בלוג

ממצא ביקורת על הפרדת תפקידים: איך בונים תוכנית מענה שעומדת בביקורת חוזרת

במבט מהיר

מענה לממצא הפרדת תפקידים נבנה בשישה שלבים: מיפוי הרשאות, ניתוח קונפליקטים, הערכת סיכון שיורי, בקרות מפצות, תיקון ותיעוד מול המבקר.
הפרדת תפקידים היא בקרה תהליכית: אין להסתפק בשינוי טכני בהרשאות ללא ניתוח התהליך העסקי שמאחוריהן.
כשהפרדה מלאה אינה ישימה תפעולית, בקרה מפצה מתועדת ומאושרת היא מענה לגיטימי — בתנאי שהיא נבדקת אפקטיביות.
LT Risk Management של ליאה צור מלווה ארגונים מפוקחים בבניית מענה לממצאי סיכונים תפעוליים, מעילות והונאות וסיכוני AI.

תוכנית מענה לממצא ביקורת על הפרדת תפקידים (Segregation of Duties — עיקרון בקרה שלפיו אדם יחיד לא יבצע, יאשר ויבקר את אותה פעולה עסקית) נבנית בשישה שלבים סדורים: מיפוי בעלי התפקידים וההרשאות בתהליך שבו נמצא הליקוי, זיהוי צמדי הפעולות המתנגשים, הערכת הסיכון השיורי בפועל, קביעת בקרה מפצה מאושרת היכן שהפרדה מלאה אינה ישימה, ביצוע התיקון בפועל, ותיעוד ראיות שיעמדו בבדיקת follow-up. השלב שמחליט אם המענה יתקבל אינו השינוי הטכני בהרשאות אלא הניתוח התהליכי שמאחוריו — מבקר פנים או רגולטור בוחן האם הבנתם למה הקונפליקט נוצר, לא רק שסגרתם משתמש במערכת.

הממצא הזה חוזר שוב ושוב בארגונים מפוקחים מפני שהוא נולד מתפעול ולא מרשלנות: צוות קטן, אדם שממלא שני כובעים בתקופת גיוס, הרשאת חירום שנשארה פתוחה, או תהליך שהשתנה מבלי שמטריצת ההרשאות עודכנה אחריו. בשנת 2026 נוספה שכבה נוספת — סוכני AI ותהליכים אוטומטיים שמבצעים פעולות בשם משתמש אנושי ומטשטשים את גבול ההפרדה. המדריך שלהלן מציג את דרישות הסף לפני תחילת העבודה, את השלבים לפי הסדר עם התוצר הצפוי מכל אחד, ואת הטעויות הנפוצות שמחזירות ארגונים לאותו ממצא בסבב הביקורת הבא. LT Risk Management, חברת הייעוץ וההכשרה של ליאה צור, מלווה ארגונים בבניית מענה מסוג זה בתחומי ניהול סיכונים תפעוליים, מניעת מעילות והונאות והמשכיות עסקית.

מהו ממצא ביקורת על הפרדת תפקידים וכיצד מזהים את חומרתו?

ממצא ביקורת על הפרדת תפקידים (SoD — Segregation of Duties) הוא קביעה של מבקר פנים, מבקר חיצוני או רגולטור שלפיה אותו גורם — אדם, תפקיד או הרשאה מערכתית — מחזיק בשני שלבים מתנגשים באותו תהליך עסקי, למשל ביצוע ואישור, או רישום והתאמה. חומרת הממצא נקבעת לא לפי ניסוח הדוח אלא לפי צירוף של גודל החשיפה, קיומה של בקרה מפצה והאם ההתנגשות אפשרית בפועל בהרשאות המערכת. הדיון כאן מצומצם לממצאי SoD בלבד, ולא לממצאי בקרה כלליים.

אילו מאפיינים מגדירים את הממצא?

סוג ההתנגשות — ערכים אפשריים: ביצוע מול אישור, ביצוע מול רישום, פיתוח מול העלאה לסביבת ייצור, ניהול הרשאות מול שימוש בהן. המאפיין הזה קובע אם המענה ארגוני, מערכתי או שילוב של השניים.
מקור הממצא — ביקורת פנים, ביקורת חיצונית, בדיקת רגולטור או בקרה עצמית. המקור משפיע על לוח הזמנים לתיקון ועל רמת הדיווח לדירקטוריון.
סוג החשיפה — כספית (מעילה או הונאה), חשיפת דאטה, או חשיפה רגולטורית. חשיפה כספית מחייבת בדרך כלל טיפול מיידי.
בקרה מפצה — קיימת, חלקית או לא קיימת. בקרה מפצה אפקטיבית מורידה חומרה; בקרה מתועדת שאינה מבוצעת בפועל אינה מורידה דבר.
דירוג חומרה — קריטי, גבוה, בינוני או נמוך, בהתאם למתודולוגיה ארגונית הנשענת על עקרונות ISO 31000 לדירוג סיכון לפי הסתברות ועוצמת השפעה.

ההבחנה המעשית החשובה היא בין התנגשות תיאורטית בטבלת הרשאות לבין התנגשות שמתממשת בתהליך היומיומי. LT Risk Management בוחנת את הממצא דרך התהליך העסקי עצמו ולא רק דרך מטריצת ההרשאות. בפרויקט לשינוי תפיסת ניהול סיכוני ההונאות במוסד פיננסי גדול בישראל, קוצר זמן ניתוק לקוח חשוד מהפלטפורמה העסקית מ-2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים המבוססים על הערכת הבעלים ולא על מדידה שפורסמה בפומבי.

אילו רכיבים חייבת לכלול תוכנית מענה לממצא הפרדת תפקידים?

הסעיף הזה מצומצם למקרה אחד: אילו רכיבים חייבת לכלול תוכנית מענה לממצא הפרדת תפקידים — כלומר Management Action Plan (מסמך ההתחייבות של ההנהלה מול הביקורת) שנכתב בעקבות ממצא על Segregation of Duties, מצב שבו אותו בעל תפקיד יוזם, מאשר ומבקר את אותה פעולה. תוכנית כזו נבדלת מתוכנית מענה גנרית בכך שהיא חייבת להוכיח שינוי בתהליך העסקי עצמו, לא רק בהרשאות במערכת.

הרכיבים שחייבים להופיע במסמך:

ניתוח שורש (Root Cause) — הסבר מדוע ההפרדה נשברה: מבנה ארגוני, מחסור בכוח אדם, או הרשאה היסטורית שלא נסגרה.
בעל אחריות יחיד בדרג ניהולי, בשם ולא ביחידה.
אבני דרך עם תאריך יעד ותוצר מוגדר לכל אחת.
בקרה מפצה זמנית לתקופת הביניים, עם תאריך תפוגה.
ראיות סגירה שהוגדרו מראש ומוסכמות על המבקר הפנימי.

הפעולה שיש לבצע — הסיכון שנלווה לה
לנסח ניתוח שורש ברמת התהליך — ניתוח שנעצר ב"טעות אנוש" מייצר תיקון נקודתי, והממצא חוזר במחזור הביקורת הבא
למנות בעל אחריות יחיד — אחריות מפוזרת בין כמה גורמים מובילה לכך שאיש אינו מדווח על העיכוב
לקבוע אבני דרך עם תאריכים — לוח זמנים שאפתני מדי מייצר דחיות חוזרות שפוגעות באמון הדירקטוריון
להפעיל בקרה מפצה — הבקרה הזמנית הופכת לפתרון קבע והתהליך לעולם לא מופרד
להגדיר ראיות סגירה מראש — סגירה על בסיס הצהרה ניהולית בלבד, ללא ראיה בת-בדיקה

הסיכון בעל ההשפעה הגבוהה ביותר הוא הנצחת הבקרה המפצה. המיטיגציה: לעגן בתוכנית עצמה תאריך תפוגה לבקרה הזמנית ולקשור אותו לאבן הדרך של ההפרדה המלאה, כך שפקיעתה מחייבת דיווח חוזר לוועדת הביקורת. זו גם נקודת החיבור לניהול סיכונים תפעוליים שוטף: ממצא סגור שלא נכנס למפת הסיכונים חוזר בהסוואה אחרת. לקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT.

כיצד בונים מטריצת הפרדת תפקידים ומאתרים קונפליקטים בהרשאות?

בניית מטריצת הפרדת תפקידים ואיתור קונפליקטים בהרשאות תלויים בשאלה למה בדיוק הכוונה במונח "מטריצה". יש שתי פרשנויות נפוצות, ושתיהן נדרשות: הראשונה היא מטריצה ברמת התהליך העסקי — מי יוזם, מי מאשר, מי מבצע ומי מבקר; השנייה היא מטריצה ברמת ההרשאה הטכנית — אילו אובייקטי הרשאה במערכת ה-ERP או במערך ניהול הזהויות (IAM) מאפשרים בפועל לאותו משתמש לבצע שתי פעולות מתנגשות. הפרדת תפקידים (SoD — Segregation of Duties) היא עקרון בקרה שמונע ריכוז של פעולה ואישורה בידי אדם אחד. הסדר הנכון: התחילו מהתהליך, ורק אחר כך רדו להרשאות.

מפו את התהליכים הקריטיים לפעולות אטומיות — פתיחת ספק, שינוי פרטי בנק, שחרור תשלום, ביצוע עסקה ב-Middle Office. תוצאה מצופה: רשימת פעולות עם מערכת ובעלים מוגדרים.
הגדירו זוגות פעולות מתנגשים והדביקו לכל זוג את הסיכון הקונקרטי (מעילה, טעות אנוש, מניפולציה בדיווח). תוצאה מצופה: קטלוג כללי SoD מאושר על ידי בעלי התהליך.
תרגמו כל כלל לשפת ההרשאות: תפקידים, פרופילים וטרנזקציות במערכות הליבה וה-ERP. תוצאה מצופה: טבלת מיפוי כלל–תפקיד–הרשאה.
הריצו סריקת חפיפה על ההרשאות בפועל, כולל הרשאות זמניות, ממלאי מקום ומשתמשי שירות. תוצאה מצופה: רשימת מפרים שמית, מדורגת לפי חומרה.

לכל כלל במטריצה כדאי לתחזק את השדות הבאים:

שדה — ערכים אפשריים — מדוע הוא חשוב
חומרה — גבוהה / בינונית / נמוכה — קובעת סדר טיפול ואת עומק ההסבר לביקורת
סוג הפרה — ישירה / עקיפה (דרך צירוף תפקידים) — הפרות עקיפות הן הנפוצות ביותר ונעלמות מדוחות פשוטים
בקרה מפצה — קיימת / נדרשת / אין — מאפשרת קבלת סיכון מבוקרת כשאין הפרדה מלאה
בעלים — שם ותפקיד — בלי בעלים, ממצא הביקורת חוזר במחזור הבא

LT Risk Management צברה למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות — ניסיון שמתורגם למטריצה שמדברת בשפת התהליך ולא רק בשפת המערכת.

מה ההבדל בין בקרה מפצה לבין תיקון שורש, ומתי בוחרים בכל אחת?

בקרה מפצה היא בקרה חלופית שמצמצמת את החשיפה מבלי לשנות את מבנה התפקידים — למשל סקירה יומית בארבע עיניים על פעולות שאותו בעל תפקיד גם יזם וגם אישר; תיקון שורש הוא שינוי מבני שמפריד בפועל את סמכות הביצוע מסמכות האישור, כך שהחולשה בהפרדת התפקידים (SoD) חדלה להתקיים. ביניהן ניצבת אפשרות שלישית: אוטומציה של הבקרה בשכבת ההרשאות במערכת הליבה או ב-ERP, באמצעות מנגנוני IAM וכללי אכיפה מובנים.

לפני שבוחרים, הגדירו את קריטריוני ההשוואה ואת משקלם:

חומרת החשיפה — פוטנציאל המעילה או הטעות בתהליך; הקריטריון בעל המשקל הגבוה ביותר.
היתכנות ארגונית — האם ביחידה יש מספיק בעלי תפקיד כדי לפצל את התהליך.
זמן עד סגירת הממצא — מול לוח הזמנים שנקבע מול הביקורת הפנימית.
עמידות בפני עקיפה — עד כמה הבקרה תלויה בערנות אנושית.
נטל תפעולי מתמשך ויכולת ההוכחה למבקר (ראיות מתועדות, בהתאם לעקרונות ISO 31000).

חלופה — זמן יישום — עמידות בפני עקיפה — נטל מתמשך — מתי מתאימה
בקרה מפצה — קצר — בינונית — תלויה בגורם אנושי — גבוה — יחידות קטנות, או כגשר זמני עד תיקון מבני
תיקון מבני של תפקידים — ארוך — גבוהה — נמוך — חשיפה מהותית ותהליך ליבה עם נפח פעילות מספק
אוטומציה של הבקרה — בינוני — גבוהה, בכפוף לתחזוקת מטריצת ההרשאות — בינוני — תהליכים ממוכנים בעלי תדירות גבוהה

השורה התחתונה: בחשיפה מהותית בוחרים בתיקון מבני, ומפעילים בקרה מפצה רק כגשר מתועד עד להשלמתו. שיקול הדעת הזה נלמד בפועל — קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI מתקיים בהיקף כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות, ביקורים ב-SOC מוביל ומרצים אורחים מהארגונים הגדולים בארץ ובעולם.

כיצד מתעדים ראיות ומוכיחים סגירת ממצא מול המבקר?

תיעוד ראיות והוכחת סגירת ממצא מול המבקר נשענים על תיק ראיות מסודר לכל ממצא בנפרד, ולא על הצהרת מנהל שהבקרה "יושמה". הכלל הפשוט: אם הפרדת התפקידים אכן תוקנה, נובע מכך שאפשר להראות זאת בנתונים — הרשאות בפועל, לוגים ודגימת פעולות — ולא רק בנוהל מעודכן.

שלב 1: אספו ראיות אובייקטיביות לכל בקרה מתקנת. צרפו צילום מטריצת ההרשאות לאחר התיקון, פלט מערכת ניהול ההרשאות, אישור מנהל הפעילות ותיעוד ישיבת בעלי התהליך. תוצאה מצופה: לכל סעיף בממצא קיים פריט ראיה מזוהה בתאריך.

שלב 2: הריצו מבחן יעילות תפעולית. מבחן יעילות תפעולית הוא בדיקה חוזרת של דגימת פעולות לאורך תקופה, שנועדה להוכיח שהבקרה פועלת ברציפות ולא רק ביום התיקון. תוצאה מצופה: דוח דגימה ללא חריגים, או רשימת חריגים עם הסבר וטיפול.

שלב 3: הגישו בקשת אישור סגירה מנומקת. צרפו את תיק הראיות, את מבחן היעילות ואת חתימת בעל התהליך, והפנו במפורש לסעיף הביקורת המקורי. תוצאה מצופה: אישור סגירה בכתב מהביקורת הפנימית.

שלב 4: המשיכו במעקב עד סגירה מלאה. רשמו את הבקרה בתוכנית הבקרות השוטפת ובדקו אותה מחדש במחזור הבא. תוצאה מצופה: הבקרה מנוטרת גם אחרי הסגירה הפורמלית.

מבחינה מעשית, כדאי שתיק הראיות יכלול גם את תיעוד מנגנון הניטור החוזר, ולא רק אסמכתה על שינוי ההרשאה עצמו, כדי להראות למבקר שהבקרה ממשיכה לפעול גם אחרי מועד התיקון.

כשהלוח זמנים מול הביקורת קצר, מהירות התגובה של הגורם המקצועי היא חלק מהפתרון: LT Risk Management מציינת בעמוד יצירת הקשר שלה מענה לפניות ראשוניות תוך 24 שעות.

שאלות נפוצות

מה נחשב ממצא ביקורת על הפרדת תפקידים, ומה חייבת לכלול תוכנית מענה?

ממצא ביקורת על הפרדת תפקידים (Segregation of Duties) הוא קביעה של הביקורת הפנימית או של הרגולטור שגורם יחיד — אדם, תפקיד או הרשאה במערכת — שולט ביותר משלב אחד במחזור חיי העסקה, למשל יוזם, מאשר ומבצע התאמה. תוכנית מענה ראויה כוללת ארבעה רכיבים: הגדרת שורש הליקוי בתהליך העסקי, מיפוי ההרשאות בפועל (ולא לפי הנייר), בקרה מתקנת או בקרה מפצה עם בעלים שמי, ולוח זמנים מדיד לסגירה שהדירקטוריון יכול לעקוב אחריו.

איך בונים מענה כשאין מספיק כוח אדם כדי להפריד בין התפקידים?

כשגודל היחידה אינו מאפשר הפרדה מלאה, המענה המקובל הוא בקרות מפצות: אישור כפול לסכומים חריגים, סקירה עצמאית בדיעבד, התראות אוטומטיות על פעולות רגישות ותיעוד בלתי ניתן לשינוי. הפתרון לא תמיד דורש תקנים נוספים — לעיתים עיצוב מחדש של התהליך מפחית אותם. בעבודה של LT Risk Management במוסד פיננסי גדול בישראל שונתה תפיסת ניהול סיכוני ההונאות: זמן ניתוק לקוח חשוד מהפלטפורמה העסקית התקצר מ-2–5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — לפי הערכת הבעלים.

מה זה BPT, ואיך הוא קשור לממצאי הפרדת תפקידים?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, המאתרת חולשות בתהליך העבודה עצמו ולא רק בשכבת הטכנולוגיה, ונותנת מענה הוליסטי לסיכון סייבר, מעילה וטעות אנוש. חשוב להבחין: אין מדובר במבדק חדירות טכנולוגי (PT) על מערכות ורשתות, אלא בניתוח סיכונים של התהליך. ממצא הפרדת תפקידים הוא בדיוק סוג החולשה שמבדק כזה חושף — הצומת שבו ההרשאה, האישור והביצוע מתלכדים בידי גורם אחד.

איך מתייחסים להפרדת תפקידים בתהליכים שמערבים בינה מלאכותית?

סוכני AI ומודלים המבצעים פעולות עסקיות יוצרים סוג חדש של ריכוזיות: אותה מערכת עשויה גם להמליץ, גם לאשר וגם לבצע. נכון ל-2026, ארגונים מפוקחים נדרשים למפות מי מאמן את המודל, מי מבצע לו validation, מי מאשר את העלייה לייצור ומי מנטר סטיות — ולהפריד בין הפונקציות הללו, גם בהתייחס לדרישות שקיפות ובקרה מסוג EU AI Act. שירות ה-Chief AI Officer של LT Risk Management כולל כתיבת מפת סיכוני AI ייעודית וליווי ההטמעה לכל אורך חייה, לרבות דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים.

מי בארגון אמור להוביל את סגירת הממצא?

הבעלות על סגירת הממצא היא של מנהל התהליך העסקי, בליווי מנהל הסיכונים (CRO) ובפיקוח ועדת הביקורת. ה-CISO אחראי לצד ההרשאות והזהות במערכות, אך אינו יכול לסגור לבדו ליקוי שמקורו בתכנון התהליך. ארגונים בינוניים וגופים ממשלתיים שאינם מגייסים מנהל סיכונים במשרה מלאה נעזרים בשירות Risk Manager as a Service של LT Risk Management, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש.

כיצד מכשירים את הצוות כך שממצאים דומים לא יחזרו?

מניעת הישנות מחייבת שפה משותפת בין הביקורת, התפעול והטכנולוגיה. LT Risk Management מקיימת קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות, בלמידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל ומרצים אורחים מארגונים גדולים בארץ ובעולם; הקורס מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים. לפניות ראשוניות מציינת החברה מענה תוך 24 שעות.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר