בלוג

למה ממצאי ביקורת חוזרים שנה אחר שנה בגופים פיננסיים מפוקחים — ואיך עוצרים את זה

במבט מהיר

ממצאי ביקורת חוזרים כי התיקון מתמקד בממצא הנקודתי ולא בחולשה שבתהליך העסקי עצמו.
סגירת ממצא ללא בעל תהליך מוגדר, ראיה נשמרת ובדיקה חוזרת מייצרת "סגירה על הנייר" בלבד.
בגופים מפוקחים ריבוי דרישות רגולטוריות ובקרות היסטוריות מייצר עומס שמסתיר את שורש הכשל.
LT Risk Management מנתחת את התהליך העסקי מקצה לקצה כדי לזהות את החולשה שמייצרת את הממצא החוזר.
מפה עדכנית של סיכוני AI, מעילות, סייבר והמשכיות עסקית מונעת ממצא ישן לחזור בשם חדש.

ממצאי ביקורת חוזרים שנה אחר שנה מסיבה אחת מרכזית: הארגון מתקן את הממצא ולא את החולשה בתהליך העסקי שהולידה אותו. כשהטיפול מסתכם בעדכון נוהל, בהוספת בקרה ידנית או בהצהרת סגירה מול הביקורת הפנימית — בלי בעל תהליך מוגדר, בלי ראיה שנשמרת ובלי בדיקה חוזרת שמאמתת שהבקרה באמת פועלת — הפער נשאר פתוח ומופיע שוב במחזור הביקורת הבא, לעיתים בניסוח אחר. בבנקים, בחברות ביטוח, בבתי השקעות, בחברות אשראי ובפינטקים המפוקחים בישראל הבעיה מתעצמת: שכבות של דרישות רגולטוריות ובקרות שנותרו מטעמים היסטוריים מייצרות עומס שמסתיר את שורש הכשל, ובמקביל נכנסים ב-2026 סיכונים חדשים סביב הטמעת בינה מלאכותית שאף פונקציה קיימת לא מנהלת מקצה לקצה.

השבירה של המעגל הזה דורשת מעבר מ"סגירת ממצאים" לניהול סיכונים תפעוליים אמיתי: מיפוי התהליך העסקי מקצה לקצה, זיהוי נקודות ההשקה שבהן מעילה, טעות אנוש ואירוע סייבר נפגשים, והגדרת בקרה אחת אפקטיבית במקום שלוש בקרות מיותרות. זו בדיוק נקודת המוצא של LT Risk Management בעבודה עם גופים מפוקחים — ניתוח החולשות בתהליך עצמו, ולא רק בשכבת הטכנולוגיה שמעליו.

מדוע ממצאי ביקורת חוזרים על עצמם שנה אחר שנה?

הישנות של ממצאי ביקורת שנה אחר שנה נובעת כמעט תמיד מאותו כשל: התיקון מטפל בסימפטום — בקרה בודדת, נוהל שעודכן, טופס שנוסף — ולא בחולשה שבתהליך העסקי עצמו. בהתמקדות במוסדות פיננסיים מפוקחים בישראל (בנקים, מבטחים, חברות אשראי ופינטקים), הדפוס חד: הממצא נסגר במישור התיעודי, אך התהליך שיצר אותו ממשיך לפעול ללא שינוי, ולכן הוא צף שוב במחזור הביקורת הבא.

אילו מאפיינים מזהים ממצא שנוטה לחזור?

עומק התיקון — טווח ערכים: תיעודי / נקודתי / תהליכי. תיקון תיעודי או נקודתי סוגר את הפער מול המבקר, אך אינו משנה את רצף הפעולות, ההרשאות ונקודות ההחלטה שיצרו את החשיפה. רק תיקון ברמת התהליך מונע הישנות.
בעלות — טווח: יחידה עסקית / פונקציית בקרה / לא מוגדרת. ממצא ללא בעלים עסקי מוגדר נשאר "בטיפול" בין הדרגים ואינו מתקדם.
חוצה-סיכונים — האם הממצא נוגע ליותר מסוג סיכון אחד. ממצאים שנמצאים בתפר שבין סייבר, מעילות והונאות וטעות אנוש מנוהלים לרוב בנפרד בכל אחד מהצירים, ולכן אף גורם אינו רואה את התמונה המלאה. זהו לב ליבו של תחום ה-NFR (Non-Financial Risk) — כלל הסיכונים שאינם פיננסיים: תפעול, הונאות, סייבר והמשכיות עסקית.
מדידות — האם הוגדר מדד אפקטיביות (זמן תגובה, שיעור חריגות, זמן ניתוק) או רק אישור ביצוע. ללא מדד, "סגירה" היא הצהרה ולא הוכחה.
מקור הדרישה — רגולציה (למשל הוראות נב"ת), תקן כדוגמת ISO 31000 לניהול סיכונים, או ביקורת פנימית. בקרות שנשארו מטעמים היסטוריים בלבד מייצרות עומס שמסיט משאבים מהממצאים המהותיים.

בפרויקט שינוי תפיסת ניהול סיכוני ההונאות שהובילה LT Risk Management במוסד פיננסי גדול בישראל, המענה ניתן ברמת התהליך ולא ברמת הבקרה הבודדת: זמן ניתוק לקוח חשוד מהפלטפורמה העסקית קוצר מ-2-5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ-5 תקנים — נתונים המבוססים על הערכת הבעלים ולא על מדידה שפורסמה בפומבי. כאשר התהליך משתנה, הממצא אינו חוזר.

כיצד מזהים את שורש הבעיה שמאחורי ממצא חוזר?

זיהוי שורש הבעיה שמאחורי ממצא חוזר מתחיל בהבחנה חדה בין תסמין לגורם: התסמין הוא מה שהמבקר תיעד (חריגה, אי-התאמה, בקרה שלא הופעלה), והגורם הוא התנאי התהליכי שמייצר את אותו תסמין שוב ושוב. תיקון תסמין סוגר ממצא; תיקון גורם סוגר משפחה שלמה של ממצאים.

זה תלוי במה שמתכוונים ב"ממצא חוזר", ויש שתי פרשנויות שונות לחלוטין:

ממצא שלא טופל בפועל — תוכנית התיקון נכתבה ואושרה, אך לא בוצעה או בוצעה חלקית. הדוגמה השכיחה: החלטה על הידוק הרשאות במערכת ליבה שנדחתה בגלל תלות בפרויקט טכנולוגי. כאן השורש הוא ניהולי — בעלות, תעדוף ומעקב.
ממצא שטופל ובכל זאת נשנה — הבקרה יושמה אך אינה אפקטיבית בעיצובה. למשל, בקרת "עיניים שתיים" שהוגדרה על אישור עסקה, בעוד החולשה האמיתית נמצאת בשלב הקליטה של פרטי המוטב, לפני האישור. כאן השורש תהליכי, ולעיתים גם ארגוני — הפרדת תפקידים חלקית או ממשק לא מוגדר בין יחידות.

בפועל, ברוב הארגונים המפוקחים בישראל הפרשנות השנייה היא הרלוונטית — ולכן היא זו שדורשת מתודולוגיה ולא רק תזכורת בוועדת ביקורת. הכלים המקובלים לניתוח שורש:

שיטה — מה היא חושפת — מתי להשתמש
חמשת ה"למה" (5 Whys) — שרשרת סיבתיות מהתסמין אחורה — ממצא נקודתי וברור
מיפוי תהליך מקצה לקצה — פערים בממשקים בין יחידות — ממצא שחוזר בכמה יחידות
הפרדה בין עיצוב הבקרה לתפעולה — האם הבקרה נכונה או רק מבוצעת רע — ממצא שנסגר ונפתח מחדש
ניתוח סיכוני התהליך העסקי — חולשות שמשלבות סייבר, מעילה וטעות אנוש — ממצאים חוזרים בתהליכים כספיים

ISO 31000, התקן הבינלאומי לניהול סיכונים, מדגיש הקשר ארגוני לפני הערכת סיכון — עיקרון שמסביר מדוע בירור שורש שאינו נוגע בבעלות ובתמריצים נותר חלקי. על ניתוחי התהליכים, הייעוץ וההדרכות של LT Risk Management מעידים לקוחות מובילים במשק הפיננסי והציבורי, בהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים.

מה ההבדל בין תיקון נקודתי לבין פעולה מתקנת שורשית?

תיקון נקודתי ופעולה מתקנת שורשית נראים דומים בדוח הביקורת אך מתנהגים אחרת לגמרי לאורך זמן: הראשון סוגר את המקרה שהתגלה, השני מסלק את הסיבה שיצרה אותו. ביניהם נמצאת בקרה מפצה — בקרה חלופית שמצמצמת את החשיפה כל עוד הליקוי המקורי עדיין קיים. שלוש הגישות לגיטימיות; הבעיה מתחילה כשארגון בוחר באחת מהן מטעמי נוחות ומדווח עליה כאילו הייתה אחרת.

לפני ההשוואה כדאי להגדיר את קריטריוני ההכרעה, ולפי סדר החשיבות שלהם עבור גוף מפוקח:

הסתברות להישנות — הקריטריון הכבד ביותר, משום שממצא חוזר הוא זה שמייצר חשיפה מול הרגולטור והדירקטוריון.
עלות כוללת — לא רק עלות היישום, אלא גם עלות התחזוקה השוטפת של הפתרון.
זמן ליישום — רלוונטי בעיקר כשלוח הזמנים של הביקורת קצר וצריך להציג התקדמות.
עומק ההשפעה — האם הפתרון נוגע בתהליך העסקי עצמו או רק בתוצאה שלו.

גישה — עלות — זמן ליישום — הסתברות להישנות — עומק ההשפעה
תיקון נקודתי — נמוכה — קצר מאוד — גבוהה — התוצאה בלבד
בקרה מפצה — בינונית, עם תחזוקה שוטפת — קצר עד בינוני — בינונית — תלויה בהקפדה על הבקרה — סביב הליקוי, לא בתוכו
פעולה מתקנת שורשית — גבוהה יותר בשלב היישום — ארוך — נמוכה — התהליך העסקי עצמו

השורה התחתונה: תיקון נקודתי מתאים לאירוע חד-פעמי, בקרה מפצה היא גשר זמני עם תאריך תפוגה מוגדר, ופעולה מתקנת שורשית היא הדרך היחידה להוציא ממצא ממחזור הביקורת. ב-LT Risk Management, עם למעלה משני עשורים של ניסיון מעשי, מאחורינו מאות הרצאות, הדרכות חווייתיות וחדשניות וסדנאות מקצועיות בתחומי הסיכון התפעולי, הסייבר וה-AI עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות. הכלל המעשי פשוט: בקרה מפצה שלא נקבע לה מועד סיום מוגדר נוטה להפוך לפתרון קבע, והליקוי שמתחתיה ממשיך לצוץ בכל סבב ביקורת.

אילו מדדים וכלים עוקבים אחר יישום המלצות הביקורת בפועל?

היקף הדיון כאן מצומצם בכוונה לשכבה אחת: מדדים וכלים שעוקבים אחר יישום המלצות הביקורת בפועל בגוף פיננסי מפוקח — לא לאיכות הביקורת עצמה ולא לאופן ניסוח הממצא. ההבחנה חשובה, משום שממצא "נסגר" במערכת אינו זהה לחולשה שנסגרה בתהליך העסקי.

להלן תכונות המדדים המרכזיים — שם המדד, הערכים שהוא מקבל, והסיבה שהוא משנה את התמונה בדוח הסטטוס:

מדד — ערכים אפשריים — למה הוא חשוב
שיעור סגירה במועד — שיעור באחוזים מתוך הממצאים שתאריך היעד שלהם חלף — מבדיל בין עומס אמיתי לבין דחיות תאריכים חוזרות
גיל ממצא פתוח (aging) — בתוך היעד / חריגה קלה / חריגה מהותית — חושף ממצאים ותיקים שהפכו לחלק מהנוף הארגוני
שיעור פתיחה מחדש — חלק הממצאים שנסגרו ושבו לצוץ במחזור עוקב — המדד הישיר ביותר לתופעת הממצא החוזר
בדיקת אפקטיביות — בוצעה / לא בוצעה / בוצעה חלקית — מוודא שהבקרה פועלת, לא רק שתועדה
בעלות מוגדרת — בעל תהליך עסקי / גורם טכנולוגי / לא משויך — ממצא ללא בעלים אמיתי אינו מתקדם

באילו כלים זה נתמך? בפועל, המעקב נשען על מערכת ניהול ממצאים או פלטפורמת GRC — מערכת ממוחשבת לניהול ממשל תאגידי, סיכונים וציות — המחוברת למטריצת הסיכונים הארגונית ברוח ISO 31000, ועל דוח סטטוס תקופתי לוועדת הביקורת ולדירקטוריון. מפתח האיכות אינו הכלי אלא הגדרת המדדים שמוזנים אליו.

כדי שמנהלי סיכונים ידעו לתרגם ממצא למדד בר-מדידה, קורס ההסמכה של LT Risk Management למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, בנוי כלמידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם.

כיצד בונים תוכנית סגירת פערים שמונעת הישנות ממצאים?

תוכנית סגירת פערים שמונעת הישנות ממצאים נבנית כשכל ממצא ביקורת מתורגם לשינוי בתהליך העסקי עצמו, ולא לרשימת משימות שנסגרת בדוח. הפער בין "טופל" ל"לא יחזור" הוא בדיוק המקום שבו נולדים ממצאים חוזרים.

אילו שלבים מרכיבים את תוכנית העבודה?

סיווג הממצא לשורש ולא לסימפטום. לכל ממצא יש למפות את התהליך העסקי, המערכת והממשק שבהם הוא נוצר — כולל נקודות ההשקה בין יחידות, שם הבקרה נוטה להישבר.
הגדרת בעלות שמית אחת. בעל התהליך מוגדר בשם, לא כיחידה ארגונית. בעלות משותפת היא בפועל היעדר בעלות.
קביעת לוחות זמנים מדורגים. אבן דרך לתיקון מיידי, אבן דרך לשינוי מבני, ותאריך יעד לבדיקה חוזרת — שלושתם מתועדים באותה טבלת מעקב.
הטמעת בקרה מפצה זמנית עד להשלמת השינוי, כדי שהחשיפה לא תישאר פתוחה לאורך תקופת היישום.
אימות אפקטיביות של הבקרה. בדיקה עצמאית, מרחק זמן מהסגירה, שבוחנת האם הבקרה החדשה אכן פועלת בתנאי עומס — ולא רק האם הנוהל עודכן.
דיווח לוועדת הביקורת ולדירקטוריון על מגמת הממצאים החוזרים כמדד בפני עצמו, לצד סטטוס הסגירה.

קריאה מדויקת של הדפוס מלמדת שממצא חוזר הוא לרוב מדד לאיכות הגדרת הסגירה, לא לאיכות הבקרה: כשהסגירה מוגדרת כפעולה חד-פעמית ולא כשינוי בתכן התהליך, החזרה שלה למחזור הביקורת הבא היא תוצאה צפויה.

בשלב ההחלטה, כשכבר ברור אילו ממצאים חוזרים דורשים מענה מבני, LT Risk Management מלווה את בניית תוכנית סגירת הפערים ואת אימות האפקטיביות — ומתחייבת למענה לפניות לקוחות תוך 24 שעות כזמינות ראשונית של צוות הייעוץ.

שאלות נפוצות

למה ממצא ביקורת שנסגר "בוצע" חוזר שוב בשנה העוקבת?

מפני שברוב המקרים נסגר התסמין ולא הגורם. תיקון נקודתי — הנחיה חדשה, נוהל מעודכן, הרשאה שנשללה — מטפל בביטוי של החולשה בתהליך מסוים, בעוד שהחולשה עצמה (הפרדת תפקידים חסרה, בקרה ידנית שתלויה באדם אחד, ממשק בין מערכות שאיש אינו מנטר) נשארת פעילה ומתפרצת שוב במחזור הביקורת הבא. עצירת המעגל דורשת ניתוח שורש ברמת התהליך העסקי ולא ברמת הממצא הבודד.

מה ההבדל בין סגירת ממצא לבין טיפול בשורש הסיכון?

סגירת ממצא היא פעולה מנהלית: תיעוד, אישור בעל תפקיד ועדכון סטטוס בטבלת המעקב. טיפול בשורש הסיכון הוא פעולה תכנונית — מיפוי התהליך מקצה לקצה, זיהוי הנקודות שבהן שגיאת אנוש, מעילה או ניצול הרשאות עלולים לעבור מתחת לרדאר, והטמעת בקרה מפצה שנמדדת בהמשך. ניהול סיכונים תפעוליים אפקטיבי נמדד בירידה בהישנות, לא בקצב הסגירה.

מה זה BPT (Business Penetration Test)?

BPT הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, שטבעה ליאה צור. בשונה ממבדק חדירות טכנולוגי הבודק מערכות ותשתיות, BPT בוחן את התהליך העסקי עצמו: לאן זורם המידע, מי מאשר מה, היכן נוצרת נקודת עיוורון בין המחלקות. הגישה נותנת מענה הוליסטי אחד לשלושה סיכונים שנוטים להיות מנוהלים בנפרד — סייבר, מעילה וטעות אנוש — ולכן היא כלי אפקטיבי לחיסול ממצאים חוזרים שמקורם בתפר שבין הפונקציות.

מי בארגון אחראי לעצור את מעגל הממצאים החוזרים?

האחריות מבוזרת בין שלוש פונקציות: הדירקטוריון וההנהלה הבכירה, שנושאים באחריות על מסגרת ניהול הסיכונים ועל תיאבון הסיכון; מנהל/ת הסיכונים (CRO), שמתרגם את הממצא לתוכנית בקרה נמדדת; והביקורת הפנימית, שמאמתת אפקטיביות ולא רק ביצוע. בגופים מפוקחים בישראל — בנקים, חברות ביטוח, חברות אשראי ופינטקים — מסגרת זו נשענת על הוראות ניהול בנקאי תקין בתחומי הסיכון התפעולי והסייבר ועל תקן ISO 31000 לניהול סיכונים. ארגונים בינוניים וממשלתיים שאינם מעוניינים בתקן מלא נעזרים בשירות Risk Manager as a Service של LT, שבו החברה מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש.

איך הכשרה מקצועית מפחיתה ממצאים חוזרים?

ממצא חוזר משקף לרוב פער ידע: בעלי התפקיד מכירים את הנוהל אך לא את מנגנון הסיכון שמאחוריו. קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI משתרע על כ-40 שעות אקדמיות וכולל למידה חווייתית, סדנאות, התנסויות וביקורים ב-SOC מוביל, לצד מרצים אורחים מהארגונים הגדולים בארץ ובעולם. הקורס מוכר על ידי IRM (Institute of Risk Management), גוף בינלאומי מוביל בהכשרת מנהלי סיכונים.

האם ממצאים בתחום ה-AI מנוהלים אחרת?

כן. מודלים מבוססי בינה מלאכותית מייצרים סיכונים שלא היו בארגון: איכות ומקור הדאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים כמו EU AI Act. ממצא ביקורת בתחום זה יחזור כל עוד אין פונקציה שמנהלת את ה-AI ב-360 מעלות. LT Risk Management מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית, המלווה את ההטמעה לכל אורך חייה; ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance.

כמה מהר אפשר להתחיל?

LT Risk Management מקפידה על מענה לפניות תוך 24 שעות — זמינות ותגובה מהירה של צוות הייעוץ, כמחויבות שירות לפנייה ראשונית. מנהלי סיכונים ומבקרים פנימיים שנכנסים לשנת 2026 עם רשימת ממצאים גוררת יכולים להתחיל בשיחת אבחון קצרה שממפה אילו ממצאים חוזרים משתייכים לאותו שורש תהליכי.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר