סקר סיכוני הונאה לעסק: תרחישים, בקרות ותוכנית 90 יום

סקר סיכוני הונאה לעסק בודק כיצד כסף, מלאי, מידע, הרשאה או סמכות עלולים להיות מנוצלים לרעה, אילו בקרות אמורות למנוע או לגלות את האירוע, והיכן נשאר סיכון מהותי גם לאחר הבקרות הקיימות. התוצר אינו רשימת חשדות נגד עובדים, אלא מפת תרחישים ותוכנית תיקון שאפשר לנהל, לתקצב ולבדוק.

הסקר הוא מניעתי. אם כבר קיימת עסקה חריגה, תלונה, קובץ שנמחק, פער מלאי או אינדיקציה קונקרטית, עוצרים את המיפוי הרחב ושוקלים מעבר לביקורת חקירתית. בשלב זה שימור ראיות, סודיות והגדרת צוות מורשה קודמים לעימות או לשינוי מערכת.

מה הסקר אינו?

בדיקה	השאלה המרכזית	מי צריך להוביל
סקר סיכוני הונאה	כיצד ניתן לנצל לרעה תהליך, נכס או סמכות?	צוות רב־תחומי של חקירות, ביקורת, כספים ומשפט
ביקורת חקירתית	מה קרה באירוע קונקרטי ומי או מה מעורב?	צוות חקירה מוגדר, בתיאום משפטי וחשבונאי לפי הצורך
סקר סייבר	אילו איומים וחולשות מסכנים מערכות ומידע?	מומחה סייבר מתאים
סקר פרטיות	איזה מידע אישי מעובד, לאיזו מטרה ובאילו הרשאות?	פרטיות, משפט ואבטחת מידע
ביקורת חשבונאית	האם הרישום והדיווח הכספי תקינים?	רואה חשבון או מבקר מוסמך

אפשר לתאם בין הבדיקות, אך אין להציג חוקר פרטי כמומחה בכל תחום. סקר איכותי מסמן מתי נדרש בעל מקצוע נוסף ומגדיר היטב את גבולות הבדיקה.

שלב ראשון: מיפוי נכסים וזרימת ערך

מתחילים במה שהעסק חייב להגן עליו: כסף, מלאי, נתוני לקוחות, סוד מסחרי, קוד, גישה למערכות, הרשאות חתימה, מוניטין ורציפות תפעולית. לכל תהליך בונים תרשים פשוט: מי יוזם, מי מאשר, מי מבצע, מי משנה נתוני אב, מי מקבל את התוצר ומי מבקר.

ריכוז סמכויות אצל אדם אחד הוא פער בקרה אפשרי, לא הוכחה לחוסר יושר. המטרה היא ליצור תהליך שמקטין טעויות, מקשה על ניצול לרעה ומשאיר עקבות שאפשר לבדוק.

מטריצת תרחישי הונאה לפי תהליך

תחום	תרחיש	דגל אדום	בקרה מועדפת
תשלומים	שינוי חשבון ספק והעברה למתחזה	בקשה דחופה ממייל או מספר חדש	אימות בערוץ מוכר ואישור כפול
רכש	ספק קשור לעובד, פיצול הזמנות או עמלה מוסתרת	ספק יחיד, מחירים חריגים או עקיפת סף	הצהרת ניגוד עניינים, השוואה ובדיקת נאותות
מלאי	הוצאה פיזית והסתרה באמצעות ביטולים או התאמות	פער חוזר בפריט, אתר או משמרת	ספירות מפתיעות והפרדת הרשאות
שכר	עובד פיקטיבי, שעות כוזבות או שינוי פרטי תשלום	חשבון משותף, מנהל יחיד או חריגה עקבית	התאמת משאבי אנוש, נוכחות ושכר
מכירות	הנחה חריגה, החזר פיקטיבי או לקוח קשור	עקיפת מדרג אישור וריבוי זיכויים	ספי אישור, דוח חריגים ודגימת עסקאות
מידע	ייצוא לקוחות, קוד או מסמכים לפני עזיבה	הורדה חריגה או שימוש בשירות אחסון פרטי	הרשאה לפי תפקיד, לוגים ונוהל סיום
ספק חיצוני	גישה עודפת, חשבון משותף או דליפה אצל קבלן משנה	גישה פעילה לאחר סיום או ללא בעלים	בדיקת ספק, MFA, תוקף הרשאה וביקורת תקופתית
הנהלה	עקיפת בקרות באמצעות סמכות בכירה	אישור בדיעבד, חריגים ללא הנמקה או שינוי לוגים	בקרה עצמאית, תיעוד ואישור ועדה לפי העניין

שלושה סוגי בקרות

• בקרה מונעת: הפרדת תפקידים, הרשאה לפי תפקיד, אימות שינוי פרטי תשלום ואישור כפול.
• בקרה מגלה: התאמות, דוחות חריגים, סקירת לוגים, ספירות ודגימת עסקאות.
• בקרה מתקנת: הגבלת גישה, עצירת תשלום, שחזור חומר, חקירה והפקת לקחים.

בקרה שכתובה בנוהל אך אינה מבוצעת אינה אפקטיבית. לכן בודקים שלושה דברים: האם הבקרה תוכננה נכון, האם היא בוצעה, והאם נשארה ראיה אמינה לביצוע.

דירוג סיכון שאפשר להסביר להנהלה

לכל תרחיש בוחנים לפחות חמישה רכיבים:

1. השפעה: נזק כספי, תפעולי, משפטי, פרטיות ומוניטין.
2. הסתברות: תדירות, הזדמנות, מורכבות ותמריץ.
3. יכולת גילוי: כמה מהר האירוע יתגלה ובאיזה מקור.
4. חוזק הבקרה: האם היא מתוכננת, פועלת ונבדקת לאורך זמן.
5. מהירות הנזק: כמה זמן יש להגיב לפני שהנזק הופך בלתי הפיך.

הדירוג הראשוני הוא הסיכון המובנה. לאחר בחינת הבקרות מתקבל הסיכון השיורי. תרחיש בעל השפעה גבוהה, גילוי חלש ונזק מהיר עשוי לקבל קדימות גם אם לא התרחש בעבר.

כספים, ספקים ושרשרת אספקה

במחזור תשלום בודקים בנפרד יצירת ספק, שינוי פרטי בנק, הזמנה, קבלת סחורה, קליטת חשבונית ותשלום. אם אדם אחד יכול לפתוח ספק, לאשר חשבונית ולשנות חשבון, אין נקודת בקרה עצמאית. פתרון אפשרי הוא הפרדת סמכויות, אימות בערוץ נוסף וסקירה תקופתית של שינויים.

הסיכון אינו רק כספי. ספקי תוכנה, תמיכה, שכר, ענן ושיווק עשויים להחזיק גישה למערכות ולמידע. מערך הסייבר הלאומי מפרסם שאלון ספקים לחיזוק שרשרת האספקה ומדגיש בחינה מתמשכת של הסיכון שמגיע מנותני שירות. הערכת ספק מתעדכנת כאשר משתנים השירות, הגישה, קבלני המשנה או רמת הסיכון.

מידע, הרשאות ועובדים

בודקים מי זקוק לגישה, מי מאשר אותה, כיצד נרשמות פעולות ומה קורה במעבר תפקיד או בסיום עבודה. הרשאה זמנית צריכה לפוג אוטומטית; חשבון משותף מקשה לייחס פעולה; וגישה של ספק חיצוני דורשת בעלים ותאריך סיום.

הסקר אינו איסוף גורף על חיי העובדים. מתחילים בתהליך, במערכת ובהרשאות. בדיקה אישית ממוקדת נשקלת רק לאחר אינדיקציה רלוונטית, למטרה מוגדרת ובאופן מידתי. כאשר נשמר מידע אישי, יש לערב את גורמי הפרטיות והמשפט. הרשות להגנת הפרטיות מבהירה את תחולת תקנות אבטחת המידע על מאגרי מידע, לרבות היבטי הרשאה וגישה.

איך מתנהל סקר מקצועי?

1. חסות והיקף: הנהלה ממנה בעל החלטה ומגדירה תהליך, יחידה או נכס.
2. איסוף: נהלים, הרשאות, תרשימי תהליך, אירועים קודמים ודוחות חריגים.
3. ראיונות: שיחה עם מי שמבצע את העבודה בפועל, לא רק עם כותבי הנהלים.
4. סדנת תרחישים: צוות רב־תחומי בוחן כיצד כל תהליך עלול להיכשל או להיות מנוצל.
5. בדיקת בקרות: דוגמים ביצוע וראיות, במקום להסתפק בהצהרה.
6. דירוג: קובעים סיכון מובנה, אפקטיביות בקרה וסיכון שיורי.
7. תוכנית טיפול: פעולה, בעלים, מועד, תלות, עלות ומדד הצלחה.
8. מעקב: בודקים שהתיקון בוצע ושינה את הסיכון בפועל.

תוכנית 30/60/90 יום

טווח	מטרה	דוגמאות
0–30 יום	סגירת חשיפות קריטיות	ביטול חשבונות משותפים, אימות שינויי בנק, גיבוי לוגים וסגירת הרשאות ישנות
31–60 יום	הטמעת בקרה ותיעוד	הפרדת תפקידים, דוח חריגים, הצהרות ניגוד עניינים ונוהל ספקים
61–90 יום	בדיקת אפקטיביות	דגימת עסקאות, תרגיל תגובה, מדידת זמני גילוי ואישור הנהלה לסיכון שנותר

לא כל המלצה חייבת להיות יקרה. לעיתים אימות טלפוני, הרשאה שפגה, שינוי בעל אישור או דוח חריגים פשוט מפחיתים סיכון יותר ממערכת חדשה.

מה כולל דוח טוב?

תקציר מנהלים, היקף, שיטה, מפת תהליכים ונכסים, קטלוג תרחישים, בקרות קיימות, ממצאי דגימה, דירוג סיכון, סיכון שיורי ותוכנית עבודה. כל המלצה צריכה לענות על חמש שאלות: מה עושים, מי אחראי, עד מתי, כיצד מודדים, ומי מאשר את הסיכון אם לא מתקנים.

נוהל תגובה לדגל אדום

1. לא מעמתים אדם ולא מפיצים חשד לפני החלטה מסודרת.
2. שומרים לוגים, הודעות, קבצים ומסמכים מקוריים באופן שמונע שינוי.
3. מצמצמים את מעגל המידע לצוות מורשה.
4. מגדירים מי מוסמך להגביל גישה או לעצור תשלום.
5. מערבים משפט, משאבי אנוש, חשבונאות, סייבר או פרטיות לפי סוג האירוע.
6. מחליטים אם נדרשת חקירה, פנייה לרשות, הודעה למבטח או תלונה למשטרה.

שינוי סיסמה, מחיקת חשבון או עימות מוקדם עלולים למחוק עקבות, להזהיר מעורבים ולפגוע בבירור. במקרה פעיל מומלץ לפעול לפי תוכנית שימור והסלמה.

מתי מעדכנים את הסקר?

• לאחר רכישה, מיזוג, שינוי הנהלה או שינוי מבנה.
• עם מערכת, ספק, אתר או תהליך תשלום חדשים.
• לאחר אירוע, תלונה או “כמעט אירוע”.
• בעת שינוי מהותי בהרשאות, בעבודה מרחוק או במיקור חוץ.
• במחזור שנקבע לפי רמת הסיכון, ולא רק לפי תאריך שרירותי.

כמה זמן וכמה עולה סקר סיכוני הונאה?

אין מחיר או משך אחידים. סקר לתהליך תשלום אחד שונה ממיפוי ארגון רב־אתרי. ההיקף תלוי במספר התהליכים והמערכות, זמינות המסמכים, מספר הראיונות, עומק הדגימות והצורך במומחים נוספים. דרך יעילה להתחיל היא פיילוט בתהליך בעל השפעה גבוהה, לקבוע תקרה ברורה ולהרחיב רק לאחר שהתקבל ערך מדיד.

שאלות נפוצות

האם צריך לבדוק את כל העובדים?

לא. מתחילים בתהליך, בהרשאות ובבקרות. בדיקה אישית ממוקדת נשקלת רק כשיש אינדיקציה רלוונטית ובסיס חוקי.

האם הסקר מבטיח שלא תהיה מעילה?

לא. הוא מצמצם הזדמנויות, משפר גילוי ומכין תגובה. אין מערכת שמבטלת כל סיכון.

מה קודם, תוכנה או תהליך?

מתחילים בתרחיש, באחריות ובזרימת האישור. כלי טכנולוגי אינו מתקן תפקידים לא ברורים או בקרה שאינה מבוצעת.

מתי עוברים מסקר לחקירה?

כאשר מתגלה אירוע, עסקה, אדם או דפוס קונקרטי. אז מפרידים את החקירה מהסקר ושומרים את החומר לפני פעולה.

איך מודדים הצלחה?

לא במספר ההמלצות, אלא בירידת הסיכון: פחות הרשאות עודפות, יותר שינויי תשלום שאומתו, פחות חריגים לא מוסברים, זמן גילוי קצר יותר ותיקונים שנבדקו.

מדריכים משלימים

ביקורת חקירתית | בדיקת נאותות | חקירת עובדים | חקירות לעסקים | סיכוני הונאה בעמותות

המידע בעמוד כללי ואינו תחליף לייעוץ משפטי, חשבונאי, פרטיות או סייבר המותאם לארגון.