בלוג

סטארטאפ לפני ביקורת קומפליינס ראשונה: מה מכינים מראש?

במבט מהיר

ההכנה לביקורת קומפליינס ראשונה מתחילה במיפוי התהליכים העסקיים הקריטיים, בעלי אחריות מוגדרים ותיעוד בקרות — לא במסמכי מדיניות גנריים.
מבקר מצפה לראיות: נהלים חתומים, לוגים, הפרדת סמכויות, סקר סיכונים עדכני ותוכנית המשכיות עסקית (BCP) שנבדקה בפועל.
סטארטאפים שמטמיעים AI נדרשים גם למפת סיכוני AI — דאטה, ולידציה והיבטים משפטיים — ולא רק לבקרות סייבר טכנולוגיות.
LT Risk Management מספקת סקר סיכונים, הכשרות ושירות מנהל סיכונים במיקור חוץ לארגונים שאינם מגייסים תקן במשרה מלאה.

סטארטאפ שנכנס לביקורת קומפליינס ראשונה צריך להביא לשולחן ארבעה דברים מוכנים מראש: מיפוי של התהליכים העסקיים הקריטיים ובעלי האחריות עליהם, סקר סיכונים תפעוליים עדכני שמזהה את החשיפות למעילות והונאות, לטעות אנוש ולסיכוני סייבר בתוך התהליך, מערך בקרות מתועד עם ראיות שניתן להציג (נהלים חתומים, הרשאות, הפרדת תפקידים, לוגים), ותוכנית המשכיות עסקית — BCP, כלומר תוכנית להתמודדות עם אירועי חירום כמו אירוע סייבר, מלחמה או השבתת ספק — שנבדקה ולא רק נכתבה. ביקורת ראשונה כמעט אף פעם לא נכשלת על היעדר טכנולוגיה; היא נכשלת על תהליך עסקי שאיש לא מיפה, על בקרה שקיימת במצגת אך לא בפועל, ועל היעדר תיעוד שמוכיח שהבקרה עבדה. בשנת 2026 מצטרפת לכך שכבה נוספת עבור פינטקים, גופי אשראי חוץ-בנקאי וסטארטאפים שמטמיעים בינה מלאכותית: מפת סיכוני AI ייעודית שמכסה דאטה, ולידציה של מודלים והיבטים משפטיים ורגולטוריים. LT Risk Management, בהובלת ליאה צור, בונה בדיוק את שכבת ההכנה הזו — סקר סיכונים תפעוליים, בקרות למניעת מעילות והונאות, מבדק חדירות לתהליך העסקי (BPT), המשכיות עסקית וניהול סיכוני AI — עבור ארגונים שנכנסים לראשונה למגרש המפוקח.

מה בודקים בפועל בביקורת הקומפליינס הראשונה של סטארטאפ?

הביקורת הראשונה בסטארטאפ בודקת בפועל מספר מצומצם של תחומים, והפרק הזה מתמקד בחברה צעירה לפני הביקורת החיצונית הראשונה שלה ולא בגוף מפוקח ותיק. מרבית התחומים שנסרקים הם סיכונים תפעוליים במובן הרחב: מי מחזיק את התהליך, אילו בקרות מוטמעות בתוכו, ומה קורה כשהוא נשבר. הטריגר לביקורת עצמה מגיע לרוב מדרישה רגולטורית (בסקטור הפיננסי, למשל, הוראות הפיקוח על הבנקים כגון נב"ת 350 בנושא סקר סיכונים), מדרישת דירקטוריון, מלקוח עסקי גדול, או מאירוע סייבר או מעילה שכבר קרה.

תחום בדיקה — מה נסרק בפועל — מה מייצר ממצא
סיכונים תפעוליים — קיום סקר סיכונים, מרשם סיכונים, מדדי KRI ובעלות מוגדרת — מסמך חד-פעמי שלא עודכן ואין לו בעלים בשם
מעילות והונאות — הפרדת תפקידים בתהליכים פיננסיים, בקרות אישור והתאמות — אדם אחד שיוזם, מאשר ומבצע את אותה פעולה
בקרות גישה — הרשאות לפי תפקיד, גישת מנהלי מערכת, סקירה תקופתית — הרשאות עודפות שנשארו מטעמים היסטוריים
המשכיות עסקית (BCP) — מיפוי מערכות ותהליכים קריטיים, זמני ורמות התאוששות — תוכנית כתובה שמעולם לא תורגלה
ספקים וצד שלישי — מיפוי ספקים קריטיים, סעיפי אבטחה, תלות תפעולית — תלות מהותית בתשתית חיצונית ללא דירוג קריטיות
ממשל AI — מיפוי שימושי הבינה המלאכותית, מקורות דאטה ותהליכי validation — כלי AI שנכנס לתהליך בלי בעלות ובלי מפת סיכונים

היקף הביקורת (scope) נגזר מהרגולטור הרלוונטי, מדרישת הלקוח העסקי ומהתקן שנבחר — למשל ISO/IEC 27001 לניהול אבטחת מידע או ISO 31000 כמסגרת לניהול סיכונים — אבל הראיות שנדרשות מגיעות תמיד מאותו מקום: התהליך העסקי עצמו. ניהול סיכונים תפעוליים אפקטיבי משנה גם את זמני התגובה: בעבודת LT Risk Management עם מוסד פיננסי גדול בישראל, ולפי הערכת הבעלים, זמן ניתוק לקוח חשוד מהפלטפורמה העסקית התקצר מ-2-5 ימים בממוצע לשעתיים לכל היותר, לצד חיסכון של כ-5 תקנים.

אילו מסמכים, מדיניות וראיות חייבים להיות מוכנים מראש?

המסמכים, המדיניות והראיות שחייבים להיות מוכנים מראש לקראת ביקורת ראשונה מסתכמים בכמה תיקים ליבתיים, שכל אחד מהם נבדק לפי שלושה מאפיינים: תוכן מינימלי, פורמט, ורמת האסמכתא שהמבקר מקבל כראיה קבילה. הצהרה שהבקרה קיימת אינה ראיה — לכל בקרה צריך להיות בעלים בשם, תדירות מוגדרת ואסמכתא שניתן לשחזר.

המסמך — מה חייב להופיע בו — הפורמט שהמבקר מצפה לו
סקר סיכונים ומרשם סיכונים — חשיפות תפעוליות, סיכוני מעילה והונאה, בקרות מפצות, דירוג וחומרה — מסמך מתוארך עם בעלים לכל סיכון ותאריך סקירה הבא
מדיניות ונהלים מאושרים — היקף, תפקידים ואחריות, סיווג מידע, עוגן למסגרת מוכרת כגון ISO/IEC 27001 — מסמך מאושר הנהלה, ממוספר גרסה ומתוארך
מטריצת הרשאות והפרדת תפקידים — מי יוזם, מי מאשר ומי מבצע בכל תהליך כספי או תפעולי רגיש — ייצוא ממערכת עם חותמת זמן ומדגם סקירה תקופתי
תוכנית המשכיות עסקית (BCP) — מערכות ותהליכים קריטיים, זמן ורמת התאוששות, תרחישי חירום — תוכנית מאושרת + תיעוד תרגיל שהתקיים בפועל
נוהל תגובה לאירוע סייבר או מעילה — תרחישי ייחוס, עץ הסלמה, ערוצי דיווח לרגולטור וללקוח — נוהל כתוב + תיעוד אירוע או תרגיל אמת
מפת סיכוני AI — שימושים, מקורות דאטה, תהליך validation, היבטים משפטיים ורגולטוריים — מפה ייעודית לצד מפות הסיכונים הקיימות

לצד אלה נדרש תיק פרטיות בסיסי — סיווג מידע, מטרות עיבוד ובסיס חוקי, וזמני שמירה — בהיקף שמתאים לסוג הדאטה שהחברה מחזיקה. לקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT Risk Management בדיוק בנקודת המפגש הזו שבין מסמך לראיה. בלשונה של יעל ברזילאי, מנהלת מחלקת סיכונים תפעוליים בבנק דיסקונט: "יש לה יכולת גבוהה להציף את נקודות החולשה המהותיות ביותר ולהביא רעיונות מקוריים לצמצומן, תוך ראיה רוחבית, התמקדות והעמקה בעיקר".

כיצד מבצעים מיפוי פערים לפני הגעת המבקר?

מיפוי פערים לפני הגעת המבקר מתחיל בשתי פעולות משלימות: ניתוח פערים פנימי (gap analysis) — השוואה מסודרת בין הדרישה הרגולטורית או התקן לבין מה שקיים בפועל בארגון — וביקורת דמה (mock audit), הרצה מבוקרת של הביקורת עצמה על ידי גורם פנימי או יועץ חיצוני, כולל בקשת ראיות בזמן אמת. הכלל המעשי פשוט: כל בקרה שאין לה תיעוד, בעלים מוגדר ותדירות ידועה תיחשב פער, גם אם היא מתבצעת היטב בשטח.

שלב זה נוטה לחשוף שלושה סוגי ממצאים: בקרות שמתקיימות אך אינן מתועדות, הפרדת תפקידים חלקית בתהליכים פיננסיים ותפעוליים — הקרקע הנוחה ביותר למעילה ולטעות אנוש — והרשאות עודפות במערכות הליבה ובכלי ה-AI שנכנסו לארגון בלי בעלות מוגדרת.

מה לעשות — מה לשים לב אליו
להריץ ביקורת דמה עם בקשת ראיות אמיתית — הרצה על ידי מי שכתב את הנהלים מייצרת עיוורון — עדיף גורם בלתי תלוי
לתעדף ממצאים לפי חשיפה ולא לפי קלות סגירה — "ניצחונות מהירים" עלולים להסתיר פער מהותי בתהליך העסקי
לפתוח תכנית מתקנת עם בעלים ותאריך יעד — תכנית ללא בעלות שמית נשארת מסמך ולא בקרה
לתעד קבלת סיכון שיורי באישור ההנהלה — קבלת סיכון ללא החלטה מתועדת נקראת כהתעלמות

ממצא שלא ניתן לסגור עד מועד הביקורת אינו אסון — הוא הופך לסיכון מנוהל ברגע שיש לו מסמך החלטה, בקרה מפצה זמנית ולוח זמנים. LT Risk Management, עם למעלה משני עשורים של ניסיון מעשי, מלווה תהליכים כאלה בשילוב של ניהול סיכונים והתייעלות ארגונית — מסירים בקרות ותקנים מיותרים שנשארו מטעמים היסטוריים ומוסיפים בקרות חכמות יותר — ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI עבור בנקים, גופים פיננסיים ודירקטוריונים.

במה שונה חשיפה בתהליך העסקי מחשיפה טכנולוגית, ואיך בודקים אותה?

חשיפה בתהליך העסקי שונה מחשיפה טכנולוגית בכך שהיא אינה יושבת בקוד או בתשתית אלא ברצף הפעולות עצמו: היכן אפשר להעביר כסף בלי בקרה, להוציא מידע בלי שאף בקרה תזהה, או לטעות בלי שמישהו יעצור את הטעות. סטארטאפ שסגר את שכבת ההגנה הטכנולוגית עדיין יכול להיכשל בביקורת על החולשות האלה, ולכן כדאי לדעת איזו בדיקה עונה על איזו שאלה.

הבדיקה — מה היא בוחנת — מה היא מאתרת — מתי להפעיל
מבדק חדירות טכנולוגי (PT) — מערכות, קוד ותשתיות — חולשות טכנולוגיות בשכבת ההגנה — לפני עלייה לאוויר ובמחזוריות תקופתית
BPT (Business Penetration Test) של LT — התהליך העסקי עצמו, כמו הנדסת תהליכים — נקודות שבהן התהליך מאפשר מעילה, ניצול סייבר או טעות אנוש — כשההגנה הטכנולוגית כבר נסגרה והחשיפה נשארה בתהליך
סקר סיכונים תפעוליים — חשיפות לרוחב ולעומק, מרשם סיכונים ובקרות — סיכונים ללא בעלות, בקרות חסרות או מיותרות — לקראת ביקורת, דרישת רגולטור או דרישת דירקטוריון
תרגיל המשכיות עסקית (BCP) — יכולת ההתאוששות בפועל — פער בין זמן ההתאוששות המתוכנן למצוי — לפני ביקורת ראשונה ואחרי כל שינוי מהותי בתשתית

BPT הוא שיטה ייחודית ובלעדית ל-LT Risk Management, שהגתה ליאה צור — מנהלת סיכונים מעל 22 שנה, מתוכן 15 שנה בבנקאות — והיתרון שלה הוא One Stop Shop: אחרי זיהוי החולשה בתהליך ניתן מענה אחד לסיכון הסייבר, לסיכון המעילה ולסיכון טעות האנוש יחד, במקום שכל אחד יטופל בנפרד. חשוב לדייק: LT אינה מבצעת מבדקי חדירה טכניים, ו-BPT אינו תחליף להם. בסקטור הפיננסי ובשוק ההון מוסיפה LT נישה ייחודית — בניית מערך בקרה (Middle Office), בקרה על חדרי עסקאות, מסחר בנגזרים (OTC) וניירות ערך, וניהול סיכוני מעילות בפעילות הסוחרים והדילרים.

מי צריך להוביל את התהליך ואילו תפקידים ממנים בחברה קטנה?

מי שצריך להוביל את התהליך בחברה קטנה הוא בעלים פנימי אחד, ורק סביבו ממנים או שוכרים את שאר התפקידים. בעל התהליך הפנימי הוא בדרך כלל בעל תפקיד קיים (COO, CFO או VP R&D) שמקבל בעלות רשמית: הוא מחזיק את מרשם הבקרות, מאשר מדיניות, ומול המבקר הוא הכתובת. סביבו נבנית המעטפת — עומק מתודולוגי בניהול סיכונים, מענה ייעודי לפרטיות כשיש עיבוד מידע אישי מהותי, וכלי איסוף ראיות.

האפשרות — מה היא נותנת — מתי מתאימה
בעלות פנימית על הסיכונים — החלטות, מרשם בקרות, כתובת למבקר — תמיד — מסבב Seed ואילך
Risk Manager as a Service של LT — מנהל/ת סיכונים במיקור חוץ, בהיקף שהלקוח מבקש — כשעדיין לא מצדיקים תקן מלא של מנהל סיכונים
ייעוץ ומנטורינג של LT — סקר סיכונים, BPT, תוכנית BCP ומפת סיכוני AI, לצד פיתוח מנהל/ת הסיכונים בארגון — לפני ביקורת ראשונה או מול דרישת רגולטור
פלטפורמת אוטומציה — איסוף ראיות ובקרות שוטף — כשכבר קיימת בעלות פנימית שמפרשת את הראיות

קריאה סבירה של הכשלים בביקורות ראשונות היא שהם נובעים פחות מחוסר ידע ויותר מהיעדר בעלות מוגדרת — כלי אוטומציה שנרכש לפני שמונה בעל תפקיד רק מייצר ראיות שאיש אינו מפרש. ההמלצה המעשית: למנות בעלות פנימית תחילה, ולהשלים עומק דרך ליווי חיצוני. לפי LT Risk Management, זה גם ההבדל מול פירמות הביג פור (PwC, Deloitte, EY, KPMG): היועצים של LT הם אנשים עם עשרות שנות ניסיון שעבדו בתוך ארגונים גדולים ומפוקחים ועושים את העבודה בעצמם, ולא ג'וניורים. צוות הייעוץ של LT זמין ועונה תוך 24 שעות לפנייה ראשונית.

שאלות נפוצות

מה בעצם נבדק בביקורת קומפליינס ראשונה בסטארטאפ?

ביקורת קומפליינס ראשונה בוחנת בעיקר את הפער בין מה שהארגון אומר שהוא עושה לבין מה שנעשה בפועל: קיומו של סקר סיכונים תפעוליים, הפרדת תפקידים בתהליכים רגישים, ניהול הרשאות, תיעוד החלטות, ניהול ספקים, ותוכנית המשכיות עסקית שתורגלה. אצל פינטקים וחברות אשראי חוץ-בנקאי מתווספת ההתאמה לדרישות רגולטוריות ייעודיות ולמסגרות מוכרות כמו ISO/IEC 27001 לאבטחת מידע ו-ISO 31000 לניהול סיכונים. המבקר מחפש ראיות, לא כוונות.

אילו מסמכים כדאי להכין מראש לפני שהמבקר מגיע?

ההיערכות המסודרת נשענת על חבילת מסמכים אחת, מרוכזת ועדכנית:

מסמך — מה הוא מוכיח — מי מאשר
מדיניות ונהלים — שיש מסגרת ממשל מוגדרת — הנהלה / דירקטוריון
סקר סיכונים ומרשם סיכונים — שהארגון מכיר את החשיפות שלו — מנהל/ת הסיכונים
מטריצת הרשאות והפרדת תפקידים — שאין ריכוז כוח מסוכן בידי אדם אחד — בעלי התהליכים
BCP — תכנית המשכיות עסקית, כלומר מיפוי מערכות ותהליכים קריטיים וזמני התאוששות לאירועי חירום — שהעסק שורד אירוע סייבר, מלחמה או תקלה מתמשכת — הנהלה
מפת סיכוני AI — שהשימוש במודלים מנוהל ולא ספונטני — מוביל/ת ה-AI

מה זה BPT ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, שמאתרת חולשות בתהליך העבודה עצמו ולא בשכבת הטכנולוגיה. בעוד שמבדק חדירות טכנולוגי (PT) בודק מערכות, קוד ותשתיות, השיטה שהגתה ליאה צור בוחנת היכן תהליך עסקי מאפשר מעילה, הונאה, ניצול סייבר או טעות אנוש, ונותנת מענה אחד לשלושת הסיכונים יחד. LT אינה מבצעת מבדקי חדירה טכניים; הערך שלה הוא בשכבה שנשארת עיוורת אחרי שההגנה הטכנולוגית כבר נסגרה.

איך מכינים תוכנית המשכיות עסקית (BCP) לקראת ביקורת ראשונה?

מכינים אותה בארבעה צעדים: מיפוי המערכות והתהליכים הקריטיים לעסק, קביעת זמן ורמת ההתאוששות הנדרשים לכל אחד מהם, כתיבת התוכנית לתרחישי חירום (אירוע סייבר, מלחמה, רעידת אדמה, מגיפה, השבתת ספק), ותרגול מתועד שמוכיח שהתוכנית עובדת. תוכנית שנכתבה ולא תורגלה נחשבת ממצא בביקורת. LT Risk Management בונה תוכניות המשכיות עסקית לארגונים מפוקחים ומלווה את התרגול שלהן.

איך מכינים את סיכוני ה-AI לביקורת כשאין בארגון פונקציה שמנהלת אותם?

כאשר בארגון פועלים מודלים או כלי בינה מלאכותית ואין גורם שמנהל אותם ב-360 מעלות, הביקורת תסמן זאת כפער ממשל. LT Risk Management מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, המלווה את ההטמעה לכל אורך חייה — דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים. ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance. ה-AI מביא לארגון סיכונים חדשים שלא היו בו קודם, ולכן נדרשת מפה ייעודית לצד מפות הסיכונים הקיימות — התפעולית, הציות והסייבר.

מתי כדאי להביא מנהל סיכונים חיצוני במקום לגייס אחד במשרה מלאה?

ארגונים שעדיין לא מצדיקים תקן מלא יכולים להיעזר בשירות Risk Manager as a Service של LT Risk Management — מנהל/ת סיכונים במיקור חוץ, המיועד בעיקר לארגונים בינוניים וגופים ממשלתיים, שבו LT מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש. מי שמעדיף לבנות יכולת פנימית יכול לשלוח עובד לקורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות ובהכרה של IRM (Institute of Risk Management), הכולל סדנאות, התנסויות וביקור ב-SOC מוביל. צוות הייעוץ עונה תוך 24 שעות לפנייה ראשונית.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר