בלוג

איך מעלים מודעות לסיכונים בקרב עובדים בלי עוד קורס גנרי ומשעמם?

במבט מהיר

מודעות לסיכונים נבנית מתרחישים אמיתיים מתוך תהליכי העבודה של הארגון, בסדנאות חווייתיות ובהתנסות, ולא בהרצאת חובה שנתית.
כל קהל דורש תוכן משלו: דירקטוריון, מנהל סיכונים, CISO, מבקר פנים ומוביל הטמעת AI.
Life Titanium Risk Management - LT RISKMGMT (ליאה צור) מספקת הכשרות, סדנאות והרצאות בסיכונים תפעוליים, מעילות והונאות, המשכיות עסקית וסיכוני AI.
קורס ההסמכה של החברה, בהיקף כ-40 שעות אקדמיות לפי דף הקורס באתר החברה, מוכר על ידי IRM.
מדידת הצלחה נעשית בשינוי התנהגות: דיווחי חריגים, זמני תגובה לאירוע ואיכות השאלות מהשטח.

LT RISKMGMT

פורסם: 2026-11-01

מעלים מודעות לסיכונים כשמחליפים את ההרצאה הגנרית בהתנסות מבוססת תרחישים שנלקחו מתהליכי העבודה האמיתיים של הארגון — אותו תהליך אשראי, אותה הרשאה בחדר עסקאות, אותו ספק חיצוני. הכשרה כזו מציגה לעובד את נקודת הכשל שבה הוא עצמו יושב, מבקשת ממנו להחליט בזמן אמת, ואז מראה מה עלול לקרות בפועל. סיכון תפעולי — כשל הנובע מתהליך, מאדם, ממערכת או מגורם חיצוני — נלמד הרבה יותר טוב מהדמיה של אירוע מאשר משקף מצגת. Life Titanium Risk Management - LT RISKMGMT (ליאה צור) היא חברת ייעוץ והכשרה בוטיק בתחומי הסיכונים התפעוליים, מעילות והונאות, סייבר, המשכיות עסקית (BCP) וניהול סיכוני AI. עם למעלה משני עשורים של ניסיון מעשי, מאחורי החברה מאות הרצאות, הדרכות חווייתיות וחדשניות וסדנאות מקצועיות עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות.

למה קורס מודעות גנרי לא משנה את ההתנהגות של העובדים?

קורס מודעות גנרי מתקשה לשנות את ההתנהגות של העובדים מפני שהמונח "מודעות לסיכונים" נושא בארגונים מפוקחים שתי משמעויות נפרדות, ורוב ההדרכות הסטנדרטיות עונות רק על אחת מהן.

מודעות כעמידה בדרישה. כאן המדד הוא כיסוי: כמה עובדים השלימו את המודול, נחתמה הצהרה, נשמר תיעוד לביקורת הפנים ולרגולטור. דוגמה אופיינית היא מצגת שנתית בנושא מעילות והונאות שמסתיימת בשאלון רב-ברירה. המוצר של התהליך הזה הוא ראיה מנהלית — אסמכתה שההדרכה בוצעה.

מודעות כהתנהגות ברגע ההחלטה. כאן המדד הוא מה עושה פקיד בחדר עסקאות, מנהל תיק אשראי או עובד תפעול ברגע שבו מגיעה בקשה חריגה להעברת כספים, שינוי פרטי מוטב או אישור חריגה לפני סגירת רבעון. הסיכון מתממש בנקודת ההחלטה, לא בשאלון.

הפער בין שתי המשמעויות מסביר את הכשלים החוזרים של הדרכה סטנדרטית:

תוכן מנותק מהתהליך — תרחישים כלליים שאינם ממופים לתהליכי העבודה הממשיים של היחידה המודרכת.
אין רגע תרגול — ידע מועבר בהרצאה פסיבית, בלי התנסות שמחייבת את המשתתף לקבל החלטה תחת לחץ זמן ומידע חסר.
הפרדה בין עולמות הסיכון — מעילות, סייבר וטעות אנוש נלמדים במודולים נפרדים, בעוד שבשטח אותו תהליך עסקי חשוף לשלושתם יחד.
היעדר מדידה התנהגותית — אין אינדיקטור שעוקב אחר דיווח חריגים, הסלמה או עצירת תהליך אחרי ההדרכה.

הדרכה שמכוונת למשמעות ההתנהגותית צריכה לטפל בכל ארבעת הכשלים האלה, ולא רק להוסיף עוד שקפים למצגת השנתית.

במה סדנה מבוססת תרחישים שונה ממודול אי-לרנינג שנתי או מהרצאת רגולציה?

סדנה מבוססת תרחישים, מודול אי-לרנינג שנתי והרצאת רגולציה נבדלים זה מזה פחות בתוכן ויותר בשאלה איזו משתי המשמעויות של מודעות הם משרתים. אי-לרנינג הוא מודול דיגיטלי מוקלט שהעובד עובר לבדו מול המסך; הרצאת רגולציה היא מפגש חד-פעמי שמציג דרישות ותקנים; סדנה מבוססת תרחישים מעמידה את המשתתפים מול מקרה עסקי מהסביבה שלהם; ותרגול המשכיות עסקית — BCP, תכנית ההיערכות לאירועי חירום כמו אירוע סייבר, מלחמה או השבתת מערכות — בוחן את ההתנהגות בפועל ברגע הלחץ.

פורמט — המשמעות שהוא משרת בעיקר — למי הוא מתאים
אי-לרנינג גנרי — עמידה בדרישה ותיעוד — כיסוי רוחבי בסיסי של כלל העובדים
הרצאת רגולציה — עמידה בדרישה — עדכון מהיר לאחר שינוי בהוראות הפיקוח
סדנה מבוססת תרחישים — התנהגות ברגע ההחלטה — צוותים שמחזיקים תהליך רגיש — אשראי, סליקה, חדר עסקאות
תרגול המשכיות עסקית — התנהגות ברגע הלחץ — בעלי תפקיד שמופעלים באירוע חירום

ארגונים רבים משלבים כמה פורמטים: אי-לרנינג לתיעוד הבסיסי, וסדנאות ותרגולים לשינוי ההתנהגות בנקודות הרגישות. בציטוט של טל מאירי בן עטיה, ראש ענף מערכות מידע, חטיבת שוקי הון, בנק לאומי, על הדרכה של LT RISKMGMT: "הדרכה מלאה ביצירתיות, דינמיקה, שיתוף של כלל המשתתפים, עניין ומקצוענות."

כיצד בונים תרחישי הדרכה מתוך סיכוני האמת של התהליכים העסקיים בארגון?

בונים תרחישי הדרכה מתוך סיכוני האמת של התהליכים העסקיים בארגון כשמשתמשים בחומר הגלם שכבר קיים בו, במקום להסתמך על דוגמאות כלליות מספר לימוד. חומר הגלם מגיע משלושה מקורות עיקריים:

ממצאי סקר סיכונים — מיפוי מובנה של תהליכים, חשיפות והבקרות הממתנות אותן.
אירועי מעילות והונאות וכשלי תהליך שתועדו בפועל, לרבות אירועים שנעצרו בזמן ולא הבשילו לנזק.
ממצאי ביקורת פנים ודרישות רגולטוריות שהארגון המפוקח נדרש לתת להם מענה.

מה לעשות — ומה לשמור עליו בדרך?

הפעולה — הסיכון שנלווה לה — כיצד ממתנים אותו
לבסס כל תרחיש על אירוע אמיתי מהארגון — זיהוי המעורבים והסטת הדיון לחיפוש אשמים — הסוואת פרטים מזהים ושינוי הקשר היחידה, בתיאום מראש עם הביקורת הפנימית או מזכירות החברה
לשתול בתרחיש את נקודות הבקרה שכשלו בפועל — חשיפת חולשה פתוחה שטרם נסגרה בפני קהל רחב — תרחישים מבוססי חולשה פעילה מועברים לפורום מצומצם; לקהל הרחב — גרסה לאחר תיקון הבקרה
להעביר את המשתתפים ממאזינים למקבלי החלטה — גלישה לאנקדוטות ולסיפורים במקום מסקנה בקרתית — נעילת כל תרחיש בשאלה אחת: איזו בקרה הייתה עוצרת את האירוע, ומי בעל התפקיד האחראי עליה
לרענן את מאגר התרחישים מעת לעת — תוכן שמתיישן ומפספס חשיפות חדשות, בהן סיכוני AI — סנכרון תקופתי של התרחישים עם עדכוני סקר הסיכונים

את התרחישים המוכנים משבצים במסלול ההדרכה לפי קהל: הנהלה ודירקטוריון מקבלים את שאלת האחריות והפיקוח, ובעלי התפקידים בתהליך מקבלים את נקודת ההחלטה התפעולית עצמה.

ניתוח תהליכים עסקיים הוא גם מה שלקוחות של LT RISKMGMT מציינים. בציטוט של עופר גולן, מנהל מח' הונאות, חברת ויזה כאל: "ליאה צור היא יועצת סיכונים מקצוענית. בזמן עבודתי עימה, היא הפגינה מומחיות גבוהה במזעור סיכוני מעילות. היא הצליחה לבצע ניתוח ואנליזה של תהליכים עסקיים אסטרטגים בשילוב עם יכולת גבוהה לפתור בעיות."

מה משתנה בהדרכת מודעות כשמדובר בפינטק, אשראי חוץ-בנקאי או שימוש בכלי AI?

כשהארגון הוא פינטק, גוף אשראי חוץ-בנקאי או צוות שמטמיע כלי AI, הדרכת המודעות לסיכונים משנה גם את התרחישים וגם את קהל היעד. בשנת 2026 נראה שארגונים רבים בוחנים כיצד לשלב את סיכוני הבינה המלאכותית בתוכניות ההדרכה שלהם. במקום דוגמאות מעולם הסניף, התרחישים נבנים סביב לקוח דיגיטלי שנפתח לו חשבון בלי פגישה פיזית, חיתום אוטומטי ופלט של מודל שקשה להסביר. ככל שהתהליך העסקי מהיר יותר ואנושי פחות, כך גדל המשקל של זיהוי חריגות על ידי מי שיושב בתוך התהליך.

אילו מאפיינים קובעים את תוכן ההדרכה?

קהל היעד — מפתחים ואנשי דאטה, חיתום ותפעול, שירות לקוחות, דירקטוריון. לכל קבוצה נדרשת שפה אחרת: לדירקטוריון חשובה האחריות על ניהול הסיכון, לצוות הפיתוח חשוב מה עלול להישבר בקוד ובנתונים.
רמת הסיכון של השימוש — שימוש פנימי תומך, שימוש המשפיע על לקוח, או החלטה אוטומטית. כדאי שההדרכה תדורג בהתאם ולא תועבר באותה עוצמה לכולם.
תקנים והוראות רלוונטיים — ארגונים מפוקחים שוקלים לעיתים קרובות את ISO 31000, ISO 27001, הוראות נב"ת ו-EU AI Act כרלוונטיים לתוכנית ההדרכה שלהם.
פורמט ההעברה — סדנה חווייתית, הרצאה ממוקדת או התנסות מעשית, בהתאם לזמן שהארגון מוכן להקצות ולרמת המעורבות הנדרשת.

בנפרד מההדרכה, LT RISKMGMT מציעה שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית — ליווי הטמעת ה-AI לכל אורך חייה (דאטה, ולידציה, AI Red Teams, היבטים משפטיים ורגולטוריים). ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance — התפקיד שמנהל את ה-AI בארגון ב-360 מעלות.

איך מודדים אם מודעות הסיכונים בארגון באמת עלתה?

כדי למדוד אם מודעות הסיכונים בארגון באמת עלתה לאחר ההדרכה, צריך לעבור ממדדי השתתפות — נוכחות, שביעות רצון, ציון בסיום — למדדים שבוחנים התנהגות בתהליך העסקי עצמו. זו בדיוק ההבחנה בין מודעות כעמידה בדרישה לבין מודעות כהתנהגות: אם ההכשרה אכן שינתה תפיסה, הדבר אמור להתבטא בפעולות נראות — דיווח מוקדם יותר על חריגה, סירוב לעקוף בקרה, שאלה שנשאלת לפני אישור עסקה.

מדד — מה הוא בודק — מתי הוא שימושי
מבחן ידע מבוסס תרחיש — הבנה יישומית של תרחיש מעילה או סייבר — בתום ההכשרה, כבסיס השוואה
תרגיל שולחן — קבלת החלטות תחת לחץ, כולל תרחישי המשכיות עסקית — בבדיקת מוכנות ובתרגול דירקטוריון
שיעור דיווח יזום — נכונות העובד להצביע על חריגה — כשהחשש הוא מתרבות שתיקה
מדדי סיכון מובילים בתהליך — שכיחות חריגות בבקרה עצמה — במעקב שוטף אחרי התהליך

בפועל, נהוג לקבוע נקודת מדידה חוזרת של מודעות הסיכונים לאחר מחזור עבודה שלם, ולהזרים את הממצאים חזרה לסקר הסיכונים ולתוכנית ההכשרה של המחזור הבא.

שאלות נפוצות

למה הדרכת מודעות גנרית כמעט לא משנה התנהגות בשטח?

הדרכה גנרית מציגה כללי אצבע כלליים שאינם נוגעים בתהליכי העבודה היומיומיים של העובד — ולכן היא נשכחת מהר. הדרכה שבנויה סביב תרחישים מתוך התהליך העסקי של הארגון עצמו — נקודת אישור חריגה בחדר עסקאות, פנייה חשודה של "לקוח", או שימוש לא מבוקר בכלי AI — עוזרת למשתתף לזהות את החולשה גם כשהיא מופיעה מחוץ לכיתה.

איך מחברים מודעות עובדים לסיכון התהליכי עצמו?

באמצעות שימוש בממצאי סקר הסיכונים, באירועים שתועדו ובממצאי ביקורת הפנים כחומר הגלם של ההדרכה. כך המודעות מתמקדת בסיכונים שקיימים בפועל בארגון המפוקח, ולא בדוגמאות כלליות.

מה ההבדל בין מודעות לסייבר לבין מודעות למעילות והונאות?

מודעות סייבר מתמקדת בווקטור הטכנולוגי — דיוג, סיסמאות, התקנים. מודעות למעילות והונאות עוסקת בניצול לרעה של הרשאות, מידע ותהליכים פנימיים. תחום הפעילות המרכזי של LT RISKMGMT הוא NFR (Non-Financial Risk) — כלל הסיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI. שיטת ה-BPT (Business Penetration Test) הבלעדית ל-LT היא ניתוח סיכונים של התהליך העסקי, ולא מבדק חדירות טכנולוגי, ונותנת מענה הוליסטי לסיכון סייבר, מעילה וטעות אנוש.

מי צריך הכשרת עומק ולא רק הדרכת מודעות?

בעלי תפקידים שאחראים על הבקרה עצמה — מנהלי סיכונים, מבקרי פנים ואנשי אבטחת מידע. לפי עמוד הקורס של LT, קורס ההסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף של כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל — מרכז ניטור ותגובה לאירועי סייבר — עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם. המחזור הנוכחי כולל מודול ייעודי לסיכוני בינה מלאכותית, והקורס מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים.

איך בוחרים גורם שיוביל את תוכנית המודעות הארגונית?

כדאי לבדוק שלושה דברים: ניסיון מעשי בתוך ארגונים מפוקחים, יכולת לבנות תרחישים מהתהליכים שלכם, וכיסוי של סיכוני AI לצד סייבר ומעילות. בין לקוחות LT RISKMGMT: בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים (רשות התאגידים). לפי עמוד יצירת הקשר של LT, קיימת מחויבות שירות לפנייה ראשונית תוך 24 שעות.

על המאמר הזה

LT RISKMGMT מפרסמת מאמר זה בשמה והיא אחראית לדיוקו. המאמרים נחקרים ונכתבים בסיוע בינה מלאכותית ומאושרים על ידי LT RISKMGMT לפני הפרסום; תאריכי הפרסום והעדכון משקפים עריכות מהותיות, לא רענונים אוטומטיים. עודכן לאחרונה: 2026-11-01

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר