מאת אמנון מרגלית –  מכללת מסד

כשהמגן הופך לנקודת כשל

אירוע טיסת FZ1073 של פליידובאי כמקרה בוחן לניהול סיכונים והמשכיות עסקית

 

תקציר

ב-30 בספטמבר 2026 הוסטה טיסה של פליידובאי מדובאי לתל אביב לנחיתת חירום בסעודיה, לאחר אירוע אלים בתא הטייס. המאמר משתמש באירוע כמקרה בוחן ובוחן אותו בשלוש רמות: זיהוי וניתוח הסיכון לפי תקן ISO 31000, היערכות ותגובה מבחינת המשכיות עסקית לפי תקן ISO 22301, וניהול המשבר והתקשורת לפי תקן ISO 22361.

הטענה המרכזית היא שהאירוע ממחיש את פרדוקס ההגנה: מנגנוני בקרה שנועדו לצמצם סיכון חיצוני עלולים ליצור חשיפה לסיכון פנימי. עוד נטען שהפרדה בין ניהול סיכונים להמשכיות עסקית מחלישה את החוסן הכולל של הארגון. המאמר כולל פרק מעשי על מה היה צריך לעשות מראש, מה צריך לעשות עכשיו ומה צריך לעשות בעתיד, ומסתיים בהמלצות החלות על ארגונים מכל ענף.

מילות מפתח: ניהול סיכונים, המשכיות עסקית, איום פנימי, חוסן ארגוני, ניהול משברים, תעופה

הערה על מצב המידע

המאמר מבוסס על דיווחים ראשוניים ועל הצהרות של גורמים רשמיים, והחקירה הרשמית טרם הסתיימה. הניתוח אינו מייחס אשמה או סיבתיות, והאירוע משמש מסגרת ללמידה בלבד.

1. מבוא

אירועי קיצון בתעופה משמשים זה מכבר חומר לימוד בתחום הסיכונים. הסיבה אינה השכיחות שלהם: המערכת מתועדת היטב, מפוקחת, והתגובה לאירוע נצפית כמעט בזמן אמת. האירוע של 30 בספטמבר 2026 מעניין במיוחד משום שהוא נוגע בו־זמנית בקטגוריות שמורים ומנהלים נוטים לנתח בנפרד: איום פנימי, כשל במנגנוני בקרה, תלות גאופוליטית, השבתה של קו פעילות ומשבר מוניטין ותקשורת.

הכלים שמוצגים במאמר, ובהם תקני ISO, ניתוח השפעה עסקית ותכנון תרחישים, הם החומר שנלמד בקורסי ההסמכה במכללת מסד. המאמר מדגים כיצד הם מיושמים על אירוע אמיתי שהתרחש.

2. תיאור האירוע ומגבלות המידע

הטיסה FZ1073, עם כ-180 נוסעים, יצאה מדובאי לתל אביב. ציר הזמן להלן מבוסס על נתוני מעקב טיסה ועל דיווחי תקשורת, והשעות הן לפי שעון גריניץ׳.

• 03:05: הטיסה ממריאה מדובאי ועולה לגובה של כ-34,000 רגל
• 05:21: תנודות גובה ראשונות בנתוני המעקב
• 05:22: ירידה של יותר מ-14,000 רגל בפחות מ-30 שניות
• 05:31: קוד הטרנספונדר משתנה ל-7700, מצב חירום כללי
• 05:38: קוד הטרנספונדר משתנה ל-7500, התערבות בלתי חוקית
• 06:45: נחיתה בטוחה בטבוק שבסעודיה, לפי דיווחי תקשורת מקומית
• 15:34: טיסת חילוץ של פליידובאי עם הנוסעים נוחתת בבן גוריון

 

פליידובאי מסרה כי אירעה קטטה בתא הטייס, כי צוות הטיסה אבטח את המטוס והסיט אותו לנחיתת חירום בטבוק, וכי לא דווח על נפגעים בין הנוסעים. החברה הוסיפה כי המניעים אינם ידועים והם כפופים לחקירה רשמית.

גורמי ממשל בישראל מסרו כי אחד הטייסים דקר את האחר וכנראה ניסה להפיל את המטוס. זו טענה של גורם מדיני שטרם אומתה בחקירה. לפי דיווחים, הקברניט, שנפצע קשה, הצליח לפתוח את דלת תא הטייס, ונוסעים וצוות הכפיפו את התוקף. חברת התעופה מסרה כי שני הטייסים נפצעו ופונו לבית חולים. לאחר האירוע השעתה פליידובאי את הטיסות מישראל ואליה עד לסיום הבדיקה.

נותרו שאלות פתוחות: המניע, מצבו הרפואי או הנפשי של המעורב, והנסיבות המדויקות. לצורך המאמר האירוע משמש מקרה בוחן לדפוסים ולא קביעה לגבי אשמה.

3. מסגרת תיאורטית

המסגרת שלהלן היא החומר שנלמד בקורסי ההסמכה במכללת מסד, והיא משמשת בסיס לניתוח בהמשך.

• ניהול סיכונים: תקן ISO 31000:2018 מגדיר סיכון כהשפעת אי־הודאות על יעדים ומחייב תהליך מחזורי של זה"ב קרי זיהוי, הערכה ובקרה. מודל הגבינה השוויצרי של Reason משנת 1990 מסביר כשלים חמורים כחדירה דרך חורים מתיישרים בשכבות הגנה שונות.
• המשכיות עסקית: תקן ISO 22301:2019 בונה את הדיסציפלינה סביב ניתוח השפעה עסקית, הגדרת זמן השבתה מרבי נסבל, יעדי זמן התאוששות, ותרגול תוכניות.
• ניהול משברים: תקן ISO 22361:2022 מבחין בין תגובה מבצעית לבין ניהול משבר ברמת ההנהלה. בתקשורת, תיאוריית התקשורת המצבית של Coombs משנת 2007 קובעת שאסטרטגיית התגובה צריכה להתאים לסוג המשבר ולמידת האחריות המיוחסת לארגון.
• חוסן ארגוני: Weick ו-Sutcliffe, בספרם משנת 2001, מתארים ארגונים בעלי אמינות גבוהה כארגונים שנותנים תשומת לב לאותות חלשים, נמנעים מפישוט יתר ורגישים למתרחש בשטח ולא רק בהנהלה.

4. ניתוח: שלוש רמות

4.1 רמת הסיכון: פרדוקס ההגנה

לאחר 9/11 חוזקו דלתות תא הטייס כדי למנוע חדירה חיצונית. דלת נעולה מחזקת את ההגנה מפני איום חיצוני, ובמקביל משאירה את מי שבפנים ללא עין בוחנת. אירוע Germanwings 9525 ב-2015 הפך זאת לדוגמה מרכזית, ואחריו המליצה EASA על כלל שני אנשים בתא הטייס. הכלל הוחזר בהמשך לשיקול דעת של הרגולטורים והמפעילים ובחלק מהמקרים בוטל, משום שיצר סיכונים משלו. במקביל חוזקו ההערכה הפסיכולוגית ותכניות תמיכת עמיתים.

הלקח הכללי

כל בקרה היא גם משטח חשיפה. בקרה נבחנת לפי הסיכונים שהיא מצמצמת ולפי הסיכונים החדשים שהיא יוצרת. במונחי ISO 31000 אלה סיכון שיורי וסיכון משני, והם צריכים להיכנס לרישום הסיכונים.

4.2 האיום הפנימי

גם אם החקירה תגיע למסקנה אחרת, האירוע מזכיר שהאיום הפנימי הוא מאפיין של כל ארגון. עובד בעל הרשאה גבוהה כמו טייס, מנהל מערכות או מורשה חתימה, הוא נקודת כשל אנושית יחידה. העקרונות המקובלים הם אישור כפול למעשים קריטיים, בדיקות תקופתיות, ערוצי דיווח אנונימיים ושימת לב לשינויי התנהגות. השאלה האסטרטגית היא כמה מהתפקידים הקריטיים בארגון חשופים לכשל בנקודה אחת.

4.3 רמת ההמשכיות העסקית

מנקודת מבט של המשכיות עסקית האירוע הוא מבחן חי. הנחיתה בטבוק, טיסת החילוץ שהחזירה את הנוסעים לישראל באותו יום והשעיית הקו הן שלוש פעולות ברמות שונות: הצלת חיים, שחזור שירות ושליטה בחשיפה. ניתן לקרוא אותן כיעד זמן התאוששות קצר מאוד ללקוח הקצה, לצד החלטה אסטרטגית להשבית קו שלם, מעין מפסק זרם, עד להבהרת התמונה.

נקודה נוספת היא התלות הגאופוליטית. האירוע חייב תיאום בין מדינות, והמטוס נחת במדינה שאין לה יחסים דיפלומטיים עם ישראל. תוכנית המשכיות איתנה צריכה לכלול תרחישי חירום שחוצים גבולות ולא רק תרחישים מקומיים. כדאי גם לבחון את ריכוז ההכנסות בקווים רגישים פוליטית: השעיית קו אחד אינה משביתה חברה, אך היא ממחישה את החשיפה.

4.4 ניהול משבר ותקשורת

תוך שעות הופצו שני נרטיבים מוטעים: טענה שהטייסים רוסי ואוקראיני, שנקבעה כשקרית לאחר שהתברר שהקברניט אזרח הודי, ודיווח שגוי בתקשורת בישראל על טיסה נוספת, FZ1081, שחזרה לאחור. זה ממחיש עיקרון בסיסי: ואקום מידע מתמלא, ומי שאינו מספק מידע מאומת מאבד שליטה בנרטיב. פליידובאי בחרה בהודעות קצרות ועובדתיות לאורך היום, התאמה טובה לאסטרטגיית מידע והנחיה של Coombs, אך מגבלות החקירה מצמצמות בהכרח את היכולת למנוע ספקולציה.

5. דיון: מה משותף לסיכון ולהמשכיות ומה מפריד

בארגונים רבים שתי הפונקציות פועלות בנפרד, עם שפה, תקציב ובעלי עניין שונים. ניהול הסיכונים עוסק בשאלה מה עלול להשתבש וההמשכיות העסקית בשאלה מה עושים כשסיכון מתממש. אולם הכשל בתא הטייס, ההחלטה להשבית קו ותקשורת המשבר הם רצף אחד. ארגון שמנתח רק את החצי הראשון יזנח את התגובה ומי שמתרגל רק את השני לא ילמד מהסיכון שהתממש.

6. מה היה צריך לעשות מראש, מה צריך לעשות עכשיו ומה צריך לעשות בעתיד

חשיבה מבוססת סיכונים פירושה שהארגון אינו מסתפק ברישום סיכונים כללי, אלא שואל מראש אילו תרחישים ספציפיים עלולים לפגוע ביעדיו ומה ההשלכות של כל אחד מהם. ניהול תרחישים הופך את השאלה הזאת לתוכנית פעולה. שלוש נקודות הזמן הבאות מציגות איך נראית חשיבה כזאת בפועל.

6.1 מה היה צריך לעשות מראש: חשיבה מבוססת סיכונים וניהול תרחישים

היה צריך לבנות ספריית תרחישים שכוללת איום פנימי בתא הטייס, כושר פעולה מוגבל של אחד מאנשי הצוות, התנהגות אלימה בטיסה ושינוי פתאומי של המסלול אל שדה תעופה בלתי מתוכנן במדינה שלישית. לכל תרחיש נדרשים בעלי תפקידים מוגדרים, תנאי הפעלה, הסדרי תיאום מראש עם רשויות ומדינות, מטוס וצוות חלופיים להחזרת הנוסעים, תבניות הודעה לנוסעים, למשפחות ולתקשורת, ותרגול תקופתי. שני כלים מרכזיים הם תחקיר מקדים, שבו הצוות מדמיין שהאירוע כבר קרה ושואל מה גרם לו, וצוות אדום שמנסה לערער את ההנחות של התוכניות הקיימות. מהתיעוד הציבורי נראה שחלק ניכר מהתגובה, ובהם הנחיתה הבטוחה, טיסת החילוץ והודעות החברה, פעל ביעילות. השאלה אם הסיכון עצמו נוהל כראוי מראש ניתנת למענה רק לאחר החקירה.

6.2 מה צריך לעשות עכשיו: ניהול האירוע והלקחים המיידיים

ראשית, תמיכה בטייסים ובנוסעים, כולל טיפול רפואי ונפשי, ושמירה על עדויות ועל נתוני הטיסה תוך שיתוף פעולה מלא עם החקירה. שנית, ניהול המשבר ברמת ההנהלה: ועדת היגוי קבועה, לוח עדכונים לבעלי העניין ותקשורת עובדתית שמצמצמת ספקולציה. שלישית, תחקיר פנימי מהיר שאינו ממתין לחקירה הרשמית, שבודק את הבקרות הקיימות מול התרחיש ומאמץ בקרות זמניות היכן שהדבר מוצדק. רביעית, עדכון ניתוח ההשפעה העסקית לקווים רגישים, כולל החלטה מתי וכיצד לחדש את הטיסות לישראל על בסיס קריטריונים שנקבעו מראש. חמישית, בדיקת מצבם של הצוותים שנחשפו לאירוע.

6.3 מה צריך לעשות בעתיד: שינוי מערכתי ולמידה מתמשכת

בטווח הארוך נדרשת תוכנית לניהול סיכון פנימי שכוללת הערכה נפשית תקופתית, תמיכת עמיתים וערוצי דיווח, לצד בחינה מחודשת של האיזון בין הגנה על דלת תא הטייס לבין ניטור הנעשה בתוכו. את ספריית התרחישים יש לשלב בתרגילים רב־מערכתיים שמערבים רשויות ושותפים, ולמדוד את התוצאות באמצעות מדדי סיכון מוקדמים ויעדי התאוששות. ברמת דירקטוריון יש לקבוע תיאבון סיכון מפורש לאירועי קיצון ולוודא שהלקחים נכנסים לרישום הסיכונים ולתוכניות ההמשכיות. לבסוף, יש לקיים תחקיר חוזר ומבדק פנימי כעבור שנה ולבדוק אם השינויים אכן יושמו.

7. מסקנות והמלצות

1. להעריך כל בקרה גם כמקור סיכון. לכל מנגנון הגנה יש מחיר אפשרי, ויש לתעד אותו.
2. למפות נקודות כשל אנושיות יחידות ולהוסיף מנגנוני אישור כפול והתערבות.
3. לשלב תרחישי איום פנימי בתרגילים ולא רק תרחישי סייבר או איומים חיצוניים.
4. להגדיר מראש סמכות להשעיית פעילות ותנאים להפעלתה.
5. לתכנן תקשורת משבר שמניחה ואקום מידע, עם דובר ממונה ותדירות עדכון קבועה.
6. לחבר בין פונקציות הסיכון וההמשכיות באמצעות רישום סיכונים משותף וניתוח השפעה עסקית שמתעדכן בעקבות אירועים.

מי שלומד בקורסי ההסמכה במכללת מסד יזהה בהמלצות אלה את אבני היסוד של התחום: ראיית הארגון כמערכת אחת, תכנון לפי תרחישים ותרגול מתמיד.

8. מגבלות המאמר

המאמר מבוסס על דיווחים ראשוניים ועל הצהרות מדיניות וייתכן שיתעדכנו עם ממצאי החקירה. הניתוח אינו מייחס סיבה או אשמה.

 

 

מקורות

ISO 31000:2018, Risk management, Guidelines.

ISO 22301:2019, Security and resilience, Business continuity management systems.

ISO 22361:2022, Security and resilience, Crisis management.

Reason, J., 1990. Human Error. Cambridge University Press.

Weick, K. E. and Sutcliffe, K. M., 2001. Managing the Unexpected. Jossey-Bass.

Coombs, W. T., 2007. Protecting organization reputations during a crisis: the development and application of situational crisis communication theory. Corporate Reputation Review, volume 10, issue 3, pages 163 to 176.

BEA, 2016. Final report, Germanwings flight 4U9525.

דיווחי אירוע FZ1073: Al Jazeera, NPR, Washington Post, Times of Israel, Snopes והודעות פליידובאי מיום 30.9.2026