ISO 19011:2026 – המדריך המקצועי המלא לגרסה החדשה של תקן המבדק הבינלאומי

מאת אמנון מרגלית –  מכללת מסד

 

מבוא

ביום 27 במאי 2026 פרסם הארגון הבינלאומי לתקינה את המהדורה הרביעית של ISO 19011, תקן ההנחיה למבדק מערכות ניהול. התקן החדש מחליף את ISO 19011:2018 שליווה את קהילת עורכי המבדק כמעט עשור, ומעדכן את שפת המבדק כך שתשקף את האופן שבו מבדקים אכן מתבצעים כיום: מרחוק, בשילוב היברידי, מול שרשרות אספקה מורכבות ותוך הסתמכות גוברת על ראיות דיגיטליות.

מצורף קישור לסרטון המתאר את המאמר : https://youtu.be/mFUH2MUFtm0

חשוב להבהיר: ISO 19011 הוא תקן הנחיה ולא תקן דרישות. ארגונים אינם מוסמכים לפיו, והוא אינו כולל סעיפי חובה הניתנים למבדק. עם זאת, השפעתו על עולם המבדק מכרעת, שכן הוא מהווה את התשתית המקצועית למבדקים פנימיים, מבדקי ספקים ומבדקי הסמכה הנערכים מול ISO 9001, ISO 14001, ISO 45001, ISO 50001 ותקני מערכות ניהול נוספים.

 

הגדרת התקן ותחום התחולה

התקן מספק קווים מנחים למבדק מערכות ניהול, לרבות עקרונות המבדק, ניהול תוכנית מבדקים, ביצוע מבדק וכשירות עורכי המבדק. הוא חל על כל סוגי המבדק: מבדק צד ראשון (פנימי), מבדק צד שני (מול ספקים וגורמים חיצוניים), וכן מבדק צד שלישי לצורך הסמכה, ומיועד לארגונים מכל ענף וגודל.

 

מטרות התקן

• שיפור האפקטיביות והאמינות של תהליך המבדק
• מתן גישה אחידה למבדק מערכות ניהול שונות ומגוונות
• חיזוק האמון בתוצאות המבדק בקרב הנהלה, לקוחות וגורמי רגולציה
• קידום כשירות עורכי המבדק והבטחת אובייקטיביות וחוסר משוא פנים.

 

מה חדש בגרסת 2026 לעומת התקן הקודם משנת 2018

המהדורה החדשה מתוארת על ידי גופי הסמכה מובילים כרוויזיה אבולוציונית ולא מהפכנית. שבעת עקרונות המבדק, מודל תוכנית המבדק המבוסס על תכנון-ביצוע-בקרה-שיפור (PDCA) ומבנה הפרקים הבסיסי נשמרים במלואם. עם זאת, קיימים מספר שינויים מהותיים שכל עורך מבדק ומנהל תוכנית מבדקים נדרש להכיר — ובכל אחד מהם ראוי לבחון בפועל האם נדרש עדכון של נוהל המבדק, תוכנית המבדקים, תוכנית מבדק בודד, או הכשרת עורכי המבדק בארגון.

 

מבדק מרחוק ואתרים וירטואליים

זהו אחד השינויים הבולטים בגרסת 2026, אך יש לדייק: האפשרות לבצע מבדק היברידי, המשלב פעילות מרחוק ופעילות באתר, התאפשרה כבר בגרסת 2018 ואינה חידוש של המהדורה הנוכחית. החידוש האמיתי הוא שגרסת 2026 מגדירה רשמית מבדק מרחוק כבר בסעיף המונחים, ומרחיבה באופן ניכר את נספח א כך שיכלול הנחיות מפורטות לבחירת שיטת מבדק, לתכנוני חירום במקרה של תקלה טכנולוגית ולתיאום בין אתרים.

נקודה שראוי להבליט, ולעיתים קרובות מוחמצת בפועל, היא הצורך במבדק אתרים וירטואליים כשלעצמם: תיקיות שיתוף (כדוגמת Drive), אתרי אינטרנט ארגוניים, פורטלים ומערכות ענן הם "מיקומים" לכל דבר ועניין, וצריכים להיכלל מפורשות בהיקף המבדק ובראיות הנאספות — ולא רק לשמש אמצעי לביצוע מבדק מרחוק על אתר פיזי. משמעות הדבר בפועל: יש לעדכן את נוהל המבדק ואת תבנית תוכנית המבדק כך שיכללו סעיף מפורש להגדרת "אתר וירטואלי" כמושא מבדק, ולוודא שעורכי המבדק מוכשרים לבחון ראיות במיקומים כאלה.

ראיות דיגיטליות ואבטחת מידע

במקום שבו גרסת 2018 הזכירה רשומות אלקטרוניות באופן שולי, גרסת 2026 מתייחסת אליהן כאל מקור ראיה עיקרי לצד ראיונות ותצפית ישירה. נוספו הנחיות לאימות אותנטיות ושלמות של רשומות הנשלפות ממערכות ארגוניות, כולל בדיקת יומני גרסאות וגישה, אסטרטגיות דגימה למאגרי מידע דיגיטליים גדולים, שמירה על סודיות בהעברת מידע חוצה גבולות, ונהלי שמירה והשמדה של ראיות דיגיטליות כגון צילומי מסך והקלטות.

שימוש בבינה מלאכותית ואנליטיקה במבדק

כאן, לטעמי, התקן אינו זהיר דיו. ההרחבה של ראיות דיגיטליות מזמינה שימוש הולך וגובר בכלי בינה מלאכותית ואנליטיקה לצורך ניתוח נתונים, זיהוי חריגים ואף ניסוח ממצאים. אלא שדווקא כאן טמונה סכנה עקרונית: אחד מיסודות המבדק הוא העיקרון ש"מבצעים מבדק של הפעילות" ולא "מבצעים את הפעילות" במקום הנבדק. כאשר עורך המבדק מסתמך על כלי AI לניתוח ראיות או לגיבוש מסקנות, קיים סיכון ממשי לטשטוש הגבול הזה: הכלי אינו רק מסייע בבחינת הראיה, אלא עלול הלכה למעשה לבצע חלק מן השיפוט המקצועי במקום עורך המבדק.

התקן, לצערי, אינו מזהיר מפני כך במפורש, ואף אינו מפנה לצורך לבחון את מדיניות ה-AI הארגונית (ככל שקיימת) כחלק מהיקף המבדק או כקריטריון רלוונטי. מומלץ לארגונים להשלים את הפער הזה בעצמם: לעגן בנוהל המבדק כללים לשימוש (ואי-שימוש) בכלי AI על ידי עורך המבדק, ולהוסיף להכשרת עורכי המבדק דיון מפורש בגבול שבין סיוע טכנולוגי לשיפוט מקצועי עצמאי. זהו בדיוק אחד הנושאים שמקבלים דגש מעשי בקורס עורכי מבדק של מכללת מסד.

הרחבת עקרון הגישה מבוססת הסיכונים

עקרון הגישה מבוססת הסיכונים הוצג לראשונה בגרסת 2018 באופן כללי. גרסת 2026 מפרטת את יישומו בשלוש רמות נפרדות: רמת תוכנית המבדקים, רמת המבדק הבודד ורמת בחירת שיטות וטכניקות המבדק, כאשר כל רמה מקושרת במפורש למטרות המבדק.

יחד עם זאת, ראוי להעיר הערה ביקורתית: הן ISO 9001 והן ISO 19011 נותרים, גם בגרסתם המעודכנת, חסרי "שיניים" של ממש בכל הנוגע לניהול סיכונים — הם מדברים על "גישה מבוססת סיכונים" כעיקרון מנחה, אך אינם דורשים במפורש ביצוע סקר סיכונים מתועד כתנאי סף. זאת בשונה מתקנים כגון AS9100 או ISO 13485, המחייבים במפורש תהליך מובנה של הערכת סיכונים. במתודולוגיית המבדק הנלמדת במכללת מסד, סקר סיכונים מתועד מהווה דרישת בסיס מחייבת שקודמת לכל תיכון מבדק — לא המלצה, אלא שלב פתיחה בלתי ניתן לדילוג.

זה גם המקום להעיר על דיוק מושגי: התקן החדש עצמו משתמש במונח "audit design" (תיכון המבדק) ולא רק "audit planning" (תיכנון המבדק), ומומלץ לאמץ את ההבחנה הזו גם בעברית: "תיכון המבדק" הוא שלב הגיבוש המקצועי של גישת המבדק (מהו הסיכון, מה נבדוק, כיצד וברמת עומק מהי), בעוד "תיכנון" מתייחס ללוח הזמנים והלוגיסטיקה. חשוב לא פחות: תיכון המבדק חייב להיצמד לקריטריון המבדק בלבד, ולבחון שלושה ממדים — תיכנון, יישום ואפקטיביות של מה שכבר הוגדר, ולא את התכן (design) של המוצר או התהליך עצמו. חלילה לעורך מבדק לגלוש לבקרת תכן: לא זו בלבד שאין לו לכך סמכות פורמלית, אלא שברוב המקרים גם אין לו את המיומנות ההנדסית הנדרשת להעיר הערות מקצועיות על תכן מוצר או תהליך. גבול זה, בין בדיקת יישום מול "שיפוט" של תכן, דורש משמעת עצמית ברורה מצד עורך המבדק.

עדכון כשירות עורכי המבדק

לצד הידע המקצועי בתחום המבדק ועקרונותיו, נוספה בגרסת 2026 דגש מפורש על מיומנויות טכנולוגיית מידע ותקשורת, יכולת שיפוט של ראיות אלקטרוניות, מודעות לסיכוני אבטחת מידע וניסיון בניהול ראיונות מרחוק. כמו כן מומלץ לעורכי המבדק לפתח את כשירותם המקצועית המתמשכת בתחומי ניהול הסיכונים וניהול הפרויקטים, בשל המורכבות הגוברת של תיכון וריכוז מבדקים היברידיים ומבדקי אתרים וירטואליים. הרחבת דרישות הכשירות היא, למעשה, קריאה ישירה לארגונים ולגופי הכשרה לעדכן את תוכניות ההכשרה שלהם — כפי שנעשה בקורס עורכי מבדק של מכללת מסד, המשלב זה מכבר מודולים ייעודיים לניתוח סיכונים, ראיות דיגיטליות וגבולות סמכות עורך המבדק.

הרחבת ההנחיה בנושא שרשרת אספקה וגורמים חיצוניים

התקן החדש מרחיב משמעותית את ההנחיה למבדק שרשרות אספקה וספקי שירות חיצוניים, ומסייע לעורכי המבדק להעריך סיכונים ובקרות מעבר לגבולות הארגון עצמו, נוכח המגמה הגוברת של מיקור חוץ ורשתות ספקים מורכבות.

שינוי לשוני בתיאור התנהגות עורך המבדק

שינוי סמלי אך מעניין: המונחים "עקשן" ו"פועל בעוז" שתיארו את תכונות עורך המבדק הוחלפו במונח "נחוש". השינוי משקף מעבר ללשון עכשווית וברורה יותר, תוך שמירה על הציפייה שעורך המבדק יישאר עקבי, אובייקטיבי וממוקד במטרות המבדק גם מול אתגרים.

הרמוניזציה עם תקנים נוספים

גרסת 2026 מתפרסמת באותו חלון זמן עם הגרסאות המעודכנות של ISO 9001, ISO 9000 ו-ISO 14001, ומיישרת קו מונחים ואינטגרציה עם ISO/IEC TS 17012 העוסק במבדק מרחוק, כמו גם עם שיקולי שינוי אקלים המוטמעים כיום לאורך קטלוג התקנים של הארגון.

היעדר תקופת מעבר

בהיותו תקן הנחיה ולא תקן דרישות, ISO 19011:2026 חל באופן מיידי עם פרסומו, ללא תקופת מעבר פורמלית. משמעות הדבר היא שארגונים, גופי הסמכה ותוכניות הכשרת עורכי מבדק נדרשים לעדכן נהלים, תבניות ותוכניות הכשרה בהקדם האפשרי.

 

 

טבלת השוואה מרוכזת: ISO 19011:2018 מול ISO 19011:2026

נושא	ISO 19011:2018	ISO 19011:2026
מבדק מרחוק	מוזכר באופן חלקי, ללא הנחיה מפורטת	מוגדר רשמית בסעיף המונחים, עם הרחבה משמעותית בנספח א
מבדקים היברידיים ואתרים וירטואליים	אפשריים, אך ללא הגדרה עצמאית של "אתר וירטואלי" כמושא מבדק	מוטמעים לאורך כל מחזור החיים של המבדק; נדרשת התייחסות מפורשת לאתרים וירטואליים (דרייב, פורטלים, ענן)
ראיות דיגיטליות	אזכור שולי של רשומות אלקטרוניות	רשומות דיגיטליות מוכרות כמקור ראיה עיקרי, כולל אימות אותנטיות, יומני גישה ודגימה של מאגרי מידע גדולים
בינה מלאכותית ואנליטיקה	לא מוזכר	אינו מוזכר במפורש דיו; נדרשת השלמה ארגונית — מדיניות AI וגבול בין סיוע טכנולוגי לשיפוט מקצועי
כשירות עורכי מבדק	ידע מקצועי, עקרונות מבדק וכישורים התנהגותיים	נוספו כישורי טכנולוגיית מידע ותקשורת, שיפוט ראיות אלקטרוניות ומודעות לאבטחת מידע
גישה מבוססת סיכונים	הוצגה כעיקרון כללי, ללא דרישה לסקר סיכונים מתועד	מפורטת בשלוש רמות (תוכנית, מבדק בודד, בחירת שיטות); עדיין ללא חובת סקר סיכונים מתועד, בשונה מ-AS9100 / ISO 13485
מושג התיכנון	"audit planning" בלבד	מבחין בין "audit design" (תיכון) לבין "audit planning" (תיכנון)
שרשרת אספקה וגורמים חיצוניים	הנחיה מצומצמת	הרחבה משמעותית להערכת סיכונים ובקרות מעבר לגבולות הארגון
התנהגות עורך המבדק	המונחים "עקשן" ו"פועל בעוז"	הוחלפו במונח "נחוש", לשון עדכנית ובהירה יותר
התאמה לתקנים אחרים	עצמאי יחסית	הרמוניזציה עם ISO 9001:2026, ISO 9000:2026, ISO 14001:2026 ו-ISO/IEC TS 17012
תקופת מעבר	לא רלוונטי	אין תקופת מעבר פורמלית — התקן חל באופן מיידי עם פרסומו
הפקת לקחים ושיפור מתמשך	התייחסות חלקית ומרומזת	עדיין חלקית; נדרשת השלמה ארגונית ברמת הנוהל, התוכנית וההכשרה

שבעת עקרונות המבדק

• יושרה
• הצגה הוגנת
• מקצועיות ראויה
• סודיות
• אי תלות
• גישה מבוססת ראיות
• גישה מבוססת סיכונים

 

ניהול תוכנית המבדקים

ניהול תוכנית המבדקים נבנה על פי מחזור ניהולי מוכר: קביעת מטרות והיקף התוכנית, קביעת משאבים וכשירות נדרשת, יישום התוכנית, וניטור וסקירה שלה לצורך שיפור מתמיד. גרסת 2026 מוסיפה דגש מפורש על תיעוד ההיגיון העומד מאחורי כל החלטת תכנון: מדוע נבחר היקף מסוים, מדוע נבחרה שיטה זו או אחרת, ומדוע הורכב צוות המבדק באופן שבו הורכב. כאמור לעיל, מומלץ להבחין באופן עקבי בין "תיכון המבדק" (הגיבוש המקצועי-מתודולוגי) לבין "תיכנון המבדק" (הלוגיסטיקה והלו"ז), שכן הבלבול בין השניים הוא מקור נפוץ לחולשות בתוכניות מבדק.

 

ביצוע המבדק

• יצירת קשר עם הגורם הנבדק
• תיכון והכנת תוכנית המבדק
• איסוף ואימות המידע
• גיבוש ממצאי המבדק
• תיעוד התוצאות והכנת הדוח
• סגירת המבדק ומעקב אחר פעולות תיקון

 

כשירות והערכת עורכי מבדק

תחום	ציפיות מרכזיות
ידע	הבנת התקנים, מערכות הניהול ותהליך המבדק עצמו
כישורים	תקשורת, תצפית, ניתוח, כתיבת דוחות והכנה למבדק, לרבות ניתוח ראיות דיגיטליות
תכונות אישיות	אתיקה, פתיחות מחשבתית, דיפלומטיה, כושר תצפית וקבלת החלטות
הערכה ושיפור	הדגמת כשירות מתמשכת ופיתוח מקצועי מתמיד

סוגי מבדקים

• מבדק פנימי, מבדק צד ראשון
• מבדק צד שני, מול ספקים וגורמים בעלי עניין
• מבדק צד שלישי, לצורך הסמכה
• מבדק תאימות רגולטורית

 

הפקת לקחים ושיפור מתמשך

זוהי, לדעתי, אחת החולשות הבולטות של התקן גם בגרסתו החדשה: ההתייחסות להפקת לקחים ולשיפור מתמשך נותרת חלקית ומרומזת בלבד, בעוד שמדובר בנדבך קריטי לאפקטיביות מערך המבדקים לאורך זמן. שלושה ממדים ראויים להבלטה מפורשת, שהתקן מותיר ברובם למי שמיישם אותו:

• שיפור נוהל (שיטת) המבדק עצמו — האם ההנחיות והתבניות עודכנו לאור לקחים ממבדקים קודמים, כגון מבדקים שבהם התגלו קשיים בגישה לראיות דיגיטליות או באתרים וירטואליים.
• שיפור תוכנית המבדקים — האם התדירות, ההיקף ובחירת השיטות (מרחוק / באתר / היברידי) מותאמים מחדש בהתאם לממצאים מצטברים, ולא רק לתוכנית מקורית קבועה מראש.
• שיפור מיומנות עורכי המבדק — הכשרה מתמשכת, לרבות רענון והרחבה של הכישורים הטכנולוגיים והמתודולוגיים שהתקן עצמו הכיר בהם כחיוניים.

ארגונים שירצו לסגור את הפער הזה יעשו טוב אם ישלבו מנגנון פורמלי של הפקת לקחים בסיום כל מחזור מבדקים, ולא יסתפקו בדרישות הממינימליות של התקן.

 

סיכום והמלצות ליישום

ISO 19011:2026 אינו מהפך בפילוסופיית המבדק, אלא עדכון ממוקד המעגן בתקן את מה שרוב הארגונים כבר עושים בפועל מאז מגפת הקורונה: מבדקים מרחוק והיברידיים, הסתמכות על ראיות דיגיטליות, וניהול סיכונים מפורט יותר. ארגונים שכבר עובדים לפי גרסת 2018 אינם נדרשים לתכנון מחדש כולל, אך מומלץ לפעול לפי מספר צעדים:

• עדכון נוהל המבדק ותבניות התוכנית כך שיתייחסו במפורש לשיטות מרחוק, היברידיות ולאתרים וירטואליים
• קביעת סקר סיכונים מתועד כשלב חובה בתיכון כל מבדק, גם אם התקן עצמו אינו מחייב זאת במפורש
• הוספת התייחסות מפורשת לשימוש (ואי-שימוש) בכלי AI ואנליטיקה על ידי עורך המבדק, ובחינת מדיניות ה-AI הארגונית כחלק מהיקף המבדק
• חיזוק הכשרת עורכי המבדק בכישורי טכנולוגיה, אבטחת מידע וניתוח סיכונים
• עדכון קריטריוני הערכת ראיות כך שיכללו ראיות דיגיטליות לצד ראיות מסורתיות
• הטמעת מנגנון פורמלי של הפקת לקחים ושיפור מתמשך בתום כל מחזור מבדקים

ארגונים המעוניינים להטמיע את השינויים הללו הלכה למעשה, ולא רק ברמת הנוהל, מוזמנים לשקול הכשרה מקצועית מובנית — כדוגמת קורס עורכי מבדק של מכללת מסד — המשלבת את כלל הנושאים שנסקרו כאן: תיכון מבדק מבוסס סיכונים, מבדק ראיות דיגיטליות ואתרים וירטואליים, וגבולות הסמכות המקצועית של עורך המבדק.