בלוג

איך מתעדפים ממצאי ביקורת פנים כשהמשאבים מוגבלים? מדריך לגופים פיננסיים מפוקחים בישראל

במבט מהיר

מתעדפים ממצאי ביקורת פנים לפי סיכון שיורי לתהליכים עסקיים קריטיים, ולא לפי חומרת הממצא כפי שנוסחה בדוח.
בגופים פיננסיים מפוקחים בישראל התיעדוף חייב לשקלל חשיפת מעילות, סייבר, המשכיות עסקית וסיכוני AI יחד.
איחוד ממצאים לפי שורש משותף מצמצם את מספר התיקונים ומייעל את השימוש במשאבי הבקרה המוגבלים.
LT Risk Management של ליאה צור מלווה דירקטוריונים ומנהלי סיכונים בתרגום ממצאי ביקורת לתוכנית עבודה מבוססת סיכון.

מתעדפים ממצאי ביקורת פנים לפי הסיכון השיורי שהם מותירים בתהליך העסקי הקריטי — כלומר הסיכון שנשאר אחרי הבקרות הקיימות — ולא לפי דירוג החומרה שנרשם בדוח הביקורת. בגופים פיננסיים מפוקחים בישראל, ובהם בנקים, חברות ביטוח, חברות אשראי, בתי השקעות ופינטקים, הסדר הנכון הוא: למפות כל ממצא לתהליך העסקי שבו הוא מתרחש, לשקלל את החשיפה המשולבת שלו למעילות והונאות, לאירוע סייבר, לפגיעה בהמשכיות עסקית (BCP — תוכנית המשכיות לאירועי חירום) ולסיכוני בינה מלאכותית, ואז לאחד ממצאים שנובעים מאותו שורש בעיה לכדי תיקון אחד. כך מתקבלת תוכנית עבודה שבה מספר קטן של פעולות סוגר את מרבית החשיפה המהותית, במקום רשימת משימות ארוכה שמתחרה על אותם אנשים ואותו תקציב.

התמונה הזו נעשתה מורכבת יותר ב-2026: לצד דרישות הפיקוח המוכרות, ממצאים הנוגעים לשימוש בכלי AI, לאיכות הדאטה ולתיקוף מודלים נכנסים לדוחות הביקורת בלי שקיימת בארגון פונקציה שמנהלת אותם ב-360 מעלות. LT Risk Management, חברת הייעוץ וההכשרה שבראשה עומדת ליאה צור, עוסקת בדיוק בנקודת החיבור הזו — תרגום ממצאי ביקורת וסקרי סיכונים לתוכנית מבוססת סיכון תפעולי, מעילות, סייבר, המשכיות עסקית וממשל AI — והמדריך שלהלן מפרט את שיטת התיעדוף שלב אחר שלב.

כיצד מדרגים ממצאי ביקורת פנים לפי סיכון והשפעה עסקית?

הדירוג של ממצאי ביקורת פנים לפי סיכון והשפעה עסקית נשען על שלושה צירים מדידים: חומרת החשיפה, הסתברות ההתרחשות, ומידת הפגיעה ביעדי הארגון. הסעיף הזה מצומצם במכוון למקרה אחד: ארגון מפוקח שקיבל דוח ביקורת עם עשרות ממצאים, ותקציב תיקון שאינו מספיק לכולם. ממצא ביקורת הוא פער בין המצב הקיים לבין בקרה נדרשת — ולא כל פער מייצג סיכון שווה ערך.

שיטת העבודה המעשית מתחילה בתרגום כל ממצא לשפת סיכון ולא לשפת ליקוי: מיפוי התהליך העסקי שבו התגלה הפער, זיהוי בעל התהליך, אומדן ההשפעה על הכנסות, על רגולציה ועל מוניטין, והצלבה עם מפת הסיכונים התפעוליים הקיימת (סיכונים שאינם פיננסיים — NFR — הכוללים תפעול, מעילות והונאות, סייבר והמשכיות עסקית). מסגרות כמו ISO 31000 מספקות את שפת ההערכה, אך ההחלטה מי נכנס ראשון לתור התיקון היא החלטה עסקית.

הפעולה המומלצת — הסיכון שבצידה
דירוג לפי מכפלת חומרה בהסתברות — ממצאים נדירים בעלי נזק קטסטרופלי נדחקים לתחתית הרשימה
איחוד ממצאים דומים לחבילת תיקון אחת — טשטוש שורש הבעיה והחמצת בקרה ספציפית שנדרשת
העדפת תיקונים מהירים בעלות נמוכה — מצטברת חוב בקרה בתהליכים הקריטיים באמת
הישענות על דירוג המבקר בלבד — הביקורת מדרגת ליקוי, לא בהכרח חשיפה עסקית מצטברת

ההמלצה למזעור הסיכון המשמעותי ביותר: לצד הציון הכמותי, יש לקיים דיון תרחישים קצר על כל ממצא שדורג "נמוך" אך נוגע לכספים, להרשאות או ליכולת עצירת פעילות — שם מתרכזות המעילות.

זו בדיוק נקודת המבט שמביאה LT Risk Management לשולחן: מיקוד בתהליך העסקי ולא רק בבקרה הפורמלית. בליווי שהובילה LT במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2 עד 5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים המובאים כהערכת בעלי החברה ולא כמדידה שאומתה בפומבי. תיעדוף נכון אינו רק סדר עבודה — הוא מנגנון שמקטין חשיפה בפועל.

מה בעצם מבדיל בין ממצא קריטי, ממצא מהותי וממצא זניח?

ההבחנה בין ממצא קריטי, ממצא מהותי וממצא זניח אינה נגזרת מניסוח הממצא אלא מקנה מידה שנקבע מראש — לפני שהביקורת הפנימית מתחילה לעבוד. זה תלוי במה שהארגון מתכוון במילה "חומרה", ובפועל רווחות שתי פרשנויות שונות שמובילות לתעדוף שונה לחלוטין.

פרשנות ראשונה — חומרת כשל הבקרה. כאן החומרה נמדדת לפי עומק הפער: האם הבקרה נעדרת לחלוטין, קיימת אך אינה מתועדת, או קיימת ופועלת חלקית. דוגמה: היעדר הפרדת תפקידים בין מי שמזין ספק חדש למי שמאשר תשלום הוא כשל מבני, גם אם טרם התממש נזק.

פרשנות שנייה — חומרת החשיפה בפועל. כאן החומרה נמדדת לפי הסיכון שנותר אחרי כל הבקרות הקיימות, ביחס לרמת הסיכון שהארגון מוכן לספוג. דוגמה: אותו פער בהפרדת תפקידים, כאשר קיימת בקרת דיווח חריגים יומית, עשוי לרדת בדירוגו.

הפרשנות השנייה היא המומלצת לוועדת ביקורת ולדירקטוריון, מפני שהיא מתעדפת לפי נזק צפוי ולא לפי אסתטיקה של בקרה. כדי ליישם אותה יש להגדיר מראש ארבעה מונחים, בהתאם לשפת המינוח של תקן ISO 31000:

מהותיות — הסף הכמותי או האיכותי שמעליו אירוע משפיע על הדוחות, על הלקוחות או על המוניטין.
תיאבון סיכון — רמת הסיכון שהדירקטוריון מאשר לקחת ביודעין, פר תחום פעילות.
סיכון שיורי — הסיכון שנותר אחרי הפעלת הבקרות, להבדיל מהסיכון הגולמי.
בקרה מפצה — בקרה חלופית שמכסה פער עד לתיקון השורש, ומצדיקה הורדת דירוג זמנית.

דירוג — מבחן ההכרעה — אופן הטיפול
קריטי — סיכון שיורי חורג מתיאבון הסיכון, ללא בקרה מפצה — טיפול מיידי ודיווח לוועדת ביקורת
מהותי — חריגה מתיאבון הסיכון, קיימת בקרה מפצה חלקית — תוכנית עבודה מתוחמת ובעלים מוגדר
בינוני — בתוך תיאבון הסיכון, מתחת לסף המהותיות — שילוב במחזור התיקונים השוטף
זניח — פער תיעודי ללא חשיפה מוכחת — תיעוד וסגירה ללא הקצאת משאבים

בניית שפת חומרה אחידה כזו בניהול סיכונים תפעוליים היא עבודת יסוד, ולקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT בתחום זה.

אילו מודלי תעדוף קיימים ואיך הם משתווים זה לזה?

לפני שמשווים מודלי תעדוף של ממצאי ביקורת פנים, צריך להסכים על קריטריוני ההשוואה — אחרת כל מודל "מנצח" לפי מי שבחר אותו. ארבעה קריטריונים נושאים את מרבית המשקל: שקיפות (עד כמה הדירקטוריון וועדת הביקורת מבינים למה ממצא א' לפני ממצא ב'), כוח הפרדה (היכולת להבחין בין ממצאים שנראים דומים), עלות הפעלה (הדאטה, הזמן והמומחיות הנדרשים לכל הרצה), והתאמה לשפה הרגולטורית של גוף מפוקח — ISO 31000 והוראות ניהול הסיכונים התפעוליים מצפים לשיטתיות מתועדת, לא לתחושת בטן.

הנה ארבעת המודלים הנפוצים מול אותם קריטריונים:

מודל — מנגנון — שקיפות — כוח הפרדה — נדרש ליישום — מתי מתאים
מטריצת סיכון 5x5 — הצלבת הסתברות מול חומרה על סולם חמש דרגות — גבוהה — קריא לדירקטוריון — נמוך — ממצאים רבים נערמים באותו תא — הגדרות דרגה מוסכמות ותיעוד — דוחות תקופתיים, תמונת מצב מהירה
ניקוד משוקלל רב-קריטריוני — ציון לכל ממצא לפי קריטריונים במשקלות שנקבעו מראש (רגולציה, לקוחות, מוניטין, כשל תהליכי) — בינונית — תלויה בהצדקת המשקלות — גבוה — ועדה שמאשרת משקלות ובקרת עקביות — ריבוי ממצאים חוצי-יחידות בתקציב מוגבל
RPN (Risk Priority Number) — מכפלת חומרה, שכיחות ויכולת גילוי — מקורו במתודולוגיית FMEA — בינונית — המכפלה פחות אינטואיטיבית — גבוה, ומדגיש כשלי בקרת גילוי — דירוגים אחידים ומנחה מנוסה — תהליכים תפעוליים חוזרים, חשיפת מעילה או טעות אנוש
עלות-תועלת לתיקון — השוואת עלות התיקון מול הפחתת החשיפה בפועל — גבוהה מול הנהלה וכספים — בינוני — אומדני עלות ותיאום עם בעלי התהליך — החלטת השקעה בין תיקונים יקרים

המסקנה: מטריצת 5x5 מתאימה לדיווח, ניקוד משוקלל או RPN מתאימים להחלטה מי מטופל קודם, ועלות-תועלת מכריעה כמה כסף להשקיע בכל תיקון — ולכן רוב הארגונים המפוקחים משלבים שניים מהם ולא בוחרים אחד.

עם למעלה משני עשורים של ניסיון מעשי, מאחורי LT Risk Management מאות הרצאות, הדרכות חווייתיות וחדשניות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI, עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות — והתאמת מודל התעדוף לאופי הארגון היא אחד הדיונים החוזרים בהן.

מה עושים כשאין מספיק משאבים לסגור את כל הממצאים?

כשאין מספיק משאבים לסגור את כל הממצאים, ההחלטה הנכונה אינה "לתקן הכול" אלא לבנות תוכנית תיקון מתועדת שמדרגת את הממצאים לפי סיכון שיורי — הסיכון שנותר אחרי הבקרות הקיימות. בשלב הזה, שבו הארגון כבר מכיר את התמונה ונדרש להחליט, חמישה צעדים מעשיים מייצרים מענה שעומד בביקורת פנימית וברגולציה:

קבצו ממצאים לפי שורש הבעיה. ממצאים רבים בדוח ביקורת הם ביטויים שונים של אותה חולשה בתהליך העסקי — הפרדת תפקידים חסרה, הרשאות עודפות, ממשק ידני בין מערכות. תיקון אחד בשורש סוגר לעיתים אשכול שלם של ממצאים.
קבעו לוחות זמנים מדורגים. חלקו את התוכנית לגלים: מיידי (סיכון גבוה עם חשיפה כספית או רגולטורית), רבעוני, ושנתי. לכל גל יעד, אחראי ותקציב מוגדר.
תעדו קבלת סיכון פורמלית. קבלת סיכון היא החלטה מודעת שלא לתקן ממצא בשלב זה. היא חייבת להיות חתומה בדרג המוסמך, מוגבלת בזמן, ולכלול את הנימוק והחשיפה המוערכת — בהתאם לעקרונות ISO 31000 ולמדיניות הסיכונים של הארגון.
הפעילו בקרות מפצות זמניות. כאשר התיקון היסודי יקר או ארוך, בקרה מפצה — דוח חריגים ידני, אישור כפול, ניטור ממוקד — מקטינה את החשיפה עד לסגירה המלאה.
נהלו מעקב שוטף אחר ממצאים פתוחים. מרשם ממצאים חי, עם סטטוס, תאריך יעד ואסקלציה אוטומטית לוועדת הביקורת בחריגה, הוא מה שמבדיל בין תעדוף מקצועי לבין דחייה מתמשכת.

הפער הנפוץ אינו בשיטה אלא בכושר היישום של הצוות. קורס ההסמכה של LT Risk Management למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, בנוי כלמידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם — כדי שהצוות שמחליט מה נסגר ומה מתועד כקבלת סיכון יידע לנמק את ההחלטה מול הדירקטוריון והמפקח.

איך מציגים את סדר העדיפויות בפני ועדת הביקורת וההנהלה?

כאשר סדר העדיפויות של ממצאי הביקורת מוצג בפני ועדת הביקורת של הדירקטוריון ובפני ההנהלה בגוף פיננסי מפוקח, המבחן אינו אורך הרשימה אלא שקיפות הכללים שיצרו אותה. בהקשר הזה — ארגון שבו נשאלת שאלת האחריות האישית של הדירקטוריון — הצגה שאינה מסבירה מדוע ממצא א' קודם לממצא ב' תיתפס כשיקול דעת אישי ולא כמודל בקרה.

ארבעה מרכיבים הופכים את ההצגה לברת-הגנה מול המבוקרים, המנכ"ל והוועדה:

קריטריונים מתועדים מראש: אמות המידה לדירוג (חשיפה כספית, השלכה רגולטורית, אפקטיביות הבקרה המפצה) נכתבות ומאושרות לפני הדירוג עצמו, בקו אחד עם עקרונות ניהול הסיכונים המקובלים ב-ISO 31000.
נתוני מעקב שוטפים: סטטוס יישום, חריגות מיעדי זמן ומגמות לאורך רבעונים — ולא תמונת מצב נקודתית שמוצגת רק לקראת הישיבה.
אי-הסכמות מתועדות: כאשר המבוקר חולק על חומרת הממצא, העמדה שלו נרשמת לצד עמדת הביקורת. תיעוד המחלוקת מחזק את אמון הוועדה יותר מאשר הסתרתה.
ממצאים שהוחלט שלא לתקן: קבלת סיכון מפורשת, בציון הגורם המאשר, ההנמקה ומועד הבחינה מחדש — לא השמטה שקטה מהדוח.

מה שנעלם לעיתים קרובות מהדיון הוא שהמרכיב הרביעי, ולא הראשון, הוא זה שמייצר את האמון: ועדות ביקורת לומדות על איכות מערך הבקרה בעיקר מהאופן שבו הארגון מנמק את מה שבחר שלא לתקן. רשימת ממצאים שנסגרו מעידה על עבודה; רשימת סיכונים שהתקבלו במודע מעידה על שיקול דעת ניהולי.

מבחינה מעשית, כדאי להצמיד לכל שורה בדוח את בעל הסיכון (Risk Owner) ואת תאריך הבחינה החוזרת, ולהביא לוועדה נספח קצר של הקריטריונים. LT Risk Management מלווה גופים מפוקחים בבניית מסגרת התעדוף וההצגה הזו, וצוות הייעוץ שלה מחויב למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות ולא רמת שירות חוזית, זמינות שמתאימה לקצב שבו נסגרים לוחות הזמנים של ישיבות ועדת ביקורת.

שאלות נפוצות

תיעדוף ממצאי ביקורת פנים במשאבים מוגבלים הוא בראש ובראשונה שאלה של דירוג סיכון שיורי — ולא של סדר הופעת הממצאים בדוח. להלן התשובות לשאלות החוזרות ביותר מצד דירקטוריונים, מנהלי סיכונים ומבקרים פנימיים בגופים מפוקחים.

מה ההבדל בין דירוג חומרת ממצא לבין תיעדוף שלו?

דירוג חומרה הוא הערכת עוצמת החולשה כפי שהיא נמצאה; תיעדוף הוא החלטה ניהולית שמשקללת גם את הסיכון השיורי (הסיכון שנותר אחרי הבקרות הקיימות), את עלות התיקון, את חלון הזמן הרגולטורי ואת מידת התלות בין הממצא לתהליכים אחרים. שני ממצאים בדירוג "גבוה" יכולים לקבל סדר טיפול הפוך לחלוטין כשמוסיפים את הפרמטרים האלה. מסגרות ניהול סיכונים מקובלות, כמו ISO 31000, מתייחסות לתיעדוף כשלב נפרד מהערכת הסיכון.

איך מחליטים מה נסגר קודם כשאין תקציב לכל הממצאים?

הכלל המעשי הוא לקבץ ממצאים לפי התהליך העסקי שבו הם יושבים, ולא לפי המערכת שבה נמצאו. ממצאים שנראים קטנים בנפרד — הרשאה עודפת, בקרה כפולה שבוטלה, ממשק ידני בין מערכות — מצטברים לעיתים קרובות לחשיפת מעילה או סייבר אחת ומהותית. תיעדוף לפי תהליך מאפשר סגירה של מספר ממצאים בפעולה מתקנת אחת, ומצמצם את מספר התקנים והשעות הנדרשים לטיפול.

מה זה BPT ואיך הוא מסייע בתיעדוף?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, שמאתרת חולשות בתהליך העבודה עצמו ולא רק בשכבת הטכנולוגיה. להבדיל מ-PT טכנולוגי, שבוחן מערכות ותשתיות, ה-BPT של LT בוחן היכן טעות אנוש, מעילה או תוקף חיצוני יכולים לנצל את התפר בין אנשים, נהלים ומערכות. עבור ועדת ביקורת, התוצר משמש מפה שמראה אילו ממצאים חוברים יחד לתרחיש נזק אמיתי — וזה בדיוק מה שמכריע סדר טיפול.

האם תיעדוף נכון באמת מייצר חיסכון תפעולי?

כן. בעבודה של LT Risk Management במוסד פיננסי גדול בישראל, שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2 עד 5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים המובאים כהערכת הבעלים ולא כמדידה שאומתה בפומבי. המנגנון פשוט: כשמתקנים את התהליך ולא את הסימפטום, נחסכת עבודה ידנית חוזרת.

איך מתעדפים ממצאים שנוגעים לבינה מלאכותית?

ממצאי AI דורשים ציר הערכה נוסף על הציר התפעולי המוכר: איכות ומקור הדאטה, תהליך ה-validation של המודל, בדיקות AI Red Teams, והיבטים משפטיים ורגולטוריים — לרבות ההיערכות לדרישות EU AI Act. נכון ל-2026, בפינטקים ובחברות אשראי חוץ-בנקאי זהו לרוב האזור שבו אין עדיין פונקציה אחראית. LT Risk Management מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית; ליאה צור, מנכ"לית החברה, מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

מי בארגון צריך להחזיק בהחלטת התיעדוף?

הביקורת הפנימית מציפה את הממצא, אך הבעלות על סדר הטיפול היא של ההנהלה ומנהל הסיכונים, תחת פיקוח ועדת הביקורת והדירקטוריון. ארגונים בינוניים וגופים ממשלתיים שאינם מגייסים מנהל סיכונים במשרה מלאה נעזרים בשירות Risk Manager as a Service של LT, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש.

איך מכשירים את הצוות לקבל את ההחלטות האלה?

LT Risk Management מעבירה קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות, הכולל סדנאות, התנסויות וביקורים ב-SOC מוביל ומרצים אורחים מהארגונים הגדולים בארץ ובעולם; הקורס מוכר על ידי IRM (Institute of Risk Management). לפנייה ראשונית, צוות הייעוץ של LT מחויב למענה תוך 24 שעות — מחויבות שירות ולא רמת שירות חוזית.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר