בלוג

מי אחראי לסגירת ממצא בגופים פיננסיים מפוקחים בישראל: הביקורת הפנימית, ההנהלה או היחידה העסקית?

במבט מהיר

האחריות לסגירת ממצא היא של היחידה העסקית שבבעלותה התהליך; ההנהלה מאשרת ומתקצבת, והביקורת הפנימית מאמתת בלבד.
בגופים פיננסיים מפוקחים בישראל, ערבוב התפקידים בין קו ההגנה הראשון לשלישי הוא מקור נפוץ לממצאים חוזרים.
מודל שלושת קווי ההגנה מגדיר בעלות ברורה: ביצוע, בקרה ואימות בלתי תלוי — כל אחד בידיים אחרות.
LT Risk Management של ליאה צור מלווה דירקטוריונים, מנהלי סיכונים ומבקרים פנימיים בהגדרת בעלות על ממצאים ובניהול סיכונים תפעוליים.

האחריות לסגירת ממצא ביקורת מוטלת על היחידה העסקית — הגורם שבבעלותו התהליך שבו התגלתה החולשה. ההנהלה הבכירה אחראית לאשר את תכנית התיקון, להקצות לה משאבים ולוחות זמנים ולעקוב אחר עמידה בהם; הביקורת הפנימית אינה סוגרת ממצאים ואינה מתקנת אותם, אלא מאמתת באופן בלתי תלוי שהתיקון בוצע ושהוא אפקטיבי בפועל. זהו היישום המעשי של מודל שלושת קווי ההגנה, שעליו נשענת התשתית הרגולטורית של הפיקוח על הבנקים ושל רשות שוק ההון: קו ראשון מבצע ובעל הסיכון, קו שני מנהל סיכונים ובקרה, קו שלישי מבקר ומאמת.

ההבחנה הזו נשמעת טכנית, אך בפועל היא אחד המקורות השכיחים לממצאים חוזרים בגופים פיננסיים מפוקחים בישראל — בנקים, חברות ביטוח, חברות אשראי, בתי השקעות ופינטקים — וגם בקהל החדש של חברות האשראי החוץ-בנקאי, שנכנס בשנים האחרונות למשטר רגולטורי מלא. כאשר הביקורת "מחזיקה" את הממצא במקום היחידה העסקית, נוצרת אשליית טיפול: הליקוי מסומן כמנוהל, אך הבעלות עליו מעולם לא עברה למי שמסוגל לשנות את התהליך. המאמר הזה, נכון ל-2026, מפרט מי עושה מה בכל שלב, כיצד מתעדים החלטת קבלת סיכון שיורי, ואיך דירקטוריון מוודא שסגירת ממצאים אינה הופכת לתרגיל תיעודי בלבד. LT Risk Management (LT RISKMGMT), בהובלת ליאה צור, מלווה ארגונים מפוקחים בדיוק בנקודת החיכוך הזו — בין ביקורת, הנהלה ובעלי התהליכים.

מי אחראי בפועל לסגירת ממצא ביקורת ומהי "בעלות על ממצא"?

האחריות בפועל לסגירת ממצא ביקורת מוטלת על היחידה העסקית שבתהליך שלה התגלתה החולשה, והיא זו הנושאת ב"בעלות על ממצא". הדיון כאן ממוקד בגופים פיננסיים מפוקחים בישראל — בנקים, חברות ביטוח, חברות אשראי ובתי השקעות — שבהם חלוקת התפקידים נגזרת ממודל שלושת קווי ההגנה: היחידה העסקית מתקנת, פונקציות ניהול הסיכונים והציות מלוות ומאתגרות, והביקורת הפנימית מאמתת בלבד. ההנהלה הבכירה והדירקטוריון אינם "סוגרים" ממצאים בעצמם, אך נושאים באחריות הפיקוחית לכך שהתיקון בוצע במועד ושהסיכון השיורי מוכר ומאושר.

מהם המאפיינים שמגדירים ממצא בר-מעקב?

בעל הממצא (Owner): ערך יחיד — מנהל בעל סמכות תקציבית ותפעולית בתהליך, בשמו המלא ולא ועדה או מחלקה. בעלות מפוזרת היא הסיבה הנפוצה לממצא שנגרר בין מחזורי ביקורת.
תוכנית תיקון (Remediation Plan): מסמך המפרט את פעולת התיקון, אבני הדרך, תאריך היעד, והבקרה המפצה הזמנית עד להשלמה. ללא בקרה מפצה, החשיפה נשארת פתוחה גם כשהתוכנית מאושרת.
סטטוס: ערכים מקובלים — פתוח, בטיפול, נדחה בהארכה מאושרת, סגור בכפוף לאימות, וסגור. "סגור" אינו הצהרת היחידה העסקית שסיימה, אלא אימות של הביקורת שהבקרה החדשה פועלת בפועל לאורך זמן.
דירוג חומרה וסיכון שיורי: גבוה, בינוני או נמוך — הדירוג קובע את תדירות הדיווח לוועדת הביקורת ואת רמת הגורם המאשר חריגה מלוח הזמנים.

בסיכונים לא-פיננסיים (NFR) — סיכונים תפעוליים, מעילות והונאות, סייבר והמשכיות עסקית — ההבחנה הזו קריטית, משום שממצא נסגר רק כשהתהליך העסקי עצמו השתנה. LT Risk Management ליוותה מוסד פיננסי גדול בישראל בשינוי תפיסת ניהול סיכוני ההונאות, ולפי הערכת בעלי החברה זמן הניתוק של לקוח חשוד מהפלטפורמה העסקית התקצר מ-2-5 ימים בממוצע לכל היותר לשעתיים, לצד חיסכון של כ-5 תקנים. זו הדגמה של סגירה אמיתית: לא עדכון נוהל, אלא בעלות ברורה ותהליך שעובד אחרת.

כיצד מתחלקת האחריות בין הביקורת הפנימית, ההנהלה והיחידה העסקית?

הביקורת הפנימית, ההנהלה והיחידה העסקית ממלאות שלושה תפקידים שונים ובלתי מתחלפים בסגירת ממצא, ומודל שלושת קווי ההגנה — מסגרת ארגונית שמפרידה בין מי שמבצע את הפעילות, מי שמפקח עליה באופן שוטף ומי שמבקר אותה באופן בלתי תלוי — הוא שקובע מי עושה מה. לפני ההשוואה בין השלושה כדאי להגדיר את קריטריוני ההשוואה, שכן מהם נגזרת חלוקת האחריות בפועל:

בעלות על הפעולה המתקנת — מי משנה בפועל את התהליך, המערכת או הבקרה. זהו הקריטריון בעל המשקל הגבוה ביותר, משום שממצא נסגר רק כאשר התהליך עצמו משתנה.
סמכות לאשר סיכון שיורי — סיכון שיורי הוא הסיכון שנותר לאחר הפעלת הבקרות. לא כל דרג רשאי לקבל אותו; ההחלטה חייבת להתקבל בדרג בעל מנדט ניהולי וסמכות תקציבית.
אובייקטיביות ואימות — היכולת לבחון את אפקטיביות התיקון ללא ניגוד עניינים, ברוח עקרונות ניהול סיכונים מקובלים כדוגמת ISO 31000.

הגורם — תפקידו בסגירת הממצא — סמכות ההחלטה — מה אינו באחריותו
היחידה העסקית (קו ראשון) — ביצוע הפעולה המתקנת, עדכון נהלים והטמעה בשטח — קביעת אופן היישום ולוחות הזמנים התפעוליים — אינה מאשרת לעצמה את סגירת הממצא
הנהלה בכירה וניהול סיכונים (קו שני) — הקצאת משאבים, קביעת סדרי עדיפויות ואישור פורמלי של סיכון שיורי — קבלת הסיכון או דרישה להשלמת תיקון — אינה מבצעת את התיקון בעצמה
ביקורת פנימית (קו שלישי) — אימות אפקטיביות התיקון ואישור בלתי תלוי לסגירה — הכרעה אם הראיות מספיקות לסגירה — אינה מעצבת בקרות ואינה מקבלת סיכון

המסקנה המעשית פשוטה: היחידה העסקית מתקנת, ההנהלה מממנת ומאשרת את הסיכון שנותר, והביקורת הפנימית מאמתת וסוגרת. כל עירוב בין שלושת התפקידים הופך את הסגירה לפורמלית בלבד, בלי שינוי אמיתי בתהליך. כאן נדרשת שפה משותפת בין הדרגים סביב ניהול סיכונים תפעוליים, ולקוחות מובילים במשק הפיננסי והציבורי מעידים על הייעוץ, ההדרכות וההרצאות של LT Risk Management ככלי לבנייתה.

כיצד נראה תהליך סגירת ממצא מקצה לקצה?

תהליך סגירת ממצא מקצה לקצה בנוי משישה שלבים מוגדרים, וכל שלב מסתיים בתוצר מחייב שעובר לבעלים הבא בשרשרת. זו הנקודה שבה שאלת האחריות מפסיקה להיות תיאורטית: ברגע שהשלבים מוגדרים, ברור מי חייב מה ובאיזה מועד. לארגון מפוקח בישראל — בנק, חברת ביטוח, חברת אשראי או פינטק — התהליך הזה הוא גם מה שנבדק בפועל מול ועדת הביקורת והרגולטור.

מהם השלבים ומי מחזיק בכל אחד מהם?

שלב — מי מוביל — תוצר מחייב
הסכמה על הממצא — הביקורת הפנימית מול היחידה העסקית — ניסוח מוסכם, הקשר עסקי ודירוג חומרה
תוכנית עבודה ותאריך יעד — היחידה העסקית, באישור ההנהלה — תוכנית מתוקצבת עם בעלים נקוב בשמו ותאריך יעד
ביצוע — היחידה העסקית — שינוי בפועל בתהליך, בבקרה או במערכת
הצגת ראיות — היחידה העסקית — תיעוד: צילומי מסך, נהלים מעודכנים, לוגים, דוחות בקרה
אימות (validation) — הביקורת הפנימית — בדיקה עצמאית שהבקרה החדשה פועלת ולא רק הוגדרה
עדכון סטטוס — מנהל הסיכונים או מזכירות הביקורת — סטטוס במערכת מעקב הממצאים ודיווח לוועדת הביקורת

מדוע שלב האימות הוא זה שנופל?

אימות פירושו בדיקה עצמאית של הביקורת כי התיקון עובד בשטח, ולא הסתמכות על הצהרת המתקן. ממצא שסומן "סגור" על סמך מייל בלבד יחזור בסבב הבא, ולעיתים קרובות כממצא חוזר בחומרה גבוהה יותר. הכלל המעשי פשוט: ראיה ללא אימות אינה סגירה, ואימות ללא עדכון במערכת המעקב אינו קיים מבחינת הדירקטוריון.

מה כדאי לבחון לפני שבוחרים ליווי חיצוני?

אם אתם בשלב שקילת ליווי מקצועי, המבחן הוא האם הגורם המלווה מכיר את המנגנון מבפנים — כתיבת תוכנית תיקון ישימה, הגדרת ראיה מספקת ותרגום הממצא לשפת התהליך העסקי. ב-LT Risk Management, עם למעלה משני עשורים של ניסיון מעשי, מאחורינו מאות הרצאות, הדרכות חווייתיות וחדשניות וסדנאות מקצועיות בתחומי ניהול סיכונים תפעוליים, סייבר ו-AI, עבור בנקים, גופים פיננסיים, דירקטוריונים ותוכניות אקדמיות — ניסיון שמאפשר לליאה צור וצוות LT לחבר בין נוסח הממצא לבין הבקרה שתעמוד באימות.

מה תפקידם של ועדת הביקורת והדירקטוריון בממצאים שנותרו פתוחים?

כאשר ממצא ביקורת נותר פתוח מעבר למועד היעד שנקבע, תפקידם של ועדת הביקורת והדירקטוריון אינו לבצע את התיקון אלא לאכוף את קיומו: לוודא שיש בעל תפקיד מוגדר, לוח זמנים, והחלטה מודעת במקרה שהפער אינו נסגר. המבקר הפנימי הראשי (CAE — Chief Audit Executive, הגורם שמוביל את מערך הביקורת ומדווח לוועדת הביקורת) אחראי לדווח את תמונת המצב, אך לא לסגור ממצא במקום היחידה העסקית.

בגופים פיננסיים מפוקחים בישראל, מסגרות הממשל התאגידי — ובהן הוראות ניהול בנקאי תקין של הפיקוח על הבנקים, לצד תקן ISO 31000 לניהול סיכונים — מציבות את הדירקטוריון כמי שקובע את תיאבון הסיכון ואת ההנהלה כמי שמיישמת אותו. מכאן נגזרות שלוש חובות פיקוח מעשיות:

דוח התיישנות ממצאים: פילוח הממצאים הפתוחים לפי ותק, חומרה ובעל אחריות, המובא לוועדת הביקורת באופן שוטף.
כללי הסלמה: סף ברור שבו ממצא שחורג ממועד היעד עולה מדרג היחידה העסקית להנהלה ומשם לוועדה.
קבלת סיכון מודעת: החלטה מתועדת שלא לתקן פער מסוים, בציון הנימוק, הבקרות המפצות ומועד הבחינה מחדש — בדרגת ההחלטה המתאימה לחומרה.

היעדר שלושת אלה הוא שהופך רשימת ממצאים לחוב סיכון מצטבר, ולא כשל של יחידה בודדת.

חלק ניכר מהחיכוך סביב סגירת ממצאים נובע מפערי שפה בין הביקורת, הסיכונים והיחידות העסקיות. קורס ההסמכה של LT Risk Management למנהלות ומנהלי סיכונים תפעוליים, סייבר ו-AI — כ-40 שעות אקדמיות של למידה חווייתית הכוללת סדנאות, התנסויות וביקורים ב-SOC מוביל, עם מרצים אורחים מהארגונים הגדולים בארץ ובעולם — בנוי כדי לגשר בדיוק על הפער הזה ולהקנות לחברי הוועדה ולמנהלי הסיכונים שפת עבודה משותפת מול ממצאים פתוחים.

אילו כשלים גורמים לממצאים להישאר פתוחים וכיצד אפשר למנוע אותם?

הכשלים שגורמים לממצאים להישאר פתוחים חוזרים על עצמם בין ארגונים, ואפשר למנוע אותם באמצעות כללי בעלות ברורים ובקרה מדידה. ארבעה דפוסים מסבירים את רוב הפיגור:

בעלות מפוזרת — הממצא מנותב ל"יחידה" ולא לבעל תפקיד נקוב, ולכן איש אינו אחראי בפועל.
דחיות תאריכי יעד — הארכה מאושרת שוב ושוב, עד שהתאריך מאבד משמעות.
ראיות חלשות — מסמך מדיניות מוגש כהוכחת יישום, במקום ראיה שהבקרה פעלה בפועל.
סגירה טכנית — הפער נסגר בסעיף, אך ניתוח שורש (בחינת הסיבה המערכתית ולא רק הביטוי) לא בוצע, והממצא חוזר במחזור הבא.

הפעולה המומלצת — הסיכון שיש לשים לב אליו
מינוי בעלים יחיד ברמת מנהל לכל ממצא — ריכוז יתר אצל מנהל אחד, שהופך לצוואר בקבוק
כלל הסלמה אוטומטי לוועדת הביקורת בדחייה חוזרת — הצפת הדירקטוריון בפרטים תפעוליים והתעייפות מהתראות
מדד (KPI) של שיעור ממצאים בפיגור לפי חטיבה — "משחק במספרים" — סגירה מהירה על חשבון עומק הטיפול
דרישת ראיית יישום מתועדת לפני סגירה — האטת קצב הסגירה ועומס תיעוד על היחידה העסקית

הצעד בעל ההשפעה הגדולה ביותר הוא צמצום הסיכון של סגירה מוקדמת: קביעה שממצא נסגר רק לאחר מחזור בקרה אחד שבו הוא לא חזר. קריאה סבירה של הדפוס היא שממצא שנותר פתוח משקף לרוב מחסור בסמכות או בתקציב אצל הבעלים, ולא חוסר מוטיבציה — ולכן הסלמה עניינית יעילה יותר מתזכורות.

אולי אתם גם תוהים אם דחייה מאושרת נחשבת כשל בקרה. לא בהכרח — אך דפוס של דחיות חוזרות באותו נושא הוא בעצמו ממצא לניהול סיכונים תפעוליים. וכשנדרשת חוות דעת חיצונית על שאלת בעלות שנויה במחלוקת, LT Risk Management מתחייבת למענה לפנייה ראשונית תוך 24 שעות — מחויבות שירות של צוות הייעוץ, ולא רמת שירות חוזית.

שאלות נפוצות

מי אחראי בפועל לסגירת ממצא ביקורת — הביקורת, ההנהלה או היחידה העסקית?

האחריות לסגירת ממצא — כלומר לתיקון החולשה שהתגלתה בבדיקת הביקורת הפנימית — מוטלת על בעל התהליך: היחידה העסקית שמבצעת את הפעילות שבה נמצאה החולשה. הביקורת הפנימית מזהה, מתעדת ומוודאת שהתיקון בוצע, אך אינה מתקנת בעצמה, שכן אחרת היא מבקרת את עבודתה שלה. ההנהלה הבכירה אחראית להקצות משאבים, לקבוע תעדוף ולאשר את לוח הזמנים, והדירקטוריון נושא באחריות העל לפיקוח על מסגרת ניהול הסיכונים. חלוקה זו נשענת על מודל שלושת קווי ההגנה, המקובל בגופים מפוקחים בישראל ובעולם.

מה ההבדל בין "סגירת ממצא" לבין תיקון שורש הבעיה?

סגירת ממצא היא הצהרה מנהלית שהפעולה המתקנת בוצעה; תיקון שורש הבעיה הוא שינוי בתהליך שמונע את הישנות הכשל. ממצא שנסגר באמצעות נוהל חדש בלבד, ללא בקרה מפצה ובלי מבחן אפקטיביות, נוטה לחזור במחזור הביקורת הבא בניסוח שונה. מבחן פשוט: אם התיקון תלוי בזיכרון של עובד ולא במנגנון — הממצא לא באמת נסגר. LT Risk Management בונה עם היחידות העסקיות בקרות שמשולבות בתהליך העבודה עצמו, כך שהאפקטיביות ניתנת להוכחה מול הביקורת והרגולטור.

מתי מנהל הסיכונים נכנס לתמונה ולא רק הגורם המבוקר?

מנהל הסיכונים (CRO) הוא קו ההגנה השני, ותפקידו להעריך את איכות התיקון ואת הסיכון השיורי שנותר לאחר סגירת הממצא — במיוחד בתחום ה-NFR (Non-Financial Risk), כלומר סיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית (BCP) ו-AI. בארגונים בינוניים וממשלתיים שאינם מעוניינים לגייס מנהל/ת סיכונים למשרה מלאה, LT Risk Management מספקת שירות Risk Manager as a Service — מנהל/ת סיכונים במיקור חוץ, בהיקף שהלקוח מבקש, המהווה את התקן הארגוני לפונקציה.

מה זה BPT, ואיך הוא עוזר לסגור ממצא שנוגע לתהליך ולא למערכת?

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי — שיטה ייחודית ובלעדית ל-LT Risk Management, שבודקת היכן ניתן לנצל לרעה את התהליך עצמו ולא רק את התשתית הטכנולוגית. להבדיל ממבדק חדירות טכנולוגי (PT), שמתמקד במערכות ובקוד, ניתוח התהליך העסקי מאתר את החולשות שנשארות פתוחות גם אחרי שההגנה הטכנולוגית נסגרה: הרשאות חוצות תפקידים, חריגים ידניים, נקודות שבהן טעות אנוש, מעילה ואירוע סייבר נפגשים. זהו מענה הוליסטי אחד לשלושת סוגי הסיכון, והוא מתאים במיוחד לממצאים חוזרים שאינם נפתרים בפתרון מערכתי.

מי אחראי לסגירת ממצא שנוגע למערכת בינה מלאכותית?

בממצא שמקורו במערכת AI האחריות מתפצלת: היחידה העסקית שמפעילה את המודל היא בעלת התהליך, ה-CISO אחראי להיבטי אבטחת המידע, ואילו הראייה ב-360 מעלות — דאטה, validation, AI Red Teams והיבטים משפטיים ורגולטוריים — נדרשת מפונקציית Chief AI Officer. בארגונים רבים בישראל הפונקציה הזו טרם הוגדרה, ולכן ממצאי AI נותרים ללא בעלים ברור. ליאה צור, מנכ"לית LT Risk Management, מוסמכת Chief AI Officer מטעם Copenhagen Compliance, והחברה מספקת שירות Chief AI Officer וכתיבת מפת סיכוני AI ייעודית לאורך כל מחזור החיים של ההטמעה — מענה רלוונטי במיוחד לפינטקים ולגופי אשראי חוץ-בנקאי שמטמיעים AI תחת רגולציה של שוק ההון.

איך מכשירים צוות שיֵדע לסגור ממצאים בכוחות עצמו?

הדרך המעשית היא הכשרה שמלמדת לזהות את שורש הכשל ולבנות בקרה, ולא רק לנסח תשובה לביקורת. קורס ההסמכה של LT Risk Management למנהלי.ות סיכונים תפעוליים, סייבר ו-AI הוא בהיקף כ-40 שעות אקדמיות וכולל, לפי פרסומי החברה, סדנאות, התנסויות וביקורים ב-SOC מוביל, לצד מרצים אורחים מהארגונים הגדולים בארץ ובעולם; הקורס מוכר על ידי IRM (Institute of Risk Management). דן רבינוביץ מהביקורת הפנימית בבנק ישראל כתב: "סוף סוף קורס ניהול סיכונים שמעשיר לי... מעניק כלים שימושיים ופרקטיים באמת". נכון ל-2026 החברה מתחייבת למענה לפניות תוך 24 שעות כמחויבות שירות לפנייה ראשונית.

קשור

מוכנים להתחיל?

גלו איך LT RISKMGMT יכולה לעזור.

צרו קשר