בלוג

איך בונים מפת סיכוני AI ייעודית לגוף פיננסי מפוקח

במבט מהיר

מפת סיכוני AI לגוף פיננסי מפוקח היא מסמך ממשל חי הממפה כל שימוש ב-AI, בעליו, הדאטה שלו והבקרות עליו.
הבנייה מתחילה במלאי שימושים, ממשיכה בסיווג מהותיות ומסתיימת בבקרות, בוולידציה ובמנגנון דיווח לדירקטוריון.
מסגרות עבודה כמו ISO 31000, הוראות ניהול בנקאי תקין ו-EU AI ACT מספקות את שפת הסיכון המשותפת.
LT RISKMGMT מלווה גופים פיננסיים בכתיבת מפת סיכוני AI ייעודית ובשירות Chief AI Officer לאורך מחזור חיי המודל.

LT RISKMGMT

פורסם: 2026-10-01

מפת סיכוני AI ייעודית לגוף פיננסי מפוקח — בנק, חברת ביטוח, חברת אשראי, בית השקעות או פינטק — נבנית בארבעה מהלכים: מלאי מלא של כל שימושי הבינה המלאכותית בארגון (כולל כלים שהעובדים הכניסו בעצמם), סיווג כל שימוש לפי מהותיות והשפעה על לקוחות וכספים, מיפוי הסיכונים הספציפיים לכל שימוש — איכות ומקור הדאטה, הטיה, ולידציה של המודל, דליפת מידע, תלות בספק חיצוני, חשיפה משפטית ורגולטורית — ולבסוף הצמדת בקרה, בעלים ומדד מעקב לכל סיכון. התוצר אינו מסמך טכני השמור ליחידת הדאטה: זהו רכיב בממשל התאגידי, שמוגש לוועדת ניהול סיכונים ולדירקטוריון בשפה שבה הם כבר דנים בסיכון תפעולי, סייבר ומעילות.

ההבדל בין מפת סיכוני AI בגוף מפוקח לבין מסמך סיכונים גנרי הוא ההקשר הרגולטורי. בישראל, ראוי לבחון שימוש ב-AI דרך אותן אמות מידה שכבר חלות על ניהול סיכונים תפעוליים, ניהול סיכוני סייבר ומיקור חוץ בהוראות ניהול בנקאי תקין, לצד תקני ניהול סיכונים כמו ISO 31000 ואבטחת מידע לפי ISO 27001; ארגונים עם חשיפה אירופית בוחנים גם את דרישות ה-EU AI Act וגישת הסיווג מבוססת-הסיכון שבבסיסו. המשמעות המעשית: כל שורה במפה צריכה לדעת לענות מי הבעלים, מה הבקרה, מי מבצע ולידציה ומה קורה כשהמודל טועה — בדיוק כפי שנדרש מכל סיכון שאינו פיננסי.

את התחום הזה — NFR, כלומר כלל הסיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI — LT RISKMGMT מלווה בגופים מפוקחים בישראל זה שנים. לפי LT RISKMGMT, ליאה צור, מנכ"לית החברה, מנהלת סיכונים מעל 22 שנה, רובן בעולם הבנקאות, ומוסמכת Chief AI Officer מטעם Copenhagen Compliance; LT RISKMGMT מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית המלווה את הטמעת הבינה המלאכותית לכל אורך חייה — דאטה, ולידציה, AI Red Teams והיבטים משפטיים ורגולטוריים. המדריך שלהלן מפרט, נכון ל-2026, את שלבי הבנייה, את הבקרות שראוי להצמיד לכל סוג שימוש, ואת אופן ההצגה של המפה לדירקטוריון.

מהי מפת סיכוני AI ייעודית לגוף פיננסי מפוקח, ובמה היא נבדלת ממרשם סיכונים כללי?

מפת סיכוני AI ייעודית לגוף פיננסי מפוקח — בנק, חברת אשראי חוץ-בנקאי, פינטק או גוף מוסדי — היא מסמך ניהולי חי הממפה כל שימוש בבינה מלאכותית בארגון, מקשר בין השימוש לתהליך העסקי שהוא נוגע בו, ומגדיר לכל אחד בעלות, בקרות ורמת סיכון. היא נבנית ברזולוציה של מקרה שימוש ומודל, ולא ברזולוציה של נכס מערכתי או של סיכון-על תאגידי.

להבחנה מול מסמכים סמוכים יש משמעות מעשית: מרשם סיכונים תאגידי מתעד קטגוריות סיכון רוחביות ברמת הדירקטוריון; סקר סיכונים תפעוליים בוחן תהליכי עבודה וכשלים אנושיים ותהליכיים; מסמכי אבטחת מידע ומדיניות סייבר עוסקים בחסינות הנכסים הטכנולוגיים. מפת סיכוני AI מוסיפה שכבה שאינה מכוסה באף אחד מהם — התנהגות לא דטרמיניסטית של מודל, איכות הדאטה שהוא אומן עליו, ושרשרת האספקה של ספקי המודלים.

אילו מונחי יסוד חייבים להופיע בכל רשומה במפה?

מודל — רכיב סטטיסטי שמפיק פלט מתוך נתונים. מאפיינים שיש לתעד: ספק, גרסה, מקור אימון ורמת הסברתיות.
מקרה שימוש — התהליך העסקי הקונקרטי שבו המודל פועל, למשל חיתום אשראי או סיווג פניות. הסיכון נגזר מהשימוש, לא מהטכנולוגיה כשלעצמה.
בעלות על סיכון — שם בעל התפקיד בקו הראשון האחראי לתוצאה העסקית, לצד פונקציית הבקרה המלווה.
סיכון מובנה מול סיכון שיורי — רמת החשיפה לפני הפעלת בקרות לעומת הרמה שנותרת אחריהן; הפער ביניהם הוא הבסיס להחלטת קבלת סיכון.
הזיה — פלט שנשמע סמכותי אך אינו מבוסס על מקור אמיתי; קריטי בכל שימוש מול לקוח או בתיעוד רגולטורי.
הטיה אלגוריתמית — פער שיטתי בפלט בין אוכלוסיות, עם חשיפה משפטית וצרכנית בתהליכי אשראי וביטוח.
שימוש לא מאושר בבינה מלאכותית — כלים שעובדים מפעילים ללא אישור, מחוץ לבקרת הארגון.

LT RISKMGMT בונה מפות מסוג זה במסגרת שירות Chief AI Officer, לצד מפות הסיכונים הקיימות בארגון — תפעולי, ציות וסייבר.

אילו שלבים מרכיבים את בניית מפת סיכוני ה-AI, צעד אחר צעד?

בניית מפת סיכוני AI בגוף פיננסי מפוקח מתקדמת בשלבים סדורים, וכל שלב מסתיים בתוצר מוחשי שניתן להניח על שולחן הדירקטוריון או מול מבקר הפנים. הרצף מתאים לארגון שכבר מריץ פיילוטים של בינה מלאכותית אך טרם הגדיר מי אחראי על הסיכון שנוצר.

משמעות הדבר פשוטה: שימוש ב-AI שאינו מופיע במלאי הארגוני אינו מנוהל כלל, גם כשהוא כבר יושב בתוך תהליך ליבה כמו חיתום, שירות לקוחות או זיהוי הונאות.

מיפוי מלאי השימושים — איתור כל שימוש בבינה מלאכותית, כולל כלים שנכנסו ללא אישור דרך יחידות עסקיות או ספקים. תוצר: רשימת מלאי ובה בעלים עסקי, ספק, סוג המודל ומקורות הדאטה.
סיווג קריטיות עסקית — דירוג לפי השפעה על לקוח, על החלטה פיננסית ועל דיווח רגולטורי. תוצר: דירוג קריטיות לכל שימוש.
זיהוי הסיכונים לכל שימוש — פלט שגוי, הטיה, דליפת מידע רגיש, תלות בספק יחיד, פגיעה באיכות הדאטה וניצול לרעה לצורכי מעילה. תוצר: רישום סיכונים ייעודי לבינה מלאכותית.
הערכת הסתברות והשפעה — בשפת ה-NFR הקיימת בארגון, כלומר הסיכונים שאינם פיננסיים (תפעוליים, הונאות, סייבר, המשכיות עסקית), בהתאם לעקרונות מקובלים כגון ISO 31000. תוצר: מטריצת סיכון אחידה.
קביעת בעלי סיכון ובקרות — שיוך כל סיכון לבעלים מזוהה והגדרת בקרות מונעות ומגלות: אימות פלטים, בקרת גישה לדאטה, תיעוד החלטות ובדיקות אתגר למודל. תוצר: טבלת בעלות ובקרות.
תיעוד וממשל — ממשל בינה מלאכותית, כלומר מדיניות כתובה, גורם מאשר, נהלי קליטת מודל חדש ותיעוד שניתן להציג בביקורת. תוצר: מסמך מדיניות ונהלים נלווים.
מחזור עדכון תקופתי — הגדרת טריגרים לעדכון: מודל או גרסה חדשים, החלפת ספק, או שינוי רגולטורי כגון התקדמות היישום של EU AI Act. תוצר: לוח עדכונים וטריגרים מוגדרים.

בשירות ה-Chief AI Officer, LT RISKMGMT מלווה את השלבים האלה בכובע של ניהול סיכונים — מקבלת ההחלטה, דרך האימון ועד ההטמעה מול הלקוחות.

אילו קטגוריות של סיכוני AI צריך למפות, וכיצד מדרגים ביניהן?

סעיף זה מתמקד בשכבה אחת בלבד מתוך בניית מפת סיכוני AI בגוף פיננסי מפוקח: קטלוג קטגוריות הסיכון והדירוג ביניהן. מפת סיכוני AI היא מסמך מובנה המרכז את מקרי השימוש בבינה מלאכותית בארגון, את הסיכונים הנגזרים מהם ואת הבקרות המפצות. כל שורה במפה מתוארת באמצעות אותן תכונות: שם הקטגוריה, דוגמה עסקית מהעולם הפיננסי, הבקרה המרכזית, ודירוג חומרה בסולם של ארבע רמות — נמוך, בינוני, גבוה וקריטי. הדירוג נקבע כמכפלה של הסתברות ההתרחשות בעוצמת ההשפעה, בהתאם להיגיון של תקן ניהול הסיכונים ISO 31000, ומותאם לתיאבון הסיכון שאישר הדירקטוריון.

קטגוריית סיכון — דוגמה פיננסית — בקרה מרכזית — דירוג חומרה אופייני
סיכון מודל ודיוק — מודל חיתום אשראי שמייצר החלטות שגויות לאחר שינוי בהתפלגות הנתונים — ולידציה עצמאית ומדידת ביצועים תקופתית — גבוה
הטיה והוגנות — תמחור או דחיית בקשות באופן שאינו אחיד בין קבוצות לקוחות — בדיקות הוגנות ותיעוד הנמקה להחלטה — גבוה
פרטיות ודליפת מידע — הזנת נתוני לקוחות לכלי שפה חיצוני ללא סיווג מידע — סיווג דאטה ובקרות גישה ברוח ISO 27001 — קריטי
ספק, צד שלישי ו-API חיצוני — הסתמכות על ממשק מודל חיצוני ללא שקיפות לגרסאות — נספח אבטחה בחוזה וניטור שינויי גרסה — גבוה
מעילות והונאות בסיוע AI — התחזות קולית או מסמכים מזויפים בבקשת העברת כספים — אימות רב-שלבי ובקרת תהליך עסקי — קריטי
תפעולי והמשכיות עסקית — השבתת כלי AI המשובץ בתהליך שירות ליבה — תרחיש ייעודי בתכנית ההמשכיות העסקית (BCP) — בינוני-גבוה
רגולטורי ומוניטיני — פער מול דרישות ניהול בנקאי תקין או מול עקרונות ה-EU AI Act — מרשם מקרי שימוש ודיווח לוועדת סיכונים — גבוה
אנושי — הסתמכות יתר — עובד המאמץ פלט מודל כעובדה ללא בדיקה — נוהל "אדם בלולאה" והכשרה ממוקדת — בינוני

LT RISKMGMT כותבת מפה ייעודית כזו במסגרת שירות Chief AI Officer. הדירוג שבטבלה הוא נקודת מוצא, והוא מתעדכן עם כל מקרה שימוש חדש שנרשם במרשם הארגוני.

כיצד דרישות הפיקוח והרגולציה משפיעות על אופן בניית המפה כיום?

דרישות הפיקוח והרגולציה מעצבות את אופן בניית המפה — המסמך שממפה את שימושי הבינה המלאכותית בארגון מול הסיכונים והבקרות שלהם — כבר בשלב התכנון שלה. נכון ל-2026, ראוי שגוף פיננסי מפוקח בישראל יוכל להראות ממשל סיכונים מסודר לכל שימוש ב-AI, בהתאם לציפיות פיקוח מקובלות: בעלות מוגדרת על המודל, תיעוד החלטות ההטמעה, הסברתיות — היכולת להסביר כיצד התקבלה החלטה אוטומטית — ניהול ספקים חיצוניים, וחובות אבטחת מידע והגנת פרטיות החלות על הארגון ממילא. מסגרות מוכרות — ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע, לצד עקרון הסיווג לפי רמת סיכון שמוכר מחקיקת ה-EU AI Act — משמשות עוגן מתודולוגי שמאפשר למפה לדבר בשפה שהמפקח והמבקר הפנימי כבר מכירים.

הפעולה הנדרשת — הסיכון שיש לנטר לצידה — מה מצמצם אותו
סיווג כל שימוש ב-AI לפי רמת סיכון — סיווג נמוך מדי של כלים "קטנים" שנכנסו דרך יחידות עסקיות — רישום מרכזי של כלים, כולל אלה שנרכשו ללא מעורבות טכנולוגיה
תיעוד החלטות ההטמעה והאישור — תיעוד שנכתב בדיעבד ואינו משקף את שיקול הדעת בפועל — קיבוע נקודות אישור בתהליך עצמו, עם חתימת בעלים עסקי
דרישת הסברתיות מהמודל — הסתמכות על הצהרת ספק ללא יכולת אימות עצמאית — הגדרת מבחני ולידציה ו-AI Red Teams לפני עלייה לייצור
ניהול ספקים ומודלים חיצוניים — שרשרת אספקה שבה הספק עצמו נשען על מודל צד שלישי — מיפוי השרשרת בחוזה ובדיקת זכויות ביקורת ושימוש בדאטה
הגנת פרטיות ומידע לקוחות — זליגת מידע אישי לכלי ייצור תוכן פתוח — הגדרת סוגי מידע מותרים וחסימה טכנית בנקודת הקצה

בפועל, המפה נדרשת לתרגם את הציפיות האלה לשפה תהליכית: אילו תהליכים עסקיים נוגעים במודל, מי מאשר, מה נמדד ומתי מתבצעת בחינה חוזרת. LT RISKMGMT מלווה את ההיבט הזה דרך שירות Chief AI Officer, שבו ניהול הסיכונים עומד לצד ההיבטים המשפטיים, הרגולטוריים והתרבותיים.

מי צריך להיות שותף לתהליך, וכיצד משלבים את המפה בניהול סיכונים תפעוליים והמשכיות עסקית?

בתהליך בניית מפת סיכוני AI בגוף פיננסי מפוקח חייבים להיות שותפים ההנהלה הבכירה, מנהל/ת הסיכונים, הציות, הייעוץ המשפטי, אבטחת המידע, הטכנולוגיה והקווים העסקיים עצמם — והחיבור לניהול סיכונים תפעוליים ולהמשכיות עסקית נעשה דרך אותם כלים שכבר קיימים בארגון, ולא במסמך נפרד. חלוקת האחריות נשענת על מודל שלושת קווי ההגנה: מודל ממשל מקובל המפריד בין מי שמייצר את הסיכון, מי שמפקח עליו ומי שמבקר אותו.

קו הגנה — מי שותף — מה באחריותו במפת סיכוני ה-AI
קו ראשון — קווים עסקיים, פיתוח ו-IT, בעלי מודלים — זיהוי השימושים בפועל, איכות הדאטה, בקרות בתהליך העבודה
קו שני — מנהל/ת סיכונים, ציות, משפטי, CISO — הגדרת תיאבון הסיכון, בחינת ולידציה, היבטים רגולטוריים ומשפטיים
קו שלישי — ביקורת פנים — בחינת אפקטיביות הבקרות ודיווח לדירקטוריון

החיבור המעשי נעשה בשלושה מישורים שכבר מתוחזקים ממילא: סקר הסיכונים התפעוליים — שאליו מוזנים תרחישי ה-AI כסיכונים תפעוליים לכל דבר; תוכנית ההמשכיות העסקית (BCP) — התוכנית לאירועי חירום הממפה מערכות קריטיות וזמני התאוששות, שאליה נוספת התלות בספקי מודלים ובשירותי ענן; ומערך מניעת המעילות וההונאות — שכן יכולות יצירה ואוטומציה משנות את אופן ביצוען של הונאות בתהליך העסקי. מפת סיכוני AI מתיישנת בקצב שינוי המודלים והשימושים, לא בקצב מחזור הביקורת השנתי.

טעויות נפוצות ביישום:

בניית המפה כמסמך טכנולוגי בלבד, ללא מעורבות הקווים העסקיים שמפעילים את הכלים.
ניהול סיכוני הסייבר בנפרד מסיכוני המעילות — במקום מבט הוליסטי על התהליך העסקי.
היעדר בעלות מוגדרת: ללא גורם שמנהל את ה-AI ב-360 מעלות, אין מי שמתחזק את המפה.
דילוג על מיפוי שימושי AI "מתחת לרדאר" שהוטמעו ביחידות ללא אישור.

ארגונים בינוניים וגופים ממשלתיים שאינם מגייסים מנהל סיכונים במשרה מלאה נעזרים בשירות Risk Manager as a Service של LT Risk Management, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש.

שאלות נפוצות

מה כוללת מפת סיכוני AI ייעודית לגוף פיננסי מפוקח?

מפת סיכוני AI היא מסמך ניהולי שממפה כל שימוש בבינה מלאכותית בארגון — מודלים, ספקים, ממשקים ומשתמשים — ומצמיד לכל שימוש את הסיכונים, הבקרות והאחריות. בגוף פיננסי מפוקח היא נבנית סביב כמה שכבות:

דאטה — מקורות הנתונים, איכותם, הרשאות השימוש בהם והיבטי פרטיות.
אימות ותיקוף מודלים — כיצד נבדקת תקפות הפלט לפני העלייה לייצור ולאורך חיי המודל.
AI Red Teams — בדיקות יזומות של כשלים, הטיות ושימוש לרעה.
היבטים משפטיים ורגולטוריים — חוזי ספקים, אחריות מקצועית וחובות דיווח.
סיכון תפעולי ומעילות — נקודות שבהן מערכת מבוססת בינה מלאכותית נכנסת לתהליך עסקי בעל חשיפה כספית.

LT RISKMGMT כותבת מפת סיכוני AI ייעודית כחלק משירות Chief AI Officer, ומלווה את ההטמעה לכל אורך חייה.

מי אחראי על ניהול סיכוני הבינה המלאכותית — ה-CISO או ה-Chief AI Officer?

Chief AI Officer הוא הגורם שמנהל את הבינה המלאכותית בארגון ב-360 מעלות: אסטרטגיית השימוש, הדאטה, תיקוף המודלים, ההיבטים המשפטיים והסיכונים הנלווים. אבטחת המידע והסייבר הם אחת מזרועותיו ונשארים באחריות ה-CISO. בארגונים רבים החלוקה הזו עדיין לא מוגדרת, ולכן שלב ראשון בבניית המפה הוא קביעת בעלות ברורה לכל שכבת סיכון. ליאה צור, מנכ"לית LT RISKMGMT, מוסמכת Chief AI Officer מטעם Copenhagen Compliance, ומעניקה את השירות גם כליווי חיצוני לארגונים שאינם מאיישים את התפקיד פנימית.

איך מפת סיכוני AI מתחברת לרגולציה החלה על גופים פיננסיים בישראל?

מפת הסיכונים אינה מסמך עצמאי — היא מתכתבת עם מסגרת ניהול הסיכונים הקיימת בארגון. בבנקים זו מערכת הוראות ניהול בנקאי תקין (נב"ת) של הפיקוח על הבנקים בתחומי ניהול הסיכונים התפעוליים, טכנולוגיית המידע והסייבר; בגופים מפוקחים אחרים — חברות ביטוח, חברות אשראי ופינטקים — אלה הוראות הפיקוח המקבילות של הרגולטור הרלוונטי להם. לצד אלה עומדת תקינה בינלאומית מוכרת כמו ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע. ברמה הבינלאומית, EU AI Act מציב חובות מדורגות לפי רמת הסיכון של השימוש, והן רלוונטיות לגופים עם פעילות או ספקים באירופה. בניית המפה כוללת מיפוי של דרישות אלה אל מול השימושים בפועל, כדי שממצאי ביקורת פנימית וחיצונית יקבלו מענה מתועד.

האם אפשר לנהל את הסיכונים האלה בלי לגייס מנהל סיכונים במשרה מלאה?

כן. ארגונים בינוניים וגופים ממשלתיים רבים אינם מעוניינים באיוש משרה מלאה, אך נדרשים להציג פונקציית ניהול סיכונים מולם אחראית. שירות Risk Manager as a Service של LT RISKMGMT מספק מנהל/ת סיכונים במיקור חוץ: LT מהווה את התקן ומספקת את השירות בהתאם לנפח שהלקוח מבקש. במתכונת כזו ניתן להתחיל בכתיבת מפת סיכוני AI ובהקמת מסגרת הממשל, ולהרחיב את ההיקף ככל שהשימוש בבינה מלאכותית גדל.

מה זה BPT, ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT RISKMGMT, המאתרת חולשות בתהליך העבודה עצמו ולא רק בשכבת הטכנולוגיה, ונותנת מענה הוליסטי לסיכון סייבר, מעילה וטעות אנוש. זהו ניתוח סיכונים של התהליך, ולא מבדק חדירה טכנולוגי.

איזה ניסיון מעשי עומד מאחורי הליווי של LT RISKMGMT?

הליבה המקצועית היא סיכונים שאינם פיננסיים (NFR) — תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית (BCP) וכעת גם בינה מלאכותית. לפי LT RISKMGMT, מאחורי הליווי ניסיון של מעל 22 שנה בניהול סיכונים, לצד מאות הרצאות, הדרכות חווייתיות וחדשניות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI, עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות. בין הלקוחות המעידים על הייעוץ, ההדרכות וההרצאות: בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים.

איך מתחילים תהליך של בניית מפת סיכונים כזו?

ארגון שמעוניין בליווי יכול לפנות ישירות ל-LT RISKMGMT. לפי דף יצירת הקשר של LT RISKMGMT, פניות ראשוניות נענות תוך 24 שעות — מחויבות שירות לפנייה הראשונה. ארגונים שמעוניינים קודם כול לבנות יכולת פנימית יכולים להפנות עובדים לקורס ההסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, שעל פי דף הקורס של LT RISKMGMT מתקיים בהיקף כ-40 שעות אקדמיות וכולל סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם. הקורס מוכר על ידי IRM (Institute of Risk Management).

על המאמר הזה

LT RISKMGMT מפרסמת מאמר זה בשמה והיא אחראית לדיוקו. המאמרים נחקרים ונכתבים בסיוע בינה מלאכותית ומאושרים על ידי LT RISKMGMT לפני הפרסום; תאריכי הפרסום והעדכון משקפים עריכות מהותיות, לא רענונים אוטומטיים. עודכן לאחרונה: 2026-10-01

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר