# Ettevõtja vaade: ärimudel, rahavood, süsteemid, vastutus

Aadress: https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/ettevotja-vaade/
Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ)

> Kuidas ettevõtja kaardistab riske enne kindlustuse ostmist: ärimudeli sõlmpunktid, rahavood, kriitilised süsteemid ja vastutusriskid.

> **Lühidalt.** Riskijuhtimine ei alga kindlustusest ega tehnoloogiast, vaid arusaamast, kuidas ettevõte tegelikult toimib. Neli küsimust (kuidas ettevõte raha teenib, kuidas raha liigub, millistest süsteemidest äri sõltub ja kus tekib vastutus) moodustavad aluse, millele saab üles ehitada nii turbe kui ka kindlustusprogrammi.[^1]

Liiga sageli alustatakse valmislahendustest: ostetakse kindlustus, rakendatakse turvameetmeid või tellitakse audit, ilma et oleks kaardistatud, kus riskid reaalselt tekivad. Kriisis selgub siis, et kõige olulisemad riskikohad jäid tähelepanuta. Allpool on neli küsimust lahti kirjutatud nii, et neid saab kasutada juhatuse töökoosoleku päevakorrana.

## 1. Ärimudeli analüüs: milline sündmus peataks ettevõtte?

Riskide mõistmine algab ärimudelist. Küsimus ei ole pelgalt selles, mida ettevõte teeb, vaid kuidas ta väärtust loob ja millised on selle protsessi sõlmpunktid. Kaks pealtnäha sarnast ettevõtet võivad kanda täiesti erinevaid riske sõltuvalt sellest, kas nad tegutsevad tootja, vahendaja, platvormi või teenusepakkujana.

Keskne küsimus on: **milline sündmus peataks ettevõtte tegevuse kõige kiiremini ja kõige suurema mõjuga?** Tootjal võib selleks olla tootmisliini juhtimissüsteemi seiskumine, e-kaupmehel maksesüsteemi või veebipoe katkestus, raamatupidamisbürool klientide andmete kättesaamatus, logistikaettevõttel transpordijuhtimise platvormi rike.

Ärimudeli analüüsis tuleb eraldi vaadata kahte asjaolu.

**Kontroll väärtusahela üle.** Kui ettevõte sõltub kolmanda isiku tarkvarast, pilveteenusest või logistikapartnerist, võib risk realiseeruda väljaspool tema süsteeme. Tarneahela rünnakud on olnud mitme suure küberintsidendi keskmes (vt [küberkaasused](https://kindlustusoigus.ee/riskijuhtimine/kaasused/kuberkindlustuse-kaasused)).

**Roll teiste suhtes.** Kui ettevõte haldab klientide raha, andmeid või vara, kasvab tema vastutus oluliselt. Kahju ei piirdu siis ettevõtte enda kahjuga: lisanduvad kolmandate isikute nõuded, mis võivad olla oluliselt suuremad. Crime-kindlustuses tähendab see vajadust kontrollida, kas leping katab ka kliendi vara, mida ettevõte hoiab või haldab (vt [Crime-kindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/crime-kindlustus)).

**Praktiline küsimustik:**

- Millised kolm protsessi toovad 80% käibest?
- Kui kaua suudab ettevõte toimida ilma iga nimetatud protsessita (tund, päev, nädal)?
- Kui suur on ühe päeva ja ühe nädala seisaku rahaline mõju (saamata jäänud müügitulu, lisakulud, lepingutrahvid)?
- Kas ettevõte hoiab või haldab kolmandate isikute raha, andmeid või vara? Millises mahus?

## 2. Kus liigub raha?

Enamik suuremaid kahjusid ei teki tänapäeval süsteemirikkest, vaid raha valest suunamisest. Seetõttu on vaja detailset ülevaadet makseprotsessist:

- kes algatab makse, kes selle kinnitab ja millised kontrollid toimuvad enne ülekannet;
- kas sama isik saab makse nii algatada kui ka kinnitada;
- milline osa maksetest põhineb e-kirjal või muul kergesti manipuleeritaval kanalil;
- kuidas kontrollitakse tarnija pangarekvisiitide muutmist;
- millised on suurimad üksikmaksed ja kui sageli tehakse rahvusvahelisi või erakorralisi makseid.

Arvepettus ja tegevjuhi pettus õnnestuvad just seetõttu, et kasutavad ära olemasolevaid protsesse: ründaja ei pea süsteemi sisse murdma, piisab töötaja veenmisest. Selline kahju ei pruugi kvalifitseeruda tehniliseks rikkumiseks, mistõttu küberkindlustus ei pruugi rakenduda, ning Crime-kindlustus võib keelduda, kui leping ei kata sotsiaalse manipulatsiooni skeeme või katab neid madala alamlimiidiga.

Oluline on ka **geograafiline mõõde**. Rahvusvahelised maksed liiguvad kiiresti ja läbi mitme jurisdiktsiooni. Kui pettus avastatakse hilja, on raha sageli juba edasi kantud. Seetõttu peab ettevõttel olema valmis protseduur panga kaudu makse tagasikutsumiseks (*recall*) ja kiireks õiguslikuks sammuks (kuriteoteade, vajadusel hagi tagamine), vt [esimesed 72 tundi](https://kindlustusoigus.ee/juhend-72-tundi).

## 3. Kus paiknevad kriitilised süsteemid?

Süsteemide olemasolu on enesestmõistetav seni, kuni need lakkavad töötamast. Kriitilised süsteemid ei ole ainult serverid ja tarkvara, vaid ka pilveteenused, e-post, finantssüsteemid, kliendiandmebaasid ja identiteedihaldus. Kompromiteeritud e-posti konto võib avada ukse nii andmelekkele kui ka pettusele.

Kaardistuses tuleb vastata järgmistele küsimustele:

- millised süsteemid on äritegevuse jaoks hädavajalikud ja kui kaua saab ilma nendeta toimida;
- kas süsteemid on ettevõtte enda kontrolli all või delegeeritud teenusepakkujale;
- kas varukoopiad on olemas, põhivõrgust eraldatud ja kas taastamist on päriselt testitud;
- kas ligipääs on piiratud ja kas kasutatakse mitmeastmelist autentimist;
- kes on teenusepakkujad, millised on nende turvanõuded ja kuidas on vastutus lepingus jagatud.

Kriitiliste süsteemide analüüs on otseselt seotud küberkindlustusega. Kindlustusandjad hindavad ettevõtte tehnilist küpsust juba lepingu sõlmimisel. Kui taotluses kinnitatud meetmed (näiteks mitmeastmeline autentimine või testitud varundus) tegelikult puudusid, tekib kaks eraldi õiguslikku riski: lepingueelse teatamiskohustuse rikkumine, mis võib anda kindlustusandjale õiguse taganeda (VÕS § 441, § 442), ja lepingus kokku lepitud ohutusnõude rikkumine, mille korral võib kindlustusandja vabaneda või hüvitist vähendada üksnes ulatuses, milles rikkumine mõjutas kindlustusjuhtumi toimumist või kahju ulatust (VÕS § 452 lg 2; RKTKo 2-22-2313/65).[^2] Mõlemal juhul on tagajärg erinev ja seda ei tohi segi ajada (vt [keeldumise alused](https://kindlustusoigus.ee/keeldumise-alused)).

## 4. Kus tekivad vastutusriskid?

Vastutusrisk tekib seal, kus ettevõtte tegevus mõjutab teisi: kliente, partnereid, investoreid või avalikkust. Kaasaegses keskkonnas võib peaaegu iga oluline intsident viia kolmandate isikute nõueteni.

- **Andmeleke**: nõuded klientidelt, järelevalvemenetlus, võimalik trahv, mainekahju.
- **Lepinguline vastutus**: kui teenus katkeb või tarne hilineb, võivad partnerid nõuda kahju või leppetrahvi. Paljud kindlustuslepingud välistavad lepingu alusel võetud vastutuse, mis ei tuleneks seadusest (vt [P.F. Chang'si kaasus](https://kindlustusoigus.ee/riskijuhtimine/kaasused/kuberkindlustuse-kaasused)).
- **Juhtimisvastutus**: kui ilmneb, et risk oli ettenähtav, kuid seda ei maandatud, võib vastutus kanduda juhatusele (ÄS § 187, § 315).[^3] Küberturvalisuse seaduse kohaldamisalas on juhatuse roll seadusega eraldi rõhutatud (KüTS § 6¹).[^4]

Vastutusriskide kaardistamine peab hõlmama lepingulisi kohustusi, regulatiivseid nõudeid ja juhatuse hoolsuskohustust. Alles siis saab hinnata D&O-kindlustuse rolli ja selle suhet küber- ja Crime-kindlustusega.

## 5. Neljast küsimusest otsusteni

Ärimudel, rahavood, süsteemid ja vastutus moodustavad terviku, mida ei saa käsitleda eraldi. Kui need on läbi mõeldud, saab teha põhjendatud otsuseid:

| Küsimus | Tüüpiline leid | Võimalik otsus |
|---|---|---|
| Milline sündmus peataks äri? | ERP-süsteemi seisak peatab tootmise ja arvelduse | Testitud varundus; küberkindlustus ärikatkestuse kattega; ooteaja ja limiidi kalibreerimine |
| Kus liigub raha? | Tarnijate pangaandmeid muudetakse e-kirja alusel | Kontrollkõne teadaolevale numbrile; Crime-kindlustus petturliku maksejuhise kattega piisava alamlimiidiga |
| Millest sõltuvad süsteemid? | Üks hallatud IT-teenuse pakkuja | Lepingus turvanõuded ja teavitamiskohustus; tarneahela katkestuse kate; teenusepakkuja vastutuskindlustuse kontroll |
| Kus tekib vastutus? | Ettevõte töötleb suurt hulka kliendiandmeid | Küberkindlustuse vastutusosa; D&O-kindlustus; dokumenteeritud riskianalüüs juhatuses |

Järgmine samm on [riskikaardistus praktikas](https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/riskikaardistus-praktikas), kus samad küsimused viiakse protsesside tasandile.

## 6. Näide: kolm ettevõtet, kolm riskiprofiili

**Tootmisettevõte.** Väärtus luuakse tootmisliinil, mida juhib tööstusautomaatika ja ERP. Kriitiline sündmus on liini seiskumine (tulekahju, seadme rike, küberrünnak). Raha liigub suurte tarnijamaksetena. Vastutus tekib toote puudustest ja tarnehilinemistest. Programmi rõhk: vara ja ärikatkestus, küberkindlustuse ärikatkestus, tootevastutus, Crime-kindlustus petturliku maksejuhisega.

**E-kaubandusettevõte.** Väärtus luuakse veebipoes ja maksevoogudes; kogu äri on kolmandate isikute platvormidel. Kriitiline sündmus on veebipoe või makselahenduse katkestus ja kliendiandmete leke. Raha liigub paljude väikeste maksetena; kaardimaksete reeglid toovad kaasa kaardibrändide nõuded. Programmi rõhk: küberkindlustus (ärikatkestus, andmeleke, kaardibrändide tasud), teenusepakkujate leping, tarneahela katkestus.

**Raamatupidamis- või varahaldusbüroo.** Väärtus luuakse inimeste teadmistes ja kliendiandmetes; büroo haldab kliendi raha või andmeid. Kriitiline sündmus on kliendiandmete leke või kliendi raha väärkasutus. Vastutus tekib kutsevea ja töötaja pettuse kaudu. Programmi rõhk: kutsevastutuskindlustus, Crime-kindlustus kliendi vara kattega, küberkindlustus, D&O.

Kolm ettevõtet võivad olla sama suured ja maksta sama palju kindlustusmakseid, kuid nende programm peab olema täiesti erinev.

## 7. Neli küsimust juhatuse koosolekuks

Iga nelja põhiküsimuse kohta võiks juhatus kord aastas kirja panna ühe lause vastuse:

1. **Ärimudel:** „Meie äri peatab kõige kiiremini … ja see maksaks meile päevas umbes …“
2. **Rahavood:** „Suurim üksikmakse on … ja seda kontrollib …“
3. **Süsteemid:** „Kriitilised süsteemid on … ja need taastatakse … tunniga; viimane taastamistest oli …“
4. **Vastutus:** „Suurim realistlik nõue meie vastu oleks … ja see tuleks …“

Kui mõnele lausele ei suudeta vastata, on see esimene ülesanne enne järgmist kindlustuse uuendamist.

## Seotud lehed

- [Riskikaardistus praktikas](https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/riskikaardistus-praktikas)
- [Maakleri ja juristi vaade](https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/maakleri-ja-juristi-vaade)
- [Kontrollküsimused juhtkonnale](https://kindlustusoigus.ee/riskijuhtimine/kontrollkusimused-ja-riskikaart)
- [Ärikatkestuskindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/arikatkestuskindlustus)

## Viited

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat. Käsikiri, seis 03.05.2026, ptk 3.
[^2]: Võlaõigusseadus (VÕS) § 441, § 442, § 445, § 452 lg 2 (RT I, 20.06.2026, 18; jõust. 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 28.06.2024, 2-22-2313/65, p 13, 15–17. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-2313/65
[^3]: Äriseadustik (ÄS) § 187, § 315 (RT I, 06.07.2023, 131; jõust. 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^4]: Küberturvalisuse seadus (KüTS) § 6¹ (RT I, 06.10.2026, 2; jõust. 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS