KindlustusõigusVandeadvokaat Olavi-Jüri Luik, PhD
Avaleht / Ettevõtte riskijuhtimine ja kindlustus: käsiraamat juhatusele / Riskide enesehindamine: küber-, Crime- ja D&O-küsimustik

Riskide enesehindamine: küber-, Crime- ja D&O-küsimustik

Autor: Olavi-Jüri Luik, PhD, vandeadvokaat (WIDEN)

Sisukord

Lühidalt. Enesehindamine ei ole formaalne kontroll, vaid juhtimisvahend, mille abil juhatus näeb, kui hästi on ettevõte valmis küber-, pettuse- ja juhtimisriskideks. Eesmärk ei ole nullrisk, vaid see, et riskid on teadlikult hinnatud, prioriseeritud ning kaetud kas sisekontrolli või kindlustusega. Kui vastused on ebamäärased või puuduvad, viitab see riskile, mis vajab tähelepanu.1

Kuidas küsimustikku kasutada

  1. Küsimustele vastavad koos juhatuse liige, finantsjuht, IT-juht ja jurist. Iga vastus peab olema tõendatav (dokument, logi, protokoll), mitte arvamus.
  2. Iga küsimust hinnatakse skaalal: - 2: jah, toimib ja on tõendatav; - 1: osaliselt või formaalselt (kord on olemas, kuid seda ei ole testitud või järgitud); - 0: ei või ei tea.
  3. Iga 0 ja 1 kohta otsustatakse: kas riski maandatakse sisekontrolliga, kantakse üle kindlustusandjale või aktsepteeritakse teadlikult. Otsus ja vastutaja kantakse protokolli.
  4. Enesehindamine korratakse vähemalt kord aastas, enne kindlustuslepingute uuendamist ja pärast iga olulist intsidenti.

Hindamise tulemus on ka sisend kindlustustaotlusele. Taotluses antud vastused peavad vastama tegelikkusele: ebaõige teave võib anda kindlustusandjale õiguse lepingust taganeda (VÕS § 441, § 442).2

1. Küberriskide enesehindamine

Hindamine algab sõltuvusest IT-süsteemidest. Juhatus peab mõistma, millised süsteemid on kriitilised ja milline oleks nende rikke äriline mõju: kui kaua saab tegutseda ilma nendeta ja milline oleks rahaline kahju.

Nr Küsimus Hinne
K1 Kas kriitilised süsteemid ja andmed on nimeliselt määratud ning teada on nende omanik?
K2 Kas on hinnatud, kui kaua ettevõte saab ilma iga kriitilise süsteemita toimida ja milline on päeva seisaku rahaline mõju?
K3 Kas mitmeastmeline autentimine on kasutusel e-postis, kaugligipääsus, pilveteenustes ja administraatorikontodel?
K4 Kas kasutajakontod ja õigused vaadatakse regulaarselt üle ning lahkunud töötajate ligipääsud suletakse kohe?
K5 Kas varukoopiaid tehakse regulaarselt, kas need on põhivõrgust eraldatud ja kas taastamist on viimase 12 kuu jooksul päriselt testitud?
K6 Kas töötajad on läbinud õngitsus- ja sotsiaalse manipulatsiooni koolituse ning kas on tehtud simuleeritud rünnakuid?
K7 Kas töötajad teavad, kuidas ja kellele kahtlasest tegevusest teatada?
K8 Kas kriitiliste IT-teenusepakkujate ja pilveteenuste risk on hinnatud ning lepingus on turvanõuded ja intsidendist teavitamise kohustus?
K9 Kas on olemas alternatiiv kriitilise teenusepakkuja katkestuse korraks?
K10 Kas on kirjalik intsidendiplaan lunavara ja andmelekke jaoks (rollid, otsustajad, kontaktid, kindlustusandja intsidendiliin)?
K11 Kas on teada, kas ettevõte kuulub küberturvalisuse seaduse kohaldamisalasse, ja kas on määratud vastutav juhatuse liige?
K12 Kas logisid säilitatakse piisavalt kaua, et intsidenti uurida?

Taust. Mitmeastmeline autentimine ei ole enam soovitus, vaid kindlustusturu standard: ilma selleta on lunavara ja kontode ülevõtmise risk oluliselt kõrgem ning kindlustusandja võib keelduda pakkumisest. Varunduse puhul on sage probleem, et see on olemas, kuid seda ei ole kunagi taastamiseks kasutatud. Küberturvalisuse seaduse kohaldamisalas peab vastutav juhatuse liige läbima koolituse; kui vastutavat liiget ei määrata, vastutavad kõik juhatuse liikmed (KüTS § 6¹).3

2. Crime-riskide enesehindamine

Crime-riskid puudutavad rahavoogude kontrolli ja sisekontrolli toimimist.

Nr Küsimus Hinne
C1 Kas on dokumenteeritud ülevaade, kus ja kuidas raha liigub (kontod, maksesüsteemid, volitused)?
C2 Kas maksete kinnitamine on mitmetasandiline ja kas kinnitaja kontrollib makse alust, mitte ainult teise allkirja?
C3 Kas on välistatud, et üks inimene saab makse algatada ja kinnitada?
C4 Kas tarnija pangarekvisiitide muutust kontrollitakse alati sõltumatu kanali kaudu (kontrollkõne varem teadaolevale numbrile)?
C5 Kas on kirjalik protseduur juhi nimel saabunud kiireloomulise maksekorralduse jaoks?
C6 Kas rollid on lahutatud (tarnijaregister, raamatupidamiskanded ja maksed ei ole ühe inimese käes)?
C7 Kas IT-administraatoritel on piiratud ligipääs finantssüsteemidele?
C8 Kas kliendifondid on eraldatud ettevõtte omavahenditest?
C9 Kas on mehhanismid pettuse varajaseks avastamiseks (andmeanalüüs, kohustuslik puhkus, rotatsioon, siseaudit)?
C10 Kas on hinnatud suurimat võimalikku pettusekahju (sh pikaajaline skeem ja mitu järjestikust makset)?
C11 Kas Crime-kindlustuse sotsiaalse manipulatsiooni alamlimiit vastab suurimale tavapärasele maksele?
C12 Kas on kokkulepe pangaga kiireks makse tagasikutsumiseks ja kas kontaktid on kriisiplaanis?

Taust. Tarnijate andmete haldus on arvepettuse peamine risk. Riigi Infosüsteemi Amet soovitab kehtestada korra, et muutunud kontoandmete korral võetakse saatjaga ühendust varem teadaolevate kontaktandmete kaudu.4 Kui protsessid on liiga lihtsustatud, suureneb nii sise- kui ka välise pettuse risk. Kui ettevõte hoiab või haldab teiste raha, peab see olema eraldatud, vastasel juhul tekib nii finants- kui ka vastutusrisk. Maksimaalse pettusekahju hindamata jätmisel ei saa kindlustussummasid adekvaatselt määrata.

3. D&O-riskide enesehindamine

D&O-riskid on seotud juhatuse ja nõukogu liikmete isikliku vastutusega (ÄS § 187, § 315, § 327).5

Nr Küsimus Hinne
D1 Kas juhatus saab regulaarselt (vähemalt kord kvartalis) ülevaate peamistest riskidest, sh küber- ja finantsriskidest?
D2 Kas olulised otsused on protokollitud koos aluseks olnud info ja kaalutlustega?
D3 Kas eriarvamused ja hoiatused (audiitor, siseaudit, IT) on dokumenteeritud ja käsitletud?
D4 Kas on toimiv vastavuskontroll (andmekaitse, küberturve, rahapesu tõkestamine, valdkondlikud nõuded)?
D5 Kas investoritele, laenuandjatele ja partneritele antav teave on korrektne ja täielik, sh riskide kohta?
D6 Kas kriisis on selge, kes otsustab ja kuidas otsused dokumenteeritakse?
D7 Kas juhatus on teadlik küber- ja pettuseriskidest ning nende mõjust?
D8 Kas maksejõuetuse riski korral on juhatus teadlik oma kohustustest (ÄS § 180 lg 5¹)?
D9 Kas D&O-kindlustus katab endisi juhte, tütarettevõtete juhte ja järelevalvemenetlusi?
D10 Kas D&O-lepingu limiit on piisav ka siis, kui mitu juhti nõuavad kaitsekulusid samal ajal?
D11 Kas D&O-lepingus on küberintsidendi välistus ja kas see on teadlikult aktsepteeritud?
D12 Kas on teada, millal ja kuidas tuleb kindlustusandjale teatada asjaoludest, mis võivad viia nõudeni?

Taust. Kui riskid ei jõua juhatuse tasandile, ei saa juhatus neid juhtida. Dokumentatsioon on peamine tõend selle kohta, et juhatus tegutses hoolsalt; juhatuse liige peab oma hoolsust ise tõendama.5 Maksejõuetuse korral, mis ei ole ajutine, peab juhatus esitama pankrotiavalduse viivitamata, kuid hiljemalt 20 päeva jooksul maksejõuetuse ilmnemisest, ega tohi teha makseid, mis ei ole kooskõlas korraliku ettevõtja hoolsusega (ÄS § 180 lg 5¹).6 Paljud D&O-vaidlused tekivad just kriisis tehtud otsuste tõttu.

4. Terviklik vaade

Küber-, Crime- ja D&O-riskid ei eksisteeri eraldi. Küberrünnak võib viia pettuseni ja see omakorda nõudeni juhatuse vastu. Seetõttu tuleb hinnata ka seoseid:

  • Kas sama intsident on kindlustusprogrammis kaetud kõigi kolme kihi kaudu (vt koostoime)?
  • Kas sõjariski välistus on kõigis lepingutes ühtne?
  • Kas kriisiplaan sisaldab kõigi kindlustusandjate kontakte ja teatamise tähtaegu?

5. Tulemuse tõlgendamine

Summaarne tulemus (max 72) Tõlgendus Järgmine samm
60–72 Valmisolek on hea; tugevused on tõendatavad Hoia, testi simulatsiooniga
40–59 Olulised lüngad vähemalt ühes valdkonnas Tegevuskava 3–6 kuu jooksul; vaata kindlustustingimused üle
alla 40 Süsteemne risk Juhatuse eraldi arutelu; Insurance Readiness Audit

Summa ei ole siiski peamine. Üks 0 punktiga vastus kriitilises kohas (näiteks C4 või K5) võib olla olulisem kui kõrge koondtulemus. Enesehindamise väärtus ei seisne küsimustes, vaid vastustes ja nende põhjal tehtud otsustes.

Seotud lehed

Viited

  1. O.-J. Luik. Ettevõtte juhtkonna riskiraamat. Käsikiri, seis 03.05.2026, ptk 38. ↩

  2. Võlaõigusseadus (VÕS) § 440–442 (RT I, 20.06.2026, 18; jõust. 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S ↩

  3. Küberturvalisuse seadus (KüTS) § 6¹ (RT I, 06.10.2026, 2; jõust. 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS ↩

  4. Riigi Infosüsteemi Amet. Arvepettused. – https://www.itvaatlik.ee/levinud-pettused/ettevotete-vastased-pettused/arvepettused/ ↩

  5. Äriseadustik (ÄS) § 187, § 315, § 327 (RT I, 06.07.2023, 131; jõust. 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S ↩↩

  6. ÄS § 180 lg 5¹ (viide 5). ↩

Märksõnad: D&O kindlustus Crime-kindlustus Küberkindlustus