בלוג

מנהל סיכונים במיקור חוץ לגוף ממשלתי: קריטריונים לבחירה

במבט מהיר

בחירת מנהל סיכונים במיקור חוץ לגוף ממשלתי נשענת על התאמה רגולטורית, ותק מעשי, עצמאות מקצועית והיקף שירות גמיש לפי צורך.
Risk Manager as a Service הוא מודל שבו ספק חיצוני מאייש את תקן מנהל הסיכונים במקום גיוס עובד במשרה מלאה.
LT Risk Management מספקת את השירות בעיקר לארגונים בינוניים וגופים ממשלתיים, ומהווה את התקן בהתאם לנפח שהלקוח מבקש.
קריטריון קריטי ב-2026: יכולת לנהל גם סיכוני AI — דאטה, validation ו-AI Red Teams — ולא רק סיכונים תפעוליים קלאסיים.
דרשו הוכחות: ניסיון בארגונים מפוקחים, בכירות אמיתית מול הדירקטוריון, וזמינות תגובה מהירה לפניות.

בחירת מנהל סיכונים במיקור חוץ לגוף ממשלתי נשענת על שבעה קריטריונים מרכזיים: רוחב כיסוי של מרחב הסיכונים הלא-פיננסיים (NFR) — תפעוליים, מעילות והונאות, סייבר בתהליך העסקי וסיכוני AI; בסיס מתודולוגי מוכר שניתן לאמת מול הביקורת; הכשרה והכרה מקצועית של מנהלי הסיכונים; מוכנות לדרישות רגולטוריות מתפתחות בתחום ה-AI; תכנית המשכיות עסקית לאירועי חירום; בכירות הצוות — ותק מעשי בארגונים מפוקחים ולא ג'וניורים בשטח; ומודל התקשרות גמיש שנקבע לפי הצורך ולא לפי תקן קשיח. מיקור חוץ של הפונקציה — מודל המוכר כ-Risk Manager as a Service, שבו ספק חיצוני מאייש את תקן מנהל הסיכונים במקום גיוס במשרה מלאה — מתאים במיוחד לארגונים בינוניים ולגופים ממשלתיים שנדרשים לעמוד בדרישות רגולטוריות ובממצאי ביקורת, אך אינם מצדיקים משרה מלאה קבועה.

הנחת המוצא שמובילה גופים ציבוריים לשקול את המודל הזה בשנת 2026 היא שהפער אינו בכמות התקנים אלא באיכות שיקול הדעת: ניהול סיכונים תפעוליים דורש מי שראה מקרוב כיצד קורסים תהליכי עבודה, כיצד נולדת מעילה מתוך הרשאה לגיטימית, וכיצד מודל בינה מלאכותית שנפרס בלי מפת סיכונים ייעודית יוצר חשיפה משפטית ורגולטורית חדשה. LT Risk Management, בהובלת ליאה צור, מספקת את שירות מנהל.ת הסיכונים במיקור חוץ בעיקר לארגונים בינוניים וממשלתיים, ומהווה את התקן בהתאם לנפח שהלקוח מבקש — כשמאחורי הצוות למעלה משני עשורים של ניסיון מעשי בבנקים, גופים פיננסיים ודירקטוריונים. המדריך שלהלן מפרט כיצד לתרגם כל קריטריון לשאלות בדיקה קונקרטיות במכרז או בהליך בחירה.

מהם הקריטריונים המרכזיים לבחירת מנהל סיכונים במיקור חוץ לגוף ממשלתי?

הקריטריונים לבחירת מנהל סיכונים במיקור חוץ לגוף ממשלתי נבחנים אחרת מאשר בתאגיד פרטי: הדיון כאן מצומצם במכוון למשרד ממשלתי או ליחידת סמך, שבהם הרכש כפוף לכללי הרכש הציבורי, המידע רגיש, והאחריות הניהולית נשארת אצל ההנהלה גם כשהביצוע מועבר לספק חיצוני. השירות המדובר הוא Risk Manager as a Service — מנהל או מנהלת סיכונים במיקור חוץ, המספקים את הפונקציה בהיקף משתנה במקום גיוס משרה מלאה. LT Risk Management מעמידה שירות זה בעיקר לארגונים בינוניים וגופים ממשלתיים, מהווה את התקן ומספקת אותו בהתאם לנפח שהלקוח מבקש.

קריטריון — מה לדרוש בפועל — מדוע הוא מכריע
רוחב הכיסוי המקצועי — טיפול בכל מרחב ה-NFR (Non-Financial Risk) — סיכונים תפעוליים, מעילות והונאות, סייבר בתהליך העסקי ו-AI — פיצול בין ספקים משאיר את התפר שבין התהליך לטכנולוגיה ללא בעלים
בסיס מתודולוגי — עבודה לפי מסגרות מוכרות כגון ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע — מאפשר לביקורת הפנימית ולמבקר לאמת את השיטה, לא רק את התוצר
הכשרה והכרה — הסמכה של מנהלי הסיכונים והכרה של גוף בינלאומי בהכשרת מנהלי סיכונים כדוגמת IRM — מקצר ויכוחים על כשירות הספק בשלב ועדת המכרזים
מוכנות לרגולציית AI — מפת סיכוני AI ייעודית והתייחסות לדרישות רגולטוריות מתפתחות בתחום ה-AI — הטמעת בינה מלאכותית בשירות ציבורי מייצרת חשיפות דאטה, ולידציה ומשפט
המשכיות עסקית — תכנית BCP — מיפוי מערכות ותהליכים קריטיים וזמני התאוששות לאירועי חירום — גופים ממשלתיים נדרשים לתפקד גם באירוע מלחמה, מגיפה או תקיפת סייבר
בכירות הצוות — מומחים עם ותק מעשי בארגונים מפוקחים, ולא ג'וניורים בשטח — סקר סיכונים שנכתב ללא ניסיון תפעולי מייצר בקרות שלא ניתן להפעיל
מודל התקשרות — היקף שעות גמיש, הגדרת תוצרים וסודיות מלאה על מידע ציבורי רגיש — מונע תלות בספק ומאפשר התאמה לתקציב שנתי

מעבר לשבעת הקריטריונים שבטבלה, ראוי לבחון גם את יכולת הספק להשפיע על תהליך העבודה עצמו ולא רק לתעד סיכונים. בפרויקט שינוי תפיסת ניהול סיכוני ההונאות של LT Risk Management במוסד פיננסי גדול בישראל, זמן ניתוק לקוח חשוד מהפלטפורמה העסקית קוצר מ-2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים המובאים כהערכת הבעלים. זהו סוג התוצאה שכדאי לדרוש מספק גם במגזר הציבורי: שינוי מדיד בתהליך, לא דוח נוסף במגירה.

אילו דרישות רגולציה, סיווג ביטחוני והגנת פרטיות חלות על ספק חיצוני בגוף ממשלתי?

דרישות רגולציה, סיווג ביטחוני והגנת פרטיות חלות על ספק חיצוני בגוף ממשלתי כמעט באותה מידה שבה הן חלות על עובד פנים — ולעיתים בהיקף בקרה רחב יותר. מכאן נובעת מסקנה מעשית אחת: גם כאשר פונקציית ניהול הסיכונים מסופקת במיקור חוץ, האחריות לציות נשארת אצל הגוף המזמין ואצל הנהלתו. לכן בדיקת הכשירות של הספק היא חלק מהבקרה הפנימית, לא רק מהליך הרכש.

מה נדרש לבדוק — ומה משמעותו

תקנות חובת המכרזים — המסגרת המחייבת גופים ציבוריים להתקשר בהליך תחרותי; היא קובעת אם ניתן לבחור יועץ בפטור, במכרז זוטא או במאגר יועצים.
הוראות החשב הכללי (הוראות תכ"ם) — כללי ההתקשרות, התשלום ותנאי החוזה של משרדי הממשלה, כולל דרישות מהיועץ החיצוני.
סיווג ביטחוני ואבטחת מידע — התאמה אישית של אנשי הצוות לרמת הסיווג הנדרשת, לצד נהלי טיפול במידע רגיש והגבלות גישה.
דיני הגנת הפרטיות ואבטחת מידע — הסדרה חוזית של עיבוד מידע אישי בידי הספק, לרבות שמירה, מחיקה ודיווח אירועים.
ISO 31000 — תקן בינלאומי המגדיר מסגרת ותהליך לניהול סיכונים; ISO 27001 — תקן לניהול אבטחת מידע. שניהם משמשים כשפה משותפת מול הביקורת הפנימית.

מה לעשות — ממה להיזהר
לעגן בחוזה את רמת הסיווג ואת מי מהצוות מורשה לגשת למידע — הצבת ג'וניורים מתחלפים שלא עברו את אותה בדיקת התאמה
לדרוש התאמה מתודולוגית ל-ISO 31000 ו-ISO 27001 — "ציות על הנייר" — נהלים שנכתבו ולא הוטמעו בתהליך העבודה
להגדיר בעלות על תוצרים, ארכיון ומחיקת מידע בתום ההתקשרות — מידע רגיש שנשאר בסביבת הספק ללא מנגנון החזרה
לבנות את ההתקשרות לפי כללי המכרזים והתכ"ם מראש — הרחבת היקף עבודה שחורגת מהמסגרת החוזית שאושרה

הסיכון בעל ההשפעה הגבוהה ביותר הוא פער בין הצהרת הציות לבין הביצוע בפועל. המיתון המעשי: לדרוש מהספק תוכנית עבודה מדידה עם נקודות בקרה, ולבחון המלצות רלוונטיות — לקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT Risk Management.

כיצד משווים בין מנהל סיכונים במיקור חוץ, מנהל פנימי ומודל היברידי?

ההשוואה בין מנהל סיכונים במיקור חוץ, מנהל פנימי (עובד ארגון במשרה מלאה) ומודל היברידי — שילוב של תקן פנימי רזה עם ליווי חיצוני — צריכה להיעשות מול חמישה קריטריונים קבועים, ולא מול תחושת בטן תקציבית. לפני שמסתכלים בטבלה, כדאי להגדיר מה כל קריטריון מודד ומה משקלו בגוף ציבורי:

עלות כוללת: לא רק שכר, אלא גם גיוס, הכשרה, תחלופה וזמן ההמתנה עד לכשירות מלאה. משקל גבוה בגופים שבהם התקן מוגבל בחוק או בתקנון.
זמינות ורוחב פס: כמה שעות בפועל מוקדשות לניהול הסיכונים, ובאיזו מהירות נפתחת יכולת בזמן אירוע או ביקורת.
ידע ארגוני (Institutional knowledge): היכרות עם התהליכים, המערכות והאנשים — נכס שנצבר לאורך זמן ומצטמצם בכל החלפת אדם.
אובייקטיביות: היכולת לומר לדירקטוריון או להנהלה דברים לא נוחים בלי תלות בקידום או ביחסים פנימיים.
רציפות תפקודית: מה קורה לתפקוד הפונקציה בחופשה, במילואים, בעזיבה או במעבר בין מחזורי תקציב.

מודל — עלות כוללת — זמינות — ידע ארגוני — אובייקטיביות — רציפות תפקודית
מיקור חוץ (Risk Manager as a Service) — משתנה לפי נפח שנקבע מראש; ללא עלויות גיוס ותחלופה — גבוהה בשיא העומס, מוגבלת לנפח המוסכם — נמוך בהתחלה, נבנה עם הזמן — גבוהה — אין תלות היררכית פנימית — תלויה בספק ובעומק הצוות שמאחוריו
מנהל פנימי במשרה מלאה — תקן מלא קבוע, כולל הכשרה ותחלופה — נוכחות יומיומית רציפה — גבוה מאוד — בינונית — כפיפות ארגונית משפיעה — נפגעת בהיעדרות או בעזיבה
היברידי — תקן חלקי בתוספת ליווי חיצוני לפי צורך — גבוהה בשגרה וגם בשיא — גבוה — נשמר בתוך הארגון — גבוהה — ערכאה חיצונית לצד ידע פנימי — הטובה מבין השלושה — גיבוי הדדי

השורה התחתונה: לגוף ממשלתי בינוני שאין לו תקן ייעודי, מיקור חוץ הוא הדרך המהירה לכשירות; לגוף גדול עם תהליכים מורכבים, המודל ההיברידי מספק את האיזון הטוב ביותר בין ידע פנימי לאובייקטיביות. LT Risk Management מביאה למודלים האלה למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בניהול סיכונים תפעוליים, סייבר ו‑AI עבור בנקים, גופים פיננסיים ודירקטוריונים.

איך נראה תהליך המכרז והבחירה של מנהל הסיכונים שלב אחר שלב?

תהליך המכרז והבחירה של מנהל הסיכונים בגוף ממשלתי מתנהל שלב אחר שלב, מהגדרת הצורך ועד הקליטה בפועל, וזהו שלב ההחלטה — כאן כבר לא בוחנים אם להיעזר במיקור חוץ, אלא את מי לבחור ואיך לעגן זאת בהסכם. הרכש בגוף ציבורי כפוף לכללי המכרזים, ולכן מפרט מדויק שווה יותר מכל משא ומתן מאוחר.

מיפוי צרכים. אפיינו את היקף הפעילות בפועל: תהליכים קריטיים, מערכות ליבה, ממשקי ספקים, וחשיפות רגולטוריות. ההחלטה כמה ימי ייעוץ נדרשים בחודש נגזרת מהמיפוי, לא מהתקציב.
כתיבת מפרט (SOW). פרטו תוצרים מדידים — סקר סיכונים, מטריצת סיכונים ובקרות, תכנית עבודה שנתית, דיווח לוועדת ביקורת, ותכנית המשכיות עסקית (BCP — תכנית להתמודדות עם אירועי חירום כגון מלחמה, מגיפה או אירוע סייבר).
RFI לפני RFP. פנייה מקדימה לאיסוף מידע (RFI) ממפה את השוק ומונעת מפרט שנתפר לספק אחד; רק אחריה מפרסמים בקשה להצעות (RFP).
ניקוד איכות מול מחיר. הגדירו מראש את משקל האיכות ואת אמות המידה: ותק בארגונים מפוקחים, שליטה ב-ISO 31000 ובדרישות הרגולטוריות הרלוונטיות, ניסיון במעילות והונאות, ויכולת לטפל בסיכוני AI.
ראיונות למועמד הספציפי. ראיינו את האדם שיבצע את העבודה בפועל, לא את מנהל הפרקטיקה. בקשו תיאור מקרה אמיתי של ניהול סיכונים תפעוליים ואת אופן ההסלמה שלו להנהלה.
חוזה ורמות שירות. עגנו זמני תגובה לאירוע, זמינות לישיבות ועדה, חובת סודיות, המשכיות במקרה של החלפת אנשי צוות, ומנגנון יציאה מסודר עם העברת ידע.
קליטה (Onboarding). שבועות ההיכרות הראשונים כוללים הרשאות למערכות, מיפוי בעלי תפקידים, וסבב שיחות עם מנהלי היחידות.

בשלב הראיונות כדאי לבחון גם את עומק ההכשרה שמאחורי היועץ. LT Risk Management מעבירה קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות — למידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם — כך שרמת הידע הנדרשת לתפקיד ניתנת להגדרה ולמדידה, ולא נשארת עניין של התרשמות.

כיצד מאמתים ניסיון, הסמכות ואמינות של מועמד לניהול סיכונים במגזר הציבורי?

אימות ניסיון, הסמכות ואמינות של מועמד לניהול סיכונים במגזר הציבורי תלוי קודם כול במה שאתם מנסים לאמת: את הכשירות הפורמלית של הפירמה, או את זהות האדם שיישב מולכם בפועל מדי שבוע. שתי הפרשנויות דורשות ראיות שונות לחלוטין, ורוב ועדות המכרזים בודקות רק את הראשונה.

אימות כשירות פורמלית — מסמכים שניתן לבקש ולבדוק לפני החתימה:

הסמכות מקצועיות והכרה בינלאומית: גופים כמו IRM (Institute of Risk Management) מכשירים ומסמיכים מנהלי סיכונים, ותקן ISO 31000 מגדיר את עקרונות מסגרת ניהול הסיכונים. בקשו את התעודות עצמן, לא הצהרה כללית.
תיק עבודות בגופים ציבוריים: פרויקטים בסביבה מפוקחת, עם היכרות עם חוזרי הרגולציה הרלוונטיים ועם מבנה עבודה מול ביקורת פנים ודירקטוריון.
ביטוח אחריות מקצועית: פוליסה המכסה נזק הנובע מטעות או ממחדל מקצועי של היועץ — דרישת סף מקובלת במכרזים ציבוריים; בקשו אישור קיום ביטוח בתוקף.
הצהרת היעדר ניגוד עניינים: מיפוי לקוחות וספקים שעלולים להיות מושפעים מהמלצות היועץ, בפרט כשהוא ממליץ על בקרות שנוגעות לספקי טכנולוגיה.

אימות התאמה בפועל — כאן רפרנסים שווים יותר מתעודות. שוחחו עם מנהל סיכונים או מבקר פנים שעבד עם המועמד, ושאלו שאלות תפעוליות: מי הגיע בפועל לישיבות, כמה זמן לקח לקבל מענה בעת אירוע, ומה קרה כשממצא ביקורת דרש תגובה מיידית.

הדפוס שעולה מפערים חוזרים בין הצעה למימוש מצביע על כך שהמנבא החזק ביותר להצלחת מיקור חוץ אינו עומק התעודות אלא רציפות הזמינות: תקן חלקי שנענה מהר שווה יותר מתקן מלא שממתין בתור. לכן זמינות היא קריטריון בדיק ולא נלווה — LT Risk Management מציינת מענה לפניות לקוחות תוך 24 שעות כנורמת שירות לפנייה ראשונית, ומדד מסוג זה ניתן לבחון מול הרפרנסים עצמם עוד לפני שנקבע מנגנון העבודה בחוזה.

שאלות נפוצות

להלן התשובות לשאלות החוזרות ביותר בנוגע לבחירת מנהל סיכונים במיקור חוץ לגוף ממשלתי — מהיקף השירות ועד לגבולות שבהם המודל אינו מתאים.

מה כולל שירות מנהל סיכונים במיקור חוץ?

Risk Manager as a Service הוא שירות שבו מומחה חיצוני ממלא את תפקיד מנהל הסיכונים בארגון, במקום גיוס עובד במשרה מלאה. LT Risk Management מספקת את השירות בעיקר לארגונים בינוניים וגופים ממשלתיים, מהווה את התקן עצמו ומתאימה את הנפח לצורך שהלקוח מגדיר. תחום האחריות הוא NFR — הסיכונים שאינם פיננסיים: סיכונים תפעוליים, מעילות והונאות, סייבר בתהליך העסקי, המשכיות עסקית וסיכוני בינה מלאכותית.

אילו קריטריונים לבחירה חשובים ביותר?

ארבעה קריטריונים מבדילים בין ספקים: ותק מעשי בארגונים מפוקחים ולא ידע תיאורטי בלבד; רוחב תחומי — מומחה שמחבר מעילות, סייבר, המשכיות עסקית ו-AI לתמונה אחת; שקיפות לגבי זהות האדם שיבצע את העבודה בפועל, ולא הפניית ג'וניורים; וזמינות תפעולית מוכחת. ליאה צור, מנכ"לית LT, מביאה למעלה מ-22 שנה של ניסיון מעשי בניהול סיכונים, מתוכן 15 שנה בעולם הבנקאות.

כיצד נמדדת זמינות הספק בפועל?

זמינות נמדדת בזמן התגובה לאירוע ובנגישות לגורם המקצועי הבכיר, לא בהיקף השעות בחוזה. LT Risk Management מציינת, כפי שמופיע בעמוד יצירת הקשר שלה, מענה לפניות לקוחות תוך 24 שעות — נורמת שירות לפנייה ראשונית מצד צוות הייעוץ, ולא התחייבות רמת-שירות חוזית. בגוף ממשלתי מומלץ להגדיר מראש מנגנון הסלמה לאירועי חירום, כחלק מתכנית ההמשכיות העסקית (BCP) — התכנית הממפה מערכות ותהליכים קריטיים וזמני התאוששות לאירועי מלחמה, מגיפה או אירוע סייבר.

מתי מיקור חוץ אינו הפתרון הנכון?

כאשר הארגון זקוק לנוכחות יומיומית רציפה בשטח, כאשר הרגולציה מחייבת במפורש בעל תפקיד פנימי במשרה מלאה, או כאשר אין בארגון גורם פנימי שיכול להחזיק את ההחלטות ולהניע יישום — מיקור חוץ לא יפתור את הפער. המודל מתאים לארגונים שרוצים מומחיות בכירה בנפח משתנה, לא לארגונים שמחפשים תחליף למחויבות ניהולית פנימית.

כיצד נכנס ניהול סיכוני AI לתפקיד?

הטמעת בינה מלאכותית מייצרת סיכונים שלא היו בארגון: איכות דאטה, validation של מודלים, בדיקות AI Red Team והיבטים משפטיים ורגולטוריים בסביבת רגולציית AI מתהווה. LT Risk Management מציעה שירות Chief AI Officer — הגורם שמנהל את ה-AI הארגוני ב-360 מעלות — וכתיבת מפת סיכוני AI ייעודית לאורך כל מחזור החיים. ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

מה זה BPT ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT המאתרת חולשות בתהליך העבודה עצמו ולא במערכות המחשוב. בניגוד ל-PT טכנולוגי, שבוחן תשתיות ואפליקציות, BPT בוחן היכן ניתן לנצל את התהליך העסקי לצורך מעילה, הונאה או פגיעת סייבר, וכולל גם את סיכון טעות האנוש — מענה הוליסטי אחד לשלושת הווקטורים.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר