שאלות נפוצות

Risk Manager as a Service: מתי מיקור חוץ מתאים לארגון שלכם?

LT RISKMGMT

עודכן לאחרונה: 2026-09-08

במבט מהיר

Risk Manager as a Service הוא שירות מנהל סיכונים במיקור חוץ, מתאים לארגונים שנדרשים לפונקציית סיכונים אך לא לתקן מלא.
LT Risk Management מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש — בעיקר לארגונים בינוניים וגופים ממשלתיים.
המודל רלוונטי במיוחד כשעומס רגולטורי, ממצאי ביקורת או הטמעת AI יוצרים דרישה מקצועית שאין לה מענה פנימי.
ליאה צור, מנכ"לית LT, היא מוסמכת Chief AI Officer מטעם Copenhagen Compliance ומובילה גם את מפת סיכוני ה-AI.
מיקור חוץ אינו מעביר אחריות: הדירקטוריון וההנהלה נשארים בעלי האחריות על ניהול הסיכונים בארגון.

Risk Manager as a Service — שירות מנהל/ת סיכונים במיקור חוץ — מתאים לארגון שחייב פונקציית ניהול סיכונים מקצועית ורציפה, אך אין לו הצדקה כלכלית או תפעולית לגייס מנהל סיכונים במשרה מלאה. בפועל, המודל מתאים בעיקר לארגונים בינוניים ולגופים ממשלתיים: LT Risk Management מהווה את התקן ומספקת את השירות בהתאם לצורך ולנפח שהלקוח מבקש, כך שהארגון מקבל מומחיות בכירה בהיקף משתנה במקום משרה קבועה. הטריגרים הנפוצים הם ממצא ביקורת פנימית שדורש מענה, דרישה רגולטורית חדשה, אירוע מעילה או הונאה, בניית תכנית המשכיות עסקית (BCP), או הטמעת בינה מלאכותית שמייצרת שכבת סיכונים — דאטה, validation, היבטים משפטיים — שאיש בארגון אינו מנהל ב-360 מעלות. חשוב להבהיר נקודה אחת מראש: מיקור חוץ מעביר את הביצוע, לא את האחריות — הפיקוח על הסיכונים (risk oversight) נשאר בידי הדירקטוריון וההנהלה הבכירה, והשירות נועד לתת להם בסיס מקצועי לקבלת ההחלטות. נכון ל-2026, השאלה שמעסיקה ארגונים רבים אינה "האם צריך מנהל סיכונים" אלא "באיזה מודל העסקה" — והתשובה תלויה בהיקף הסיכונים הלא-פיננסיים (NFR: סיכונים תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI), ברמת הפיקוח הרגולטורי החלה עליכם ובבשלות הבקרות הקיימות.

מהו Risk Manager as a Service (RMaaS) וכיצד הוא שונה ממנהל סיכונים פנימי?

שירות מנהל.ת סיכונים במיקור חוץ, המוכר גם בשם Risk Manager as a Service (ובקיצור RMaaS), הוא מודל שבו התפקיד מאויש על ידי גורם חיצוני כשירות מתמשך ובהיקף משתנה, במקום גיוס עובד.ת במשרה מלאה. ההבדל המהותי ממנהל סיכונים פנימי אינו בסמכות המקצועית אלא במבנה: הארגון רוכש זמן מומחה מוגדר במקום להחזיק תקן קבוע, ובמודל של LT Risk Management החברה מהווה את התקן ומספקת את השירות בנפח שהלקוח מבקש — פרקטיקה רלוונטית במיוחד לארגונים בגודל בינוני ולגופים ממשלתיים.

כדי להעריך את ההתאמה, כדאי להכיר את מאפייני התפקיד ואת המונחים שהוא מנהל:

מאפיין — מה הוא כולל — למה זה משנה בהחלטת מיקור החוץ
ERM (ניהול סיכונים כולל-ארגוני) — מסגרת אחת לזיהוי, הערכה ובקרה של סיכונים בכל יחידות הארגון — נדרשת שיטתיות ועקביות; שירות חיצוני מביא מתודולוגיה מוכנה במקום לבנות אותה מאפס
מפת סיכונים — תיעוד מובנה של הסיכונים המהותיים, הסתברותם, השפעתם והבקרות הקיימות — התוצר המרכזי שמאפשר לדירקטוריון לקיים risk oversight ולתעדף משאבים
תיאבון סיכון — רמת הסיכון שההנהלה והדירקטוריון מוכנים לקבל, בכתב ובמדדים — מוגדר על ידי הארגון בלבד; הגורם החיצוני מתרגם אותו לבקרות, לא קובע אותו
בעל.ת הסיכון (Risk Owner) — מנהל התהליך העסקי האחראי לסיכון ולבקרות בפועל — האחריות נשארת פנימית תמיד — מיקור חוץ מעביר מומחיות, לא בעלות
היקף האחריות בשירות — סקר סיכונים תקופתי, מפת סיכונים, ליווי ועדות, מענה לממצאי ביקורת ולדרישות רגולציה — מגדיר את היקף השעות ואת נקודות ההשקה עם ה-CISO, הביקורת הפנימית והציות

ההשפעה של תפקיד מאויש היטב ניכרת בתהליכים עצמם: במוסד פיננסי גדול בישראל, לפי הערכת הבעלים של LT, שינוי תפיסת ניהול סיכוני ההונאות קיצר את זמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית מממוצע של יומיים עד חמישה ימים לכל היותר שעתיים, לצד חיסכון מוערך של כחמישה תקנים — כלומר ערך שנוצר משינוי התהליך, לא מהוספת כוח אדם.

מתי מיקור חוץ של ניהול סיכונים באמת מתאים לארגון שלכם?

מיקור חוץ של ניהול סיכונים באמת מתאים לארגון שלכם כשיש חובה רגולטורית או ציפייה של לקוח לתפקיד מנהל סיכונים מוגדר, אך היקף העבודה בפועל אינו מצדיק משרה מלאה. זה תלוי גם למה בדיוק אתם מתכוונים כשאתם אומרים "מיקור חוץ", ולכן כדאי להפריד בין שתי פרשנויות נפוצות.

מה ההבדל בין השלמת תקן לבין פרויקט תחום?

בפרשנות הראשונה, RMaaS — כלומר מנהל/ת סיכונים כשירות חיצוני — הוא מילוי מתמשך של התפקיד עצמו: הגורם החיצוני ממלא את התקן ומספק את השירות בהיקף שהלקוח מגדיר. דוגמה טיפוסית: חברת אשראי חוץ-בנקאי שנדרשת להצביע על פונקציית ניהול סיכונים מול רגולטור שוק ההון, אך תחום ה-NFR שלה — הסיכונים הלא-פיננסיים, כלומר תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ובינה מלאכותית — עדיין בהיקף שאינו ממלא משרה.

בפרשנות השנייה מדובר בליווי מוגדר-נושא: סקר סיכונים, בניית תוכנית המשכיות עסקית (BCP) או מפת סיכוני AI, עם תאריך סיום. דוגמה: פינטק לפני גיוס הון שנדרש להציג ממשל סיכונים מסודר לבודקי נאותות. זו הפרשנות הרווחת בקרב ארגונים צומחים, והיא לרוב נקודת הכניסה הנכונה.

אילו טריגרים מצדיקים מיקור חוץ ומתי עדיף פנימי?

טריגר — שירות חיצוני מתאים — מנהל/ת סיכונים פנימי עדיף
דרישת רגולטור או לקוח עסקי — כן — נדרש תקן מוכר במהירות — רק אם הדרישה קבועה ורחבה
שלב צמיחה או גיוס הון — כן — נטל קבוע נמוך — כשהארגון כבר בשלב יציבות
אחרי אירוע סייבר או מעילה — כן — ידע חיצוני מיידי — לאחר ייצוב, להטמעה שוטפת
ארגון בינוני או ממשלתי — כן — מודל מקובל — כשיש מורכבות תפעולית יומיומית
הטמעת בינה מלאכותית רוחבית — כן — מומחיות ייעודית — כשקיימת פונקציה פנימית ייעודית

לקוחות מובילים במשק הפיננסי והציבורי, ובהם בנק דיסקונט, בנק לאומי, בנק ישראל, מנורה מבטחים, ויזה כאל ומשרד המשפטים, מעידים על הייעוץ, ההדרכות וההרצאות של LT Risk Management. כאשר תרבות הסיכון עצמה היא היעד, השילוב הנכון הוא בעלות פנימית על התהליך לצד מומחיות חיצונית שמובילה אותו.

מה ההבדל בין מנהל סיכונים פנימי, יועץ פרויקטלי ו-Risk Manager as a Service?

ההבדל בין מנהל סיכונים פנימי, יועץ פרויקטלי ומודל Risk Manager as a Service — כלומר מנהל.ת סיכונים בשירות מיקור חוץ — אינו רק שאלת עלות, אלא שאלה של רציפות אחריות. לפני שמשווים, כדאי לקבע את קריטריוני ההערכה ואת המשקל שלהם:

עלות ותקן: האם נדרש תקן מלא בשכר קבוע, או תשלום לפי נפח פעילות.
זמינות ורציפות: מי זמין לאירוע חריג ומי מחזיק את התהליך לאורך זמן.
עומק היכרות עם הארגון: הבנת התהליכים העסקיים, המערכות והתרבות הפנימית.
רוחב מומחיות: כיסוי כלל ה‑NFR (Non‑Financial Risk — סיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו‑AI).
אי‑תלות ובקרה: היכולת להציף ממצא לא נוח מול ההנהלה והדירקטוריון.

לארגון מפוקח, אי‑התלות ורוחב המומחיות מקבלים בדרך כלל משקל גבוה יותר מהעלות, משום שהם אלה שנבחנים בביקורת פנים ובדרישות הרגולטור.

קריטריון — מנהל סיכונים פנימי — יועץ פרויקטלי — Risk Manager as a Service
מבנה עלות — תקן מלא וקבוע — תשלום חד‑פעמי לפרויקט — לפי נפח שהלקוח מבקש
זמינות — גבוהה ורציפה — מוגבלת לתקופת הפרויקט — מוגדרת מראש, רציפה
היכרות עם הארגון — עמוקה — חלקית, ממוקדת נושא — נבנית לאורך ההתקשרות
רוחב מומחיות — תלוי באדם אחד — עמוק בתחום אחד — צוות רב‑תחומי
המשכיות — נפגעת בעזיבה — מסתיימת עם המסמך — נשמרת ברמת הספק
אי‑תלות — מוגבלת פוליטית — גבוהה — גבוהה

LT Risk Management מספקת את שירות ניהול הסיכונים במיקור חוץ בעיקר לארגונים בינוניים וגופים ממשלתיים, ומאיישת עבורם את התפקיד בהיקף המוגדר. עם למעלה משני עשורים של ניסיון מעשי, מאחורי הצוות מאות הרצאות, הדרכות חווייתיות וחדשניות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו‑AI, עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות.

השורה התחתונה: תקן פנימי מתאים כשהנפח מצדיק משרה מלאה, יועץ פרויקטלי מתאים למשימה תחומה, והמודל המנוהל מתאים כשנדרשת אחריות רציפה ורוחב מומחיות בלי תקן קבוע.

אילו סוגי סיכונים ודרישות רגולציה מכוסים בשירות כזה כיום?

שירות Risk Manager as a Service מכסה את סוגי הסיכונים הלא‑פיננסיים ואת דרישות הרגולציה החלות עליהם — מסיכון תפעולי ועד סיכוני AI. NFR (Non‑Financial Risk) הוא שם הקטגוריה: כל מה שאינו סיכון שוק או אשראי — תפעול, מעילות והונאות, סייבר ומידע, ספקים וצד שלישי, ציות והמשכיות עסקית. מה שהשתנה בין 2025 להיום, בשנת 2026, הוא בעיקר הוספת שכבת ה‑AI: מודלים גנרטיביים בתהליכי עבודה מחייבים מפת סיכוני AI ייעודית — דאטה, validation, AI Red Teams והיבטים משפטיים — לצד מסגרות ותיקות שלא בוטלו.

תחום סיכון — לְמה מתחבר — מה מנהל/ת הסיכונים במיקור חוץ מייצר
תפעולי ומעילות — ISO 31000 (תקן ניהול סיכונים כללי), הוראות נב"ת — סקר סיכונים, מיפוי בקרות, תוכנית עבודה שנתית
סייבר ומידע — ISO 27001 (ניהול אבטחת מידע), מסגרות NIST — חיבור בין בקרות טכנולוגיות לחולשות בתהליך העסקי
פרטיות וצד שלישי — GDPR (רגולציית הגנת הפרטיות האירופית) — מיפוי זרימות מידע וסיכוני ספקים
המשכיות עסקית — BCP — תוכנית המשכיות לאירועי חירום — מיפוי מערכות קריטיות וזמני התאוששות
AI וממשל נתונים — EU AI Act ומדיניות פנימית — מפת סיכוני AI ומסלול אישור לשימושים חדשים

הכיסוי הזה תלוי בעומק הידע של מי שמספק אותו. LT Risk Management מעבירה קורס הסמכה למנהלי.ות סיכונים תפעוליים, סייבר ו‑AI בהיקף כ‑40 שעות אקדמיות, הכולל סדנאות, התנסויות, ביקורים ב‑SOC מוביל ומרצים אורחים מהארגונים הגדולים בארץ ובעולם — אותה תשתית מקצועית עומדת מאחורי השירות המנוהל. הרגולציה אינה מסתפקת בקיום מסמך; היא בודקת שהבקרות חיות, נבדקות ומדווחות לדירקטוריון.

כמה עולה Risk Manager as a Service ואיך מודדים החזר השקעה?

עלות של Risk Manager as a Service — שירות מנהל/ת סיכונים במיקור חוץ — נגזרת מהיקף העבודה שהארגון מגדיר, ולא ממחירון אחיד. ב-LT Risk Management השירות ניתן בהתאם לצורך ולנפח שהלקוח מבקש, כאשר החברה ממלאת את התקן במקום גיוס פנימי במשרה מלאה.

אם אתם ארגון בינוני, גוף ממשלתי, פינטק או חברת אשראי חוץ-בנקאי שנכנס לרגולציה של שוק ההון, שלושת מודלי ההתקשרות המקובלים בשוק הם:

ריטיינר חודשי — היקף שעות קבוע לתחזוקת מסגרת ניהול הסיכונים, דיווחי דירקטוריון ומעקב אחר ממצאי ביקורת.
בנק שעות — צריכה גמישה לפי אירועים, מתאים לארגונים עם עומס רגולטורי משתנה.
פרויקט תחום — למשל סקר סיכונים, מפת סיכוני AI או בניית תוכנית המשכיות עסקית (BCP).

מרכיבי עלות שנוטים להישכח: זמן הלמידה של התהליכים העסקיים, זמן ההנהלה הנדרש לראיונות ולאישורים, תחזוקת התיעוד מול הרגולטור, וכן עלות התחלופה אם מנהל סיכונים פנימי עוזב.

פעולה מומלצת — הסיכון שיש לנטר
להתחיל בפרויקט תחום לפני התקשרות ארוכה — הידע נשאר אצל הספק ולא מוטמע בארגון
לקבע ריטיינר לפי תוצרים ולא לפי שעות — תוצרים "על הנייר" בלי הטמעה בשטח
להשוות מול עלות גיוס פנימי מלאה — השוואת שכר בלבד, בלי גיוס, הכשרה ותחלופה

הפחתת הסיכון המהותי ביותר: לעגן בהתקשרות העברת ידע מובנית לבעלי התהליכים בארגון.

חישוב ההחזר נבנה משלושה אגפים — הימנעות מנזק תפעולי או מעילה, שיפור עמידות מול חתמי ביטוח, וחיסכון בעלות גיוס פנימי — ואת שלושתם יש לכמת בהערכה זהירה. קריאה סבירה של מודלי התמחור מלמדת שהמשתנה המכריע אינו מספר השעות אלא זמן התגובה: ערכו של מנהל סיכונים במיקור חוץ נמדד ברגע האירוע. LT מציינת בעמוד יצירת הקשר שלה מענה לפניות תוך 24 שעות — מחויבות שירות לפנייה ראשונית ולא רמת שירות חוזית.

שאלות נפוצות

מה בדיוק כולל שירות Risk Manager as a Service?

שירות Risk Manager as a Service הוא איוש תפקיד מנהל/ת הסיכונים במיקור חוץ: LT Risk Management מהווה את התקן ומספקת את השירות בהיקף שהלקוח מבקש, במקום גיוס עובד/ת במשרה מלאה. השירות מכוון בעיקר לארגונים בינוניים ולגופים ממשלתיים, ומכסה את עולם ה‑NFR — Non‑Financial Risk, כלומר כלל הסיכונים שאינם פיננסיים: סיכונים תפעוליים, מעילות והונאות, סייבר בתהליך העסקי, המשכיות עסקית וסיכוני בינה מלאכותית. ההיקף נקבע לפי מפת הסיכונים בפועל, ולא לפי תבנית אחידה.

אילו ארגונים מתאימים למיקור חוץ של ניהול סיכונים?

מיקור חוץ מתאים בעיקר לארגונים שיש להם חובת ניהול סיכונים מהותית אך אין להם נפח עבודה המצדיק תקן מלא. בפרקטיקה מדובר בארגונים בינוניים, גופים ממשלתיים וחברות ממשלתיות עם רגולציה מחייבת, וכן בפינטקים ובחברות אשראי חוץ‑בנקאי הכפופים לרגולציה של שוק ההון. גם ארגון שכבר מפעיל פונקציית סיכונים פנימית עשוי להיעזר בשירות כתגבור נקודתי — למשל לכתיבת סקר סיכונים, לבניית תכנית BCP (Business Continuity Plan — תכנית המשכיות עסקית לאירועי חירום כגון מלחמה, מגיפה או אירוע סייבר), או למענה על ממצא ביקורת ספציפי.

האם מנהל/ת סיכונים במיקור חוץ עונה על דרישות רגולטוריות וממצאי ביקורת?

התשובה תלויה במסגרת הרגולטורית החלה על הארגון, ויש לאמת אותה מול הגורם המפקח לפני ההתקשרות. מסגרות ניהול סיכונים מקובלות כגון ISO 31000 מתמקדות בקיומם של תהליכי ממשל סיכונים, בהגדרת בעלוּת ובדיווח להנהלה ולדירקטוריון; אופן איוש התפקיד הוא החלטה ארגונית. מה שאינו ניתן להעברה במיקור חוץ הוא האחריות עצמה — הדירקטוריון וההנהלה הבכירה נשארים בעלי האחריות על פיקוח הסיכונים, והספק החיצוני מספק את המקצועיות, התיעוד וההמלצות.

מה ההבדל בין מיקור חוץ לניהול סיכונים לבין ייעוץ פרויקטלי?

ההבדל הוא בשרשור: ייעוץ פרויקטלי מסתיים בתוצר, ואילו Risk Manager as a Service הוא נוכחות מתמשכת שמלווה את מחזור החיים של הסיכון — זיהוי, הערכה, בקרות, מעקב אחר יישום ודיווח. אצל LT השירות נשען על עבודה מעשית בארגונים מפוקחים; ליאה צור, מייסדת החברה, מביאה מעל 22 שנה של ניסיון בתחום, כולל עבודת Middle Office — מערך הבקרה על פעילות שוק ההון, חדרי עסקאות ומסחר בנגזרים. בשינוי תפיסת ניהול סיכוני ההונאות במוסד פיננסי גדול בישראל, ולפי הערכת הבעלים של LT שלא אומתה בפומבי, זמן ניתוק לקוח חשוד מהפלטפורמה העסקית התקצר מ‑2–5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ‑5 תקנים.

האם השירות מכסה גם את סיכוני ה‑AI בארגון?

כן — LT מספקת שירות Chief AI Officer, כלומר גורם שמנהל את הבינה המלאכותית בארגון ב‑360 מעלות, לרבות כתיבת מפת סיכוני AI ייעודית. הליווי מתפרש על כל אורך חיי ההטמעה: איכות הדאטה, validation של המודלים, AI Red Teams והיבטים משפטיים ורגולטוריים, מול מסגרות כמו EU AI Act. ליאה צור מוסמכת Chief AI Officer מטעם Copenhagen Compliance. חשוב להבחין: הסייבר הוא רק אחת מזרועות הסיכון של ה‑AI והוא באחריות ה‑CISO, בעוד ניהול הסיכון הכולל דורש פונקציה רוחבית.

מה זה BPT ואיך הוא נבדל ממבדק חדירות טכנולוגי?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל‑LT, שמאתרת חולשות בתהליך העבודה עצמו ולא במערכות הטכנולוגיה. בניגוד ל‑PT טכנולוגי, שבוחן תשתיות ואפליקציות, BPT נכנס לפער שנשאר פתוח אחרי סגירת ההגנה הטכנולוגית ומספק מענה הוליסטי לשלושה סיכונים במקביל: סייבר, מעילה וטעות אנוש. LT אינה מבצעת מבדקי חדירה טכניים.

איך מתחילים, וכמה זמן לוקח לקבל מענה?

מתחילים בפנייה ראשונית ובשיחת אפיון קצרה שממפה את הסיכונים המהותיים, את דרישות הרגולציה החלות ואת היקף השירות הנדרש. LT מציינת בעמוד יצירת הקשר שלה מענה לפניות תוך 24 שעות — זוהי מחויבות שירות לפנייה ראשונית ולא רמת שירות חוזית. ארגונים שמעדיפים לבנות יכולת פנימית לצד השירות יכולים לשלב את קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו‑AI, שלפי פרסומי החברה מתקיים בהיקף של כ‑40 שעות אקדמיות ומוכר על ידי IRM (Institute of Risk Management).

קשור

נשארו שאלות?

הצוות שלנו ישמח לעזור.

צרו קשר