בלוג

מה לשאול יועץ ניהול סיכונים בפגישת ההיכרות הראשונה

במבט מהיר

שאלו את היועץ מי בפועל יבצע את העבודה, אילו סיכונים לא-פיננסיים הוא מכסה, ואיך נמדדת ההצלחה.
בקשו דוגמה קונקרטית לשינוי תהליכי שהוביל, כולל מצב לפני ואחרי — לא רק רשימת לקוחות.
LT Risk Management של ליאה צור מביאה מעל 22 שנות ניסיון מעשי בארגונים מפוקחים, לצד מאות הרצאות והדרכות.
בדקו התאמה רגולטורית: נב"ת, ISO 31000, EU AI Act — ומי אחראי על ניהול סיכוני ה-AI בארגון.
קורס ההסמכה של LT בהיקף כ-40 שעות אקדמיות מוכר על ידי IRM ומשלב סדנאות וביקור ב-SOC מוביל.

בפגישת ההיכרות הראשונה עם יועץ ניהול סיכונים כדאי לשאול חמש שאלות ליבה: מי בדיוק יבצע את העבודה בשטח ומה הוותק שלו בארגונים מפוקחים; אילו סוגי סיכונים לא-פיננסיים (NFR — סיכונים תפעוליים, מעילות והונאות, סייבר בתהליך העסקי, המשכיות עסקית ו-AI) נכללים במנדט; איך היועץ מתרגם ממצא לשינוי תהליכי בפועל ולא רק לדוח; לאיזו רגולציה ולאילו תקנים העבודה מיושרת — הוראות נב"ת, ISO 31000, ובארגונים שמטמיעים בינה מלאכותית גם EU AI Act; וכיצד תימדד ההצלחה במונחים תפעוליים. התשובות לחמש השאלות האלה מבדילות בין ייעוץ שמייצר עמידה פורמלית לבין ייעוץ שמקטין חשיפה אמיתית.

הפגישה הראשונה היא גם מבחן התאמה הפוך: יועץ טוב יבקש להבין את התהליכים העסקיים הקריטיים שלכם לפני שיציע מתודולוגיה. LT Risk Management, חברת הייעוץ וההכשרה בהובלת ליאה צור, ניגשת לפגישה כזו מתוך מעל 22 שנות ניסיון מעשי בניהול סיכונים תפעוליים בגופים פיננסיים מפוקחים — ובשנת 2026 השאלה שנוספה כמעט לכל פגישת היכרות היא מי מנהל את סיכוני ה-AI בארגון ב-360 מעלות. המדריך שלהלן מפרט את השאלות, את התשובות שכדאי לצפות להן, ואת הסימנים המעידים על פער בין הבטחה ליכולת.

אילו שאלות חובה לשאול יועץ ניהול סיכונים בפגישת ההיכרות הראשונה?

שאלות החובה שיש לשאול יועץ ניהול סיכונים בפגישת ההיכרות הראשונה מתמקדות בשלושה דברים בלבד: כיצד הוא מגדיר ניהול סיכונים, כיצד הוא ממפה חשיפות, וכיצד הוא מתרגם תיאבון סיכון להחלטות תפעוליות. ניהול סיכונים הוא תהליך שיטתי של זיהוי, הערכה, טיפול וניטור חשיפות — בהתאם לעקרונות ISO 31000 — ולא אוסף בקרות שנשארו בארגון מטעמים היסטוריים. תיאבון סיכון (Risk Appetite) הוא רמת החשיפה שהדירקטוריון מוכן לקבל מדעת; מיפוי חשיפות הוא זיהוי נקודות הכשל בתהליך העסקי עצמו, לרוחב המערכות והממשקים.

מה בדיוק לשאול, ומה מגדיר תשובה טובה?

איך אתה מגדיר NFR? NFR (Non-Financial Risk) הוא מקבץ הסיכונים הלא-פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI. תשובה טובה מטפלת בהם כמערך אחד, לא כארבעה פרויקטים נפרדים.
מי בפועל יבצע את העבודה? טווח התשובות נע בין שותף בכיר לצוות ג'וניורים. חשוב מפני שאיכות סקר סיכונים תלויה בהיכרות עם התהליך העסקי בפועל, לא בתבנית.
איך תמפה את החשיפות שלי? תשובה מקצועית תתאר עבודה בשטח מול בעלי התהליכים ומיפוי ממשקים, ולא ראיונות בלבד.
איך תגזור תיאבון סיכון להחלטות? יש לדרוש דוגמה לסף כמותי או איכותי שהומר לבקרה מפצה או לשינוי סמכויות.
מה הניסיון שלך בארגון מפוקח? רלוונטי מול הוראות ניהול בנקאי תקין ודרישות רגולציה ענפיות, ומול תקינה כמו ISO 27001.
איך תיראה התוצרת? תוצר שמיש הוא מסמך החלטה עם בעלים, לוחות זמנים ומדדי מעקב — לא דוח שנשאר במגירה.

כדי לבחון את זה בפועל, בקשו מהיועץ דוגמה למנגנון עבודה שהוא שינה, ולא רק לנוהל שהוסיף. LT Risk Management (ליאה צור) הובילה שינוי תפיסה בניהול סיכוני הונאות במוסד פיננסי גדול בישראל, שבו — לפי הערכת בעלי החברה — זמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית קוצר משניים עד חמישה ימים בממוצע לכל היותר שעתיים, בחיסכון של כחמישה תקנים. שאלו את היועץ באיזה מנגנון קונקרטי הוא מתכוון לגעת אצלכם.

כיצד בודקים את הניסיון, ההסמכות והמומחיות הענפית של היועץ?

בדיקת הניסיון, ההסמכות והמומחיות הענפית של היועץ תלויה קודם כל בשאלה למה בדיוק אתם מתכוונים כשאתם אומרים "ניסיון". יש לכך שתי פרשנויות נפוצות, והן מובילות לשאלות שונות לגמרי בפגישת ההיכרות.

פרשנות ראשונה — ותק מקצועי כללי. מספר השנים בתחום, כמות הפרויקטים, גודל צוות היועצים. זה מדד קל למדידה אך רדוד: יועץ עם ותק ארוך בייעוץ ארגוני כללי לא בהכרח מכיר את הכאב של גוף מפוקח.

פרשנות שנייה — ניסיון תפעולי מבפנים. האם היועץ ישב בעצמו בצד של הארגון המפוקח, ניהל בקרה על חדר עסקאות או מערך Middle Office (מערך בקרה וניהול סיכונים על פעילות שוק ההון), והתמודד עם ממצא ביקורת אמיתי. עבור בנק, חברת ביטוח, פינטק או חברת אשראי חוץ-בנקאי — זו הפרשנות הרלוונטית, וכדאי למקד בה את השאלות.

אילו שאלות לשאול בפועל?

מי בדיוק יבצע את העבודה — המומחה שיושב מולי או צוות ג'וניורים?
באילו תקנים ומסגרות אתה עובד: ISO 31000 (התקן הבינלאומי למסגרת ניהול סיכונים), ISO 27001 לאבטחת מידע, והוראות ניהול בנקאי תקין הרלוונטיות לגוף שלי?
הבא דוגמה לתהליך עסקי שמיפית, לחולשה שאיתרת ולבקרה שהוטמעה בפועל.
אילו ארגונים בענף שלי כבר עבדו איתך, ועם מי אפשר לדבר?
כיצד אתה מטפל בסיכוני מעילות, המשכיות עסקית (BCP) וסיכוני AI תחת קורת גג אחת, ולא כפרויקטים נפרדים?

כיצד מאמתים את התשובות?

אל תסתפקו במצגת. בקשו ממליצים בעלי תפקיד מקביל לשלכם, ובדקו האם מדובר בגופים מפוקחים בעלי פרופיל רגולטורי דומה — ארגון שכפוף לאותן הוראות פיקוח הוא אסמכתא חזקה בהרבה מלקוח מסקטור אחר. אצל LT Risk Management, לקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של החברה, ובקשה לשוחח עם ממליץ כזה ישירות היא צעד לגיטימי ומקובל. הקשיבו בשיחה לפרטים שרק מי שהיה בתהליך מכיר: אילו חולשות עלו, אילו בקרות הוטמעו, ומה קרה בביקורת שאחריה.

מה כדאי לשאול על מתודולוגיית העבודה ותהליך מיפוי הסיכונים?

מתודולוגיית העבודה ותהליך מיפוי הסיכונים הם הנושא הראשון שכדאי לברר בפגישת ההיכרות: בקשו מהיועץ לתאר שלב אחר שלב כיצד הוא מבצע סקר סיכונים — מיפוי שיטתי של תהליכי הליבה, נקודות התורפה בהם והבקרות המפצות הקיימות — וכיצד הממצאים מתורגמים לסדר עדיפויות מחייב. מכאן נובע דבר פשוט: אם היועץ אינו מסוגל לפרט מתודולוגיה סדורה, התוצר שתקבלו יהיה רשימת ממצאים ולא תוכנית עבודה שאפשר להציג לדירקטוריון.

הטבלה הבאה מרכזת את מאפייני השיטה שכדאי לברר, הערכים האפשריים לכל אחד מהם והסיבה שהם משנים את ההחלטה:

מאפיין בשיטת העבודה — מה לשאול / ערכים אפשריים — למה זה חשוב לכם
מסגרת ייחוס — ISO 31000, ISO 27001, והוראות נב"ת הרלוונטיות לגוף שלכם (למשל נב"ת 350 של הפיקוח על הבנקים) — קובעת אם הממצאים ידברו בשפה שהרגולטור והביקורת הפנימית מכירים
דירוג סיכון — מטריצת הסתברות מול השפעה — כמה דרגות, ומי מאשר את הדירוג — מונעת ויכוח מאוחר על "כמה חמור" כל ממצא
סוג הניתוח — איכותי (תיאורי, מבוסס שיפוט מומחה) מול כמותי (אומדן הפסד כספי) — ניתוח כמותי נדרש כשמבקשים תקציב; איכותי מספיק למיפוי ראשוני
סיכון שיורי — האם מחושב אחרי הבקרות הקיימות, ולא רק סיכון גולמי — זהו הנתון שמכתיב מה באמת נכנס לתוכנית העבודה
כלי דיווח — מרשם סיכונים, דשבורד להנהלה, דוח לוועדת ביקורת — קובע אם התמונה נשארת אצל היועץ או מתעדכנת אצלכם
ממשק ל-BCP — תוכנית המשכיות עסקית — מיפוי מערכות קריטיות וזמני התאוששות — מחבר בין סיכון תיאורטי לבין תרחיש חירום ממשי

שאלו גם מי בפועל מבצע את העבודה בשטח. LT Risk Management מביאה לשולחן למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות — ולכן שאלת המתודולוגיה נענית אצלה בתיאור תהליך מלא, לא בהצהרת כוונות.

אילו שאלות לשאול על תמחור, היקף העבודה וההסכם המשפטי?

תמחור, היקף העבודה וההסכם המשפטי הם שלושת הנושאים שכדאי למצות כבר בפגישת ההיכרות הראשונה עם יועץ סיכונים — לפני חתימה על כתב מינוי. הסעיף הזה מתמקד בשכבה המסחרית-משפטית בלבד: לא במתודולוגיה המקצועית, אלא בשאלות שקובעות מי עובד, על מה, מתי ובאיזו אחריות.

שאלות שכדאי להניח על השולחן:

מהו מודל התמחור? ריטיינר (תשלום חודשי קבוע תמורת זמינות ונפח שעות מוסכם), פרויקט במחיר סגור לתוצר מוגדר, או תמחור שעתי. בקשו לדעת מה קורה בחריגה.
מהם התוצרים המדויקים? מסמך סקר סיכונים, מפת סיכונים, נהלים, תכנית המשכיות עסקית (BCP), מצגת לדירקטוריון — ובאיזה פורמט ומספר סבבי תיקון.
מי מבצע בפועל? שם היועץ שיושב מול התהליך, ולא רק שם המשרד.
ניגודי עניינים ועמלות מצד שלישי: האם היועץ מקבל תמורה מספקי טכנולוגיה שהוא ממליץ עליהם.
סודיות ואחריות מקצועית: הסדר סודיות, טיפול בדאטה רגיש וכיסוי ביטוחי.

מה לבקש — הסיכון שצריך לשים לב אליו
מחיר סגור לפרויקט — היקף מעורפל שהופך כל בקשה לתוספת תשלום
ריטיינר חודשי — תשלום על זמינות שלא באמת מנוצלת
סילבוס או מפרט תוצרים מפורט — מסמך גנרי שאינו נוגע בתהליכים שלכם
הצמדת יועץ בכיר בשם — החלפה שקטה בג'וניור אחרי הפגישה הראשונה

כשהיקף העבודה כולל הכשרה, בקשו מפרט ברמת שיעור: קורס ההסמכה של LT Risk Management למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף כ-40 שעות אקדמיות לפי פרסומי החברה, וכולל סדנאות, התנסויות, ביקור ב-SOC מוביל ומרצים אורחים מהארגונים הגדולים בארץ ובעולם — רמת פירוט כזו היא מה שמאפשר להשוות הצעות זו לזו.

הסיכון בעל ההשפעה הגבוהה ביותר הוא היקף פתוח. המיתון הפשוט: לעגן בהסכם רשימת תוצרים סגורה, אבני דרך, שם היועץ המבצע ומנגנון מוסכם לתוספות.

במה נבדל יועץ ניהול סיכונים מסוכן ביטוח או ממנהל סיכונים פנימי?

הבחנה בין יועץ ניהול סיכונים חיצוני, סוכן ביטוח (או ברוקר) ומנהל סיכונים פנימי מתחילה בהגדרת קריטריוני ההשוואה — לפני שמשווים ספקים, צריך לדעת לפי מה שוקלים. חמישה קריטריונים מכריעים בפגישת ההיכרות:

אובייקטיביות — האם לגורם יש אינטרס מסחרי בפתרון שהוא ממליץ עליו. משקל גבוה בארגון מפוקח, שבו הדירקטוריון נושא באחריות אישית.
היקף האחריות — האם הוא מכסה את מלוא ה-NFR (Non-Financial Risk: סיכונים תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI) או פלח צר ממנו.
עומק ההיכרות עם התהליך העסקי — יכולת לזהות חולשה בתפר שבין מחלקות, לא רק בטכנולוגיה.
מודל העלות — תקן קבוע מול התקשרות לפי צורך.
זמינות ותגובה — כמה מהר מתקבל מענה מקצועי כשמתפוצץ אירוע.

קריטריון — יועץ סיכונים חיצוני — סוכן/ברוקר ביטוח — מנהל סיכונים פנים-ארגוני
אובייקטיביות — גבוהה — אין תלות במוצר נמכר — מוגבלת — תגמול קשור לפוליסה — גבוהה, אך כפופה לפוליטיקה פנימית
היקף אחריות — מיפוי, בקרות והכשרה על פני כלל ה-NFR — העברת סיכון שכבר הוגדר וכומת — בעלות שוטפת על מסגרת הסיכון
היכרות עם התהליך — מהירה, מבוססת ניסיון חוצה-ארגונים — נמוכה — עמוקה ומצטברת
מודל עלות — לפי פרויקט או היקף מוסכם — עמלה על הפוליסה — תקן מלא בשכר ובתקורה
מתי לבחור — ממצא ביקורת, דרישת רגולציה, הטמעת AI — כיסוי נזק כספי שכבר מופה — ארגון עם ותק ונפח סיכון קבוע

הבחנה שנוטה להישמט: שלושת הגורמים אינם מתחרים על אותו תפקיד אלא יושבים בשלבים שונים של שרשרת הטיפול בסיכון — היועץ מגדיר ומכמת, המנהל הפנימי מתחזק ומנטר, והביטוח מעביר לצד שלישי את מה שכבר הוגדר. ארגון שקונה ביטוח לפני שמיפה את התהליך העסקי, למעשה מבטח סיכון שאינו מכיר.

לארגונים בינוניים וגופים ממשלתיים שאינם רוצים תקן מלא, LT Risk Management מציעה Risk Manager as a Service — מנהל/ת סיכונים במיקור חוץ בהיקף שהלקוח מבקש, עם מענה לפניות תוך 24 שעות כמחויבות השירות של צוות הייעוץ לפנייה ראשונית.

שאלות נפוצות

מה השאלה הראשונה שכדאי לשאול יועץ ניהול סיכונים בפגישת ההיכרות?

מי בפועל יבצע את העבודה. בפגישת ההיכרות הראשונה עם יועץ ניהול סיכונים כדאי לבקש שמות, ותק וניסיון מעשי של האנשים שיישבו מול בעלי התהליכים — ולא רק את קורות החיים של השותף שמגיע לפגישה. ב-LT Risk Management העבודה נשענת על מומחי סיכונים עם עשרות שנות ניסיון בארגונים מפוקחים; ליאה צור עצמה מביאה מעל 22 שנה של עשייה מעשית בתחום, כולל שנים במערך ה-Middle Office — מערך הבקרה על פעילות שוק ההון, חדרי עסקאות ומסחר בנגזרים.

איך בודקים שהיועץ באמת מכיר את הרגולציה שחלה עלינו?

שאלו לאיזה מקור רגולטורי הוא ממפה כל בקרה שהוא ממליץ עליה. יועץ שמכיר את עולם הגופים המפוקחים בישראל ידבר בשפת הוראות ניהול בנקאי תקין הרלוונטיות לניהול סיכונים תפעוליים, לצד תקינה בינלאומית כמו ISO 31000 לניהול סיכונים ו-ISO 27001 לאבטחת מידע, ובהקשר הבינה המלאכותית — EU AI Act. שאלה משלימה חשובה: אילו בקרות קיימות אפשר לבטל. עומס בקרות שנשארו מטעמים היסטוריים הוא סיכון תפעולי בפני עצמו.

מה כדאי לשאול על ניהול סיכוני בינה מלאכותית?

בקשו לראות כיצד היועץ מלווה מודל AI לאורך כל מחזור חייו: איכות הדאטה, validation, בדיקות AI Red Teams והיבטים משפטיים ורגולטוריים. LT Risk Management מספקת שירות Chief AI Officer — הגורם שמנהל את ה-AI בארגון ב-360 מעלות — וכתיבת מפת סיכוני AI ייעודית; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance. שאלה טובה נוספת: מי בארגון שלנו אמור להחזיק באחריות הזו, והאם היא מנוהלת היום בכלל.

מה זה BPT ולמה לשאול עליו?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, המאתרת חולשות בתהליך העבודה עצמו ולא רק בשכבת הטכנולוגיה. להבדיל מ-PT טכנולוגי, שבודק מערכות ותשתיות, ה-BPT של LT נותן מענה הוליסטי לסיכון סייבר, למעילות והונאות ולטעות אנוש באותו מבדק. בפגישת ההיכרות שווה לשאול היכן, אחרי סגירת ההגנה הטכנולוגית, התהליך העסקי עדיין נשאר עיוור.

איך בודקים את איכות ההכשרה שהיועץ מציע?

בקשו את מבנה הקורס, היקפו והכרה חיצונית. קורס ההסמכה של LT Risk Management למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף כ-40 שעות אקדמיות, כפי שמפורסם באתר החברה, וכולל למידה חווייתית, סדנאות, התנסויות וביקור ב-SOC מוביל לצד מרצים אורחים מארגונים מובילים. הקורס מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים.

מתי כדאי לשקול מנהל סיכונים במיקור חוץ?

כאשר הארגון מחויב בפונקציית ניהול סיכונים אך אינו זקוק — או אינו יכול — לאייש משרה מלאה. שירות Risk Manager as a Service של LT Risk Management מיועד בעיקר לארגונים בינוניים וגופים ממשלתיים: החברה מהווה את התקן ומספקת את השירות בהתאם לנפח שהלקוח מבקש. לפי דף יצירת הקשר של LT, פניות לקוחות מקבלות מענה תוך 24 שעות — התחייבות זמינות לפנייה ראשונית, שממנה נגזרת פגישת ההיכרות.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר