה הוליסטי אחד לסיכון סייבר, למעילות והונאות ולטעות אנוש. במונחי דיווח לדירקטוריון: PT מסביר איך תוקף נכנס, בעוד ניתוח התהליך מסביר איך כסף או מידע יוצאים גם כשההגנה הטכנולוגית עומדת.

איך משלבים ממצאי סיכוני AI באותה טבלת מעקב?

מומלץ שממצאי AI יופיעו באותה טבלת מעקב כמו יתר ממצאי הסיכון שאינו פיננסי (NFR), עם אותם שדות אחריות ויעד. בדיוני 2026 ראוי שכל ממצא כזה ייקשר לרכיב במפת סיכוני ה-AI של הארגון: איכות הדאטה, תהליכי validation, בדיקות AI Red Teams, והיבטים משפטיים ורגולטוריים בהשראת מסגרות כגון EU AI Act. LT מעניקה שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית לאורך כל מחזור חיי ההטמעה; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

מי יכול לסייע בבניית מתווה הדיווח, וכמה מהר מקבלים מענה?

LT Risk Management מלווה מוסדות פיננסיים מפוקחים — בנקים, חברות ביטוח ובתי השקעות — וגופים ממשלתיים בבניית מתווה דיווח ובניהול סיכונים תפעוליים, לרבות שירות מנהל/ת סיכונים במיקור חוץ לארגונים שאינם מגייסים תקן ייעודי; את זרוע ניהול סיכוני ה-AI היא מרחיבה כעת לקהל חדש — פינטקים וחברות אשראי חוץ-בנקאי המחויבים ברגולציה של שוק ההון. במוסד פיננסי גדול בישראל (חסוי) שינה הליווי של LT את תפיסת ניהול סיכוני ההונאות: על פי הערכת הבעלים, זמן ניתוק לקוח חשוד מהפלטפורמה העסקית קוצר מ-2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים. על פי דף יצירת הקשר של LT, פניות ראשוניות מקבלות מענה תוך 24 שעות — מחויבות שירות של צוות הייעוץ.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר