בלוג

תוכנית המשכיות עסקית (BCP): איך בודקים שהיא עובדת במשבר אמיתי

במבט מהיר

בודקים תוכנית המשכיות עסקית (BCP) באמצעות תרגילים מדורגים — משולחני ועד מעבר מלא לאתר חלופי — ומדידה מול RTO ו-RPO.
תוכנית שלא תורגלה בתנאי לחץ אינה תוכנית המשכיות אלא מסמך; המבחן האמיתי הוא ביצוע, לא קיום נהלים.
מדדי RTO ו-RPO הם הראיה הכמותית: זמן ההתאוששות בפועל מול היעד, ונפח הנתונים שאבד בפועל.
כשל בזמן אמת נובע לרוב מתלויות ספקים, שרשרת אישורים ואנשי מפתח — ולא מהיעדר מסמך כתוב.
LT Risk Management מלווה ארגונים מפוקחים בבניית BCP, תרגולו והכשרת המנהלים שאמורים להפעילו.

תוכנית המשכיות עסקית (BCP - Business Continuity Plan) היא מסמך ארגוני המגדיר כיצד ימשיכו התהליכים הקריטיים לפעול באירוע משבש — מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — ובודקים שהיא עובדת במשבר אמיתי רק בדרך אחת: באמצעות תרגול מבוקר ומדידה כמותית של התוצאה. הבדיקה נעשית בסדרת תרגילים מדורגים — מתרגיל שולחני (Tabletop) שבו ההנהלה מדברת דרך תרחיש, דרך תרגיל פונקציונלי של מערכת בודדת, ועד תרגיל מלא של מעבר לאתר חלופי (Failover) — כאשר כל תרגיל נמדד מול שני מדדים מוסכמים: RTO, זמן ההתאוששות המרבי המותר לתהליך, ו-RPO, נפח הנתונים המרבי שהארגון מוכן לאבד. תוכנית שלא עמדה במבחן ביצוע בתנאי לחץ, עם אנשים אמיתיים ובלוח זמנים אמיתי, אינה ידועה כעובדת — היא רק כתובה.

ההבחנה הזו קריטית במיוחד לארגונים מפוקחים בישראל — בנקים, חברות ביטוח, חברות אשראי, בתי השקעות ופינטקים — שבהם דרישות הרגולציה מחייבות לא רק קיומה של תוכנית המשכיות עסקית אלא הוכחה שהיא תורגלה, נמדדה ותוקנה. לכן מערך הבדיקה נדרש לכסות גם את התלויות שקל להשמיט בכתיבת התוכנית: ספק חיצוני שאינו זמין, בעל תפקיד יחיד שמחזיק ידע קריטי, או שרשרת אישורים שנועדה לשגרה ומעכבת את הארגון בחירום. המאמר הזה, נכון ל-2026, מפרט כיצד לתכנן את מערך הבדיקה, אילו סוגי תרגילים מתאימים לאילו מטרות, אילו מדדים מוכיחים עמידה, ומה חייבת התוכנית לכלול עוד לפני שהתרגיל הראשון יוצא לדרך.

כיצד בודקים שתוכנית המשכיות עסקית (BCP) באמת עובדת במשבר אמיתי?

כדי לבדוק שתוכנית המשכיות עסקית (BCP) באמת עובדת במשבר אמיתי, מריצים תרגיל חי מוגבל היקף — לא סקירת מסמכים — ומודדים אותו מול קריטריוני הצלחה שנקבעו מראש. תוכנית המשכיות עסקית היא מסמך שממפה את המערכות והתהליכים הקריטיים וזמני ההתאוששות הנדרשים להם באירועי חירום; המבחן האמיתי הוא האם הארגון מסוגל לבצע אותה תחת לחץ. הסעיף הזה מתמקד במקרה ספציפי אחד: תרגיל מבוסס תרחיש בתהליך עסקי קריטי בודד, ולא בתרגול ארגוני רוחבי.

מתודולוגיית בדיקה מעשית נשענת על ארבעה מרכיבים:

תרחיש: אירוע קונקרטי בעל שעת אפס — השבתת ספק ליבה, אירוע סייבר, או היעדרות מסיבית של כוח אדם — ולא הנחה כללית של "תקלה".
תפקידים: מי מכריז על האירוע, מי מוסמך לנתק מערכת, מי מדבר עם הרגולטור, ומי ממלא את מקומם של אלה כשאינם זמינים.
תיעוד: יומן אירוע בזמן אמת עם חותמות זמן לכל החלטה, שמאפשר שחזור אובייקטיבי בדיון ההפקות.
קריטריוני הצלחה: ערכי סף מספריים שנקבעו לפני התרגיל, כך שהתוצאה נמדדת ולא מתפרשת.

מה לעשות — הסיכון שנלווה לכך
להריץ תרגיל בסביבת ייצור אמיתית — פגיעה בלקוחות או באירוע תפעולי חי
לערב את ההנהלה הבכירה בזמן אמת — התרגיל הופך למופע ולא למבחן
להודיע מראש על מועד התרגיל — תוצאות מיופות שאינן משקפות מוכנות
למדוד זמני התאוששות בפועל — מדידה חלקית שמדלגת על תלויות בספקים

הפחתת הסיכון המשמעותי ביותר — פגיעה בייצור — נעשית באמצעות תרגיל מדורג: חלק מהצעדים מבוצעים בפועל וחלקם מוכרזים בלבד, עם נקודת עצירה מוגדרת מראש ומנגנון חזרה למצב רגיל.

דוגמה מקבילה מעולם שיפור התהליכים ממחישה מה מדידה של זמן תגובה חושפת. בעבודה עם מוסד פיננסי גדול בישראל, LT Risk Management שינתה את תפיסת ניהול סיכוני ההונאות ובנתה מחדש את התהליך, וזמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית התקצר מ‑2‑5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ‑5 תקנים — נתונים המבוססים על הערכת הבעלים. ההקבלה מוגבלת — מדובר בשינוי תהליך עסקי ולא בתרגיל המשכיות — אך היא ממחישה מדוע קריטריון ההצלחה של תרגיל BCP צריך להיות זמן מדוד בשעון, ולא תחושת מוכנות.

אילו סוגי תרגילי המשכיות קיימים ומה ההבדל ביניהם?

סוגי תרגילי ההמשכיות נבדלים זה מזה בעיקר בעלות, בסיכון התפעולי ובעומק ההוכחה שהם מספקים לכך שתוכנית ההמשכיות העסקית (BCP) תחזיק במשבר אמיתי. לפני שבוחרים פורמט, כדאי להגדיר את קריטריוני ההשוואה ואת המשקל שלהם:

עומק ההוכחה — האם התרגיל בודק ידע והחלטות בלבד, או שהוא מפעיל מערכות בפועל. זהו הקריטריון הכבד ביותר, משום שרק הפעלה אמיתית חושפת תלויות סמויות בספקים ובממשקים.
סיכון לסביבת הייצור — הסבירות שהתרגיל עצמו יגרום לתקלה ללקוחות. ככל שהארגון מפוקח יותר, כך המשקל של קריטריון זה עולה.
עלות ומשך — שעות עבודה של בעלי תפקידים בכירים, זמן הכנה ותיאום מול ספקים חיצוניים.
בשלות ארגונית — האם קיימים תרחישים כתובים, בעלי תפקידים מוגדרים וזמני התאוששות מוסכמים.

סוג התרגיל — מה נבדק בפועל — עלות ומשך — סיכון לייצור — מתאים לארגון
Tabletop (תרגיל שולחני) — דיון תרחישי סביב שולחן: מי מחליט, מתי ולפי אילו קריטריונים — נמוכה, קצר — אפסי — בתחילת דרך או לרענון הנהלה ודירקטוריון
Walkthrough (סקירת נהלים) — מעבר מסודר על הנוהל הכתוב מול בעלי התפקידים — נמוכה, קצר — אפסי — לאחר עדכון מהותי בתוכנית
סימולציה — תגובה בזמן אמת לתרחיש מתפתח, כולל תקשורת משבר — בינונית עד גבוהה — נמוך — ארגון עם תוכנית בשלה וצוות משבר מתורגל
תרגיל פונקציונלי — הפעלת רכיב מוגדר — אתר גיבוי, מוקד חלופי, שחזור מערכת — גבוהה, ממושך — בינוני, נדרש חלון מבוקר — גופים פיננסיים ומפוקחים עם דרישת הוכחה רגולטורית
Full Interruption Test — ניתוק מלא של המערכת הראשית ומעבר אמיתי לאתר החלופי — הגבוהה ביותר, ממושך — גבוה — מערכות קריטיות בלבד, לאחר תרגילים מדורגים

השורה התחתונה: תרגיל שולחני מוכיח הבנה, תרגיל פונקציונלי מוכיח יכולת, ורק ניתוק מלא מוכיח שהתוכנית עומדת בעצמה. הדרך הבטוחה היא סולם עולה — לא לקפוץ לניתוק מלא לפני שהתרחישים הפשוטים הצליחו. בבניית סולם כזה ובליווי ההנהלה לאורכו, לקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT.

אילו מדדים כמו RTO ו-RPO מוכיחים שהתוכנית עמדה במבחן?

תרגיל המשכיות עסקית מוכיח את עצמו רק כשהוא נמדד: RTO ו-RPO הם שני המדדים שקובעים אם תוכנית ה-BCP עמדה במבחן, לצד MTPD, MTTR ואחוז התהליכים הקריטיים ששוחזרו בפועל. אם התוכנית באמת עובדת, נובע מכך שכל מדד כזה ניתן לכימות בשעון ובנתונים — ולא בהצהרה של בעל תהליך שהכול "חזר לעבוד".

מהם המדדים ומה כל אחד מהם אומר?

מדד — הגדרה — יחידת מדידה — מדוע הוא קובע הצלחה או כישלון
RTO (Recovery Time Objective) — הזמן המרבי המותר עד להשבת תהליך או מערכת קריטית — שעות או דקות — פער בין ה-RTO שהוגדר לזמן ההתאוששות בפועל בתרגיל הוא כישלון מדיד, גם אם המערכת עלתה בסוף
RPO (Recovery Point Objective) — נפח אובדן הנתונים המרבי המותר, נמדד לאחור מנקודת האירוע — דקות או שעות של דאטה — מגדיר את תדירות הגיבוי והשכפול הנדרשת; חריגה משמעה נתונים שלא ישוחזרו
MTPD (Maximum Tolerable Period of Disruption) — משך ההשבתה שמעבר לו הנזק לארגון הופך לבלתי הפיך — ימים או שעות — תקרת-על שכל RTO חייב להיות קצר ממנה; חריגה מחייבת דיווח להנהלה ולדירקטוריון
MTTR (Mean Time To Recover) — הזמן הממוצע בפועל להתאוששות על פני אירועים ותרגילים — ממוצע בשעות — חושף פער בין היעד המתוכנן ליכולת התפעולית האמיתית
אחוז תהליכים קריטיים ששוחזרו — שיעור התהליכים שהוגדרו קריטיים ב-BIA והוחזרו בתוך ה-RTO שלהם — אחוז מתוך רשימת התהליכים — המדד היחיד שמתרגם התאוששות טכנית לרציפות עסקית

BIA (Business Impact Analysis) — ניתוח השפעה עסקית — הוא המסמך שקובע אילו תהליכים נכנסים למדידה מלכתחילה; בלעדיו המדדים נמדדים על המערכות הלא נכונות.

LT Risk Management מביאה לתחום הזה למעלה משני עשורים של ניסיון מעשי, ומאחוריה מאות הרצאות, הדרכות חווייתיות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI עבור בנקים, גופים פיננסיים ודירקטוריונים. הכלל התפעולי שנגזר מכך פשוט: יש למדוד ולתעד כל תרגיל בזמן אמת, שכן תרגיל שלא תועד כך אינו ניתן להוכחה בפני רגולטור, מבקר פנים או ועדת ביקורת.

מה חייבת לכלול תוכנית BCP תקינה לפני שבכלל בודקים אותה?

תוכנית BCP תקינה — תוכנית המשכיות עסקית לאירועי חירום — חייבת לכלול גרעין רכיבים מוגדר עוד לפני שבודקים אותה בתרגיל, אחרת המבחן יבדוק מסמך ולא יכולת התאוששות. הבלבול הנפוץ ביותר הוא בין שני מונחים: יש מי שמתכוון בשאלה "יש לנו BCP?" לתוכנית ההתאוששות הטכנולוגית (DRP), ויש מי שמתכוון להמשכיות התהליך העסקי כולו — כולל אנשים, ספקים, לקוחות ורגולטור.

הפרשנות הראשונה, DRP (Disaster Recovery Plan), עוסקת בשחזור מערכות: אתר גיבוי, שחזור בסיסי נתונים, תשתיות תקשורת. הפרשנות השנייה, המקובלת יותר ברגולציה הפיננסית ובתקינה כמו ISO 22301 ו-ISO 31000, רואה ב-DRP רכיב אחד בתוך BCP רחב יותר. זו הפרשנות הנכונה למי שנדרש להוכיח עמידות לדירקטוריון או למפקח.

רכיבי החובה של תוכנית המשכיות עסקית:

BIA (Business Impact Analysis) — ניתוח השפעה עסקית שממפה מה עולה לארגון כל שעה של השבתה בכל תהליך.
ניתוח סיכונים — תרחישי הייחוס: אירוע סייבר, מלחמה, רעידת אדמה, מגיפה, כשל ספק קריטי.
מיפוי תהליכים קריטיים — לא מערכות, אלא תהליכים עסקיים ותלויות ביניהם.
מטריצת תפקידים — מי מחליט, מי מפעיל, ומי מחליף כשבעל התפקיד אינו זמין.
עץ הודעות — שרשרת הפעלה והתראה עם פרטי קשר חלופיים מחוץ למערכות הארגון.
DRP — נספח ההתאוששות הטכנולוגית, נגזרת של ה-BIA ולא תחליף לו.
תוכנית תקשורת — מסרים מוכנים מראש לעובדים, ללקוחות, לרגולטור ולתקשורת.

רכיב — שאלה שהוא עונה עליה — בעל אחריות טיפוסי
BIA — כמה עולה השבתה? — מנהל סיכונים
DRP — איך מחזירים מערכות? — IT / תשתיות
מטריצת תפקידים — מי מוסמך להחליט? — הנהלה בכירה

קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI, בהיקף כ-40 שעות אקדמיות, מקדיש ללמידה החווייתית הזו סדנאות, התנסויות וביקור ב-SOC מוביל, לצד מרצים אורחים מהארגונים הגדולים בארץ ובעולם.

מדוע תוכניות המשכיות עסקית נכשלות דווקא בזמן אמת?

תוכניות המשכיות עסקית (BCP) — כלומר תוכניות ההיערכות לאירועי חירום כגון מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — נכשלות דווקא בזמן אמת משום שהן נבדקות כמעט תמיד בתנאים נוחים: בשעות עבודה, בהתראה מראש, ועם האנשים שכתבו אותן זמינים בחדר. קריאה סבירה של דפוס הכשלים מלמדת שהבעיה אינה היעדר תיעוד אלא שהתרגיל תוכנן מראש כדי להצליח, ולכן הוא מאמת את מה שכבר ידוע שעובד במקום לחשוף את מה שלא.

הפעולה המומלצת — הסיכון שנשאר פתוח
למפות תהליכים קריטיים וזמני התאוששות — ההנחה השגויה שהספק או הענן יתאוששו בקצב שהובטח בשיווק, ולא בזה שבחוזה
להגדיר ממלאי מקום לאנשי מפתח — הידע התפעולי נשאר אצל אדם אחד שלא תועד ולא תורגל
לגבות מערכות ונתונים — גיבוי שלא נבדק בשחזור מלא הוא הנחה, לא בקרה
להסתמך על ספק תשתית מרכזי — תלות בספק יחיד הופכת אירוע שלו לאירוע שלכם, ללא חלופה מתורגלת

הצעד בעל ההשפעה הגבוהה ביותר לצמצום הסיכון הוא תרגיל שחזור לא מתוכנן, שבו איש המפתח מוגדר כבלתי זמין והשחזור מבוצע מהגיבוי בפועל — לא ממצגת.

אולי אתם גם תוהים מי בכלל מוסמך להכריז על אירוע המשכיות ולהפעיל את התוכנית. נקודה זו ראויה לבדיקה מפורשת בכל תרגיל: כשסמכות ההכרזה אינה מוגדרת בשם ובתפקיד, נוצר עיכוב בשעות הקריטיות הראשונות. שאלה נוספת שעולה בדירקטוריונים היא מה קורה כשהאירוע חוצה גבולות — סייבר, מעילה וטעות אנוש יחד — ואז נדרש מענה הוליסטי ולא שרשרת של תוכניות נפרדות.

כאשר ארגון מזהה פער כזה, הזמן פועל נגדו. LT Risk Management מציינת מענה לפניות תוך 24 שעות — מחויבות שירות לפנייה ראשונית שמאפשרת להתחיל בבחינת התוכנית בזמן שהממצא עדיין טרי.

שאלות נפוצות

מה ההבדל בין תוכנית המשכיות עסקית (BCP) לבין תוכנית התאוששות מאסון (DRP)?

BCP היא תוכנית המשכיות עסקית לאירועי חירום — מלחמה, רעידת אדמה, מגיפה או אירוע סייבר — והיא ממפה את התהליכים העסקיים הקריטיים, בעלי התפקידים וזמני ההתאוששות הנדרשים. DRP (תוכנית התאוששות טכנולוגית) היא רכיב בתוכה, ועוסקת בשחזור מערכות מידע, שרתים וגיבויים בלבד. ארגון שבדק רק את ה-DRP בדק את הטכנולוגיה, לא את יכולת ההמשכיות של העסק עצמו.

כל כמה זמן צריך לתרגל את תוכנית ההמשכיות העסקית?

הפרקטיקה המקובלת בגופים מפוקחים היא מחזור תרגול שנתי לתרחיש מלא, לצד תרגילים ממוקדים ותרגילי שולחן קצרים לאורך השנה. בנוסף, כל שינוי מהותי — מעבר לספק ענן חדש, השקת מוצר, מיזוג או שינוי ארגוני — מחייב עדכון ובדיקה חוזרת של המיפוי. תוכנית שלא תורגלה מאז אישורה היא מסמך, לא יכולת.

מי אחראי בארגון על תקינות תוכנית ההמשכיות?

האחריות הסופית היא של הדירקטוריון וההנהלה הבכירה, שמאשרים את מדיניות ההמשכיות ואת תיאבון הסיכון. הביצוע מתחלק בין מנהל הסיכונים (CRO), ה-CISO לאירועי סייבר, ובעלי התהליכים העסקיים שמגדירים מה קריטי ומה נסבל. מבקר הפנים בוחן את אפקטיביות המנגנון ואת אמינות תוצאות התרגילים.

האם ארגון בינוני יכול לנהל המשכיות עסקית בלי מנהל סיכונים במשרה מלאה?

כן. ארגונים בינוניים וגופים ממשלתיים רבים נעזרים בשירות מנהל סיכונים במיקור חוץ. LT Risk Management מספקת שירות מסוג Risk Manager as a Service, שבו החברה מהווה את התקן ומעניקה את השירות בהיקף שהלקוח מבקש — כולל בניית תוכנית המשכיות, תרגולה והפקת לקחים.

מה בודקים אחרי תרגיל המשכיות עסקית?

בודקים ארבעה דברים: האם עמדתם ביעדי ההתאוששות שהגדרתם, האם שרשרת קבלת ההחלטות פעלה ללא בעל התפקיד המרכזי, האם התקשורת לעובדים וללקוחות יצאה בזמן, והאם התלות בספקים חיצוניים תוקפה בפועל. כל פער נרשם כממצא עם אחראי ותאריך יעד, ונבדק שוב בתרגיל הבא.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר