Insurance Readiness Audit: kindlustusvalmiduse auditi mudel

Lühidalt. Insurance Readiness Audit on struktureeritud hindamine, mis näitab ettevõttele, kui hästi on tema riskid olemasoleva kindlustusprogrammiga kaetud ja kus on tegelikud katteaugud. See ei ole pelgalt kindlustuslepingute analüüs, vaid lõimitud audit, mis seob ärimudeli, riskikaardi, sisekontrolli ja kindlustuslahendused. Tulemus on kompaktne, 6–8-leheküljeline dokument, mida juhatus saab kasutada otsustamiseks ja läbirääkimisteks kindlustusandja ja maakleriga.¹

1. Auditi eesmärk ja ulatus

Audit vastab kolmele küsimusele:

1. millised riskid ettevõttel tegelikult on;
2. millised neist on kaetud;
3. millised jäävad katmata või on alakaetud.

See eeldab, et audit ei piirdu lepingutekstiga, vaid vaatab, kuidas ettevõte päriselt toimib. Komponendid:

• ärimudeli ja riskide kaardistus (vt kindlustusvajaduse kaardistamine);
• olemasolevate kindlustuslepingute analüüs (poliisid, tingimused, eritingimused, taotlused);
• riskide ja katte võrdlus stsenaariumide kaupa;
• praktilised ja prioriseeritud soovitused.

Eriti oluline on hinnata küber-, Crime- ja D&O-riskide seotust ning nende katmist eri lepingutega. Audit hõlmab vajaduse korral ka vara- ja ärikatkestuskindlustust, vastutuskindlustust ja sõjariski.

Sisend auditiks:

• kõik kehtivad poliisid koos üld- ja eritingimustega;
• viimased kindlustustaotlused ja küsimustikud;
• viimase 5 aasta kahjude ülevaade;
• olulised lepingud klientide ja teenusepakkujatega (vastutuse ja kindlustuse sätted);
• sise-eeskirjad (maksekord, infoturbe poliitika, intsidendiplaan);
• juhatuse ja nõukogu riskiarutelude protokollid.

2. Auditi struktuur (6–8 lehekülge)

Osa 1. Kokkuvõte juhatusele (1 lk)

Peamised järeldused: kas programm on piisav või on kriitilisi lünki. Kolm kuni viis olulisemat leidu ja soovitust. Kirjutatud nii, et see on arusaadav ka mittespetsialistile. Hinnang ühes kolmest vormist: programm on piisav / piisav pärast nimetatud muudatusi / ei ole piisav.

Osa 2. Riskiprofiil (1 lk)

Ettevõtte peamised riskid ärimudeli, tegevusala ja geograafia põhjal: sõltuvus IT-süsteemidest, rahavoogude struktuur, kliendi vara hoidmine, tarneahela riskid, regulatiivne keskkond (küberturvalisuse seadus, isikuandmete kaitse, valdkondlikud nõuded), geopoliitiline risk.

Osa 3. Olemasolev kindlustusprogramm (1–2 lk)

Tabel kõigist lepingutest: kindlustusandja, periood, käivitaja (trigger), limiit, koondlimiit, alamlimiidid, omavastutus, olulised laiendused ja välistused, kohaldatav õigus. Siin tuuakse välja ka kattuvused ja vastuolud lepingute vahel (nt erinev sõjariski välistus, teineteisele viitavad välistused).

Osa 4. Riskilünkade analüüs (2 lk)

Auditi tuum. Iga kriitilise stsenaariumi puhul (lunavara, petturlik maksejuhis, töötaja omastamine, andmeleke, tarneahela katkestus, nõue juhatuse vastu) näidatakse, milline leping rakendub, milline osa kahjust jääb katmata ja miks.

Osa 5. Soovitused (1 lk)

Konkreetsed ja rakendatavad soovitused nii kindlustusprogrammi (limiidid, laiendused, definitsioonid, kooskõlastamine) kui ka sisekontrolli (makseprotsess, ligipääsud, koolitus, kriisiplaan) kohta.

Osa 6. Prioriteedid ja tegevuskava (½–1 lk)

Soovitused prioriteetide kaupa, vastutajad ja tähtajad. Seos kindlustuslepingute uuendamise kuupäevadega.

3. Riskilünkade tuvastamine

Riskilünkade tuvastamine on auditi kõige väärtuslikum osa. Tüüpilised lüngad:

1. Risk jääb lepingute vahele. Sotsiaalse manipulatsiooni pettus jääb katmata, sest küberleping käsitleb seda inimliku veana ja Crime-leping ei sisalda vastavat laiendust.
2. Kitsad definitsioonid või välistused, mis ei vasta reaalsele riskile (nt „arvutisüsteem“ ei hõlma pilveteenust).
3. Kindlustussummad ei vasta võimalikule kahjule (nt ärikatkestuse limiit katab kaks päeva, realistlik seisak on kaks nädalat).
4. Näiline kate. Leping justkui katab riski, kuid piirangud muudavad selle praktiliselt kasutuks: ärikatkestuse kate kehtib ainult füüsilise kahju korral, sotsiaalse manipulatsiooni kate on 10 000 euro alamlimiidiga, D&O-limiit on jagatud kümne juhi ja ettevõtte enda vahel.
5. Tingimuslik kate, mille tingimust ettevõte ei täida. Leping eeldab mitmeastmelist autentimist või kontrollkõnet, kuid ettevõttes see ei toimi. Eesti õiguses ei tähenda see automaatselt katte puudumist (VÕS § 452 lg 2), kuid tekitab vaidluse ja hüvitise vähendamise riski.²
6. Taotluse ja tegelikkuse lahknevus. Taotluses on kinnitatud meetmeid, mida ei ole. See loob taganemise riski (VÕS § 441, § 442).³

Lünkade analüüs peab olema seotud konkreetsete stsenaariumidega. Kui stsenaariumi korral jääb oluline osa kahjust katmata, on tegemist kriitilise lüngaga.

Näidis stsenaariumitabel:

(Arvud on näitlikud; iga stsenaariumi kahju tuleb hinnata ettevõtte enda andmete põhjal ning limiite ei tohi automaatselt kokku liita, sest koondlimiidid ja alamlimiidid võivad üksteist piirata.)

4. Soovitused

Soovitused peavad olema praktilised ja ettevõttele kohandatud. Üldised soovitused ei loo väärtust.

Kindlustusprogrammi kohta:

• limiitide ja alamlimiitide kohandamine riskitasemele;
• laienduste lisamine (petturlik maksejuhis, kliendi vara, tarneahela katkestus, regulatiivsed menetlused);
• lepingute kooskõlastamine (definitsioonid, sõjariski välistus, teatamise kord);
• uute liikide lisamine (nt sõjariski või poliitilise riski kate, vt sõjarisk).

Sisekontrolli kohta:

• makseprotsesside tugevdamine;
• ligipääsuhalduse parandamine;
• töötajate koolitus;
• kriisiplaani koostamine ja testimine.

Sisekontrolli parandamine on sageli paremate kindlustustingimuste eeldus. Soovitused tuleb prioriseerida mõju ja tõenäosuse järgi.

5. Auditi praktiline väärtus

• Juhatuse informeeritud otsused. Audit on dokumenteeritud alus, mis näitab, et juhatus hindas riske ja tegi teadlikke valikuid (ÄS § 187).⁴
• Parem läbirääkimispositsioon. Ettevõte, kes suudab näidata, et tema riskid on kaardistatud ja juhitud, saab paremaid tingimusi ja laiemat katet.
• Kindlustuse ja riskijuhtimise sidumine. Kui need toimivad eraldi, tekivad paratamatult katteaugud.
• Valmisolek kahjuks. Audit näitab, milliseid dokumente ja tähtaegu kahju korral vaja on.

Audit ei ole ühekordne tegevus, vaid osa pidevast protsessist: soovitatav on teha täisaudit iga kahe kuni kolme aasta tagant ja lühem ülevaade enne iga uuendamist.

6. Auditi läbiviimise etapid

1. Algkohtumine juhatusega (1–2 tundi): ärimudel, peamised mured, varasemad kahjud.
2. Dokumentide analüüs: poliisid, tingimused, taotlused, olulised lepingud, sise-eeskirjad.
3. Intervjuud: finantsjuht (makseprotsess), IT-juht (süsteemid, varundus, teenusepakkujad), jurist (lepingud, regulatsioon), vajadusel tootmisjuht.
4. Stsenaariumide analüüs: iga kriitilise stsenaariumi läbimängimine lepingute kaupa.
5. Mustandi arutelu: leiud ja soovitused juhatusega; faktide täpsustamine.
6. Lõppdokument ja tegevuskava.

Auditi kestus sõltub ettevõtte suurusest ja programmi keerukusest. Kõige väärtuslikum on audit tehtuna enne uuendamist, et leiud jõuaksid läbirääkimistesse.

7. Näidisleiud

Allolevad leiud on tüüpilised ja üldistatud:

• küberlepingu ärikatkestuse ooteaeg on 24 tundi, kuid ettevõte kaotab olulise osa päevakäibest juba esimese 8 tunniga;
• Crime-lepingus on petturliku maksejuhise kate 25 000 euro alamlimiidiga, samal ajal kui tavapärane tarnijamakse on 150 000 eurot;
• D&O-lepingu kindlustatud isikute ring ei hõlma tütarettevõtete juhatuse liikmeid;
• varakindlustuse kindlustussumma põhineb viie aasta tagusel hinnangul;
• vastutuskindlustus välistab USA ja Kanada, kuid ettevõte on hakanud sinna tooteid müüma;
• taotluses on kinnitatud mitmeastmelise autentimise kasutamist kõigil kontodel, kuid administraatorikontodel see puudub.

Iga leiu juurde kuulub hinnang (kriitiline / oluline / väheoluline), soovitus ja vastutaja.

8. Kes auditi teeb ja millal

Auditit võib teha ettevõtte enda meeskond (finantsjuht, jurist, riskijuht), kindlustusmaakler või sõltumatu nõustaja. Kõige parem tulemus tekib, kui maakleri turuteadmised ja juristi lepinguanalüüs on ühendatud ning ettevõtte juhtkond on aktiivselt kaasatud.

Auditi teeb eriti vajalikuks:

• ettevõtte kiire kasv, uued turud või ühinemine;
• uus IT-platvorm või suurem pilveteenusele üleminek;
• uus investor, laenuandja või börsile minek;
• suurem kahju või peaaegu-kahju;
• küberturvalisuse seaduse kohaldamisalasse sattumine;
• kindlustusandja teatatud oluline tingimuste muutus.

Seotud lehed

• Riskide enesehindamine
• Katteaukude vältimine
• Kindlustusprogrammi näidisstruktuur
• Kindlustusprogramm ettevõttele
• Kontakt

Viited