# Riskikaardistus praktikas: raha, IT, juhtimine, tarneahel

Aadress: https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/riskikaardistus-praktikas/
Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ)

> Protsessipõhine riskikaardistus: maksetsükkel, IT ja andmed, otsustusprotsessid ning tarneahel. Kuidas siduda leiud kindlustuskaitsega.

> **Lühidalt.** Riskikaardistus ei ole Exceli-tabel, vaid protsess, mille eesmärk on mõista, kuidas riskid ettevõttes päriselt realiseeruvad. Paljud organisatsioonid koostavad riskinimekirju, kuid ei seo neid igapäevaste protsessidega; kriisis ei osata riski siis ära tunda. Tõhus kaardistus vaatab ettevõtet läbi nelja prisma: finantsprotsessid, IT ja andmed, juhtimisstruktuur ning tarneahel.[^1]

## 1. Finantsprotsessid: maksekäsud ja kinnitused

Finantsprotsessid annavad otsese ligipääsu rahale ja on seetõttu peamine ründevektor. Kaardistuses tuleb läbi käia kogu maksetsükkel.

**Maksetsükli kaardistus**

1. Kuidas makse algatatakse (arve, e-kiri, süsteemi automaatne päring, juhi korraldus)?
2. Kes ja mitmel tasandil makse kinnitab? Kas kinnitaja näeb makse alusdokumenti?
3. Millised kontrollid toimuvad enne raha liikumist (summalimiidid, uue saaja kontroll, rekvisiitide võrdlus)?
4. Kuidas tuvastatakse kõrvalekaldeid (ebatavaline summa, uus riik, rekvisiitide muutus vahetult enne makset)?

**Nelja silma põhimõte peab toimima sisuliselt.** Kahe isiku kinnitus ei aita, kui mõlemad lähtuvad samast valest eeldusest või kui ründaja suudab üht neist veenda protsessi kiirendama („tehing on konfidentsiaalne, ära räägi kellelegi“). Kinnitaja peab kontrollima makse alust, mitte ainult teise inimese allkirja.

**Kõrgendatud riskiga maksed** on suured ülekanded, rahvusvahelised maksed, maksed uutele või hiljuti muudetud rekvisiitidega saajatele ja kiireloomulised erakorralised maksed. Just nendes kategooriates realiseeruvad suurimad kahjud.

**Seos kindlustusega.** Crime-kindlustuse rakendumine sõltub sageli sellest, kuidas protsessid on üles ehitatud ja kas neid järgiti. Paljud lepingud seavad petturliku maksejuhise katte eelduseks, et rekvisiitide muutust kontrolliti sõltumatu kanali kaudu (*call-back*). Eesti õiguses on oluline eristada, kas selline nõue on sõnastatud kindlustusjuhtumi piiritlusena või kindlustusvõtja hoolsuskohustusena. Riigikohtu praktika järgi on otsustav, kas tingimus sõltub kindlustusvõtja käitumisest; kui sõltub, on see hoolsuskohustus, mille rikkumisel saab kindlustusandja vabaneda üksnes VÕS § 452 lg 2 piirides ja proportsionaalselt rikkumise mõjuga.[^2] Seda eristust kasutatakse vaidluses, kuid ettevõtte eesmärk peab olema kontrolli tegelik toimimine, mitte hilisem vaidlus.

## 2. IT ja andmed: pilveteenused ja teenusepakkujad

IT ja andmed on ettevõtte toimimise selgroog. Kaardistuses tuleb vastata küsimustele, millised süsteemid ja andmed on kriitilised ning milline on nende kaitstus ja kättesaadavus.

**Kus andmed asuvad ja kes neid haldab?** Pilveteenuste kasutamisel ei kontrolli ettevõte füüsilist taristut, kuid vastutab andmete turvalisuse eest edasi. Risk on jagatud ettevõtte ja teenusepakkuja vahel, vastutus kolmandate isikute ja järelevalve ees jääb aga sageli ettevõttele.

**Identiteedihaldus ja ligipääsud.** Suur osa intsidentidest ei toimu keeruka tehnilise ründena, vaid kompromiteeritud kasutajakonto kaudu. Kui ligipääsuõigused on liiga laiad või autentimine nõrk, võib üks konto viia ulatusliku kahjuni. Eraldi tuleb vaadata administraatorikontosid, millel on õigus nii süsteemide kui ka maksevoogude üle.

**Varundus ja taastamine.** Paljud ettevõtted eeldavad, et varukoopiad on olemas, kuid kriisis selgub, et need on aegunud, ründaja on need krüpteerinud või taastamine võtab nädalaid. See pikendab ärikatkestust ja mõjutab otseselt küberkindlustuse hüvitist (ooteaeg, hüvitamisperiood, ärikatkestuse limiit).

**Teenusepakkujad.** Kui kriitiline süsteem on delegeeritud kolmandale isikule, tuleb hinnata tema turvameetmeid ja lepingulist vastutuse jaotust: kas teenusepakkuja peab intsidendist viivitamata teavitama, kas tal on vastutuskindlustus, kas vastutus on lepingus piiratud summaga, mis on kliendi võimalikust kahjust mitu korda väiksem.

**Kolm mõõdet juhatusele.** IT-riski hindamisel on praktiline kasutada kolme küsimust:

| Mõõde | Küsimus | Tüüpiline intsident | Peamine kindlustusliik |
|---|---|---|---|
| Käideldavus | Kas süsteemid ja andmed on õigel ajal kättesaadavad? | Lunavara, teenusetõkestus, pilveteenuse seisak | Küberkindlustus (taastamine, ärikatkestus) |
| Terviklikkus | Kas andmed ja maksekorraldused on õiged ja muutmata? | Petturlik makse, võltsarve, pearaamatu manipuleerimine | Crime-kindlustus |
| Konfidentsiaalsus | Kas andmetele pääsevad ligi ainult volitatud isikud? | Andmeleke, siseringi andmevargus | Küberkindlustus (teavitamine, vastutus) |

## 3. Juhtimisstruktuur ja otsustusprotsessid

Juhtimisstruktuur määrab, kuidas otsuseid tehakse ja kes nende eest vastutab. Kaardistuses tuleb hinnata, kas otsustusprotsessid on selged, dokumenteeritud ja kontrollitavad.

- **Vastutuse jaotus.** Kuidas jaguneb vastutus juhatuse, juhtkonna ja operatiivtasandi vahel? Kui vastutus on ebaselge, ei tunne kriisis keegi end vastutavana või tehakse otsuseid kiirustades ja kontrollita.
- **Erakorralised olukorrad.** Sotsiaalse manipulatsiooni skeemid kasutavad ära kiireloomulisuse tunnet. Kui ettevõttel puuduvad selged juhised, kuidas käituda juhi nimel saabunud kiire maksekorralduse korral, suureneb eksimuse tõenäosus.
- **Dokumentatsioon ja jälgitavus.** Kriisis ja hiljem vaidluses tuleb suuta tõendada, milliseid otsuseid tehti ja millisel alusel. See mõjutab nii juhatuse vastutuse hindamist kui ka kindlustusnõude käsitlemist.

Juhtimisstruktuuri analüüs on otseselt seotud D&O-riskiga. Juhatuse liige peab tõendama, et ta täitis kohustusi korraliku ettevõtja hoolsusega (ÄS § 187).[^3] Küberturvalisuse seaduse kohaldamisalas tuleb määrata küberturbe eest vastutav juhatuse liige; selle tegemata jätmisel vastutavad kõik juhatuse liikmed (KüTS § 6¹).[^4] Puudulik juhtimisprotsess ei ole seega pelgalt organisatsiooniline probleem, vaid õiguslik risk.

## 4. Tarneahel ja kolmandad isikud

Tarneahelad, teenusepakkujad ja partnerid moodustavad võrgustiku, mille kaudu liiguvad nii väärtus kui ka riskid. Kaardistus peab hõlmama kogu võrgustikku.

**Kriitiliste partnerite nimekiri**: IT-teenuse pakkujad, pilveteenused, makseteenuse pakkujad, logistikaettevõtted, võtmetarnijad ja alltöövõtjad. Iga partneri juures tuleb küsida, mis juhtub, kui ta lakkab nädalaks toimimast.

**Lepinguline kontroll**: vastutuse jaotus, vastutuse piirangud, turvanõuded, auditiõigus ja intsidentidest teavitamise kohustus. Usaldus ilma kontrollita võib viia ulatuslike kahjudeni.

**Partnerite kontroll**: kas tehakse turvaauditeid, kas nõutakse sertifikaate (nt ISO/IEC 27001) või tugineb koostöö pelgalt usaldusele?

**Seos kindlustusega.** Küberkindlustus võib katta kolmandate isikute kaudu tekkinud kahju, kuid see sõltub definitsioonidest (kas „arvutisüsteem“ hõlmab teenusepakkuja süsteeme) ja tarneahela katkestuse laiendusest. Samuti tekib küsimus, kas kahju peaks lõpuks kandma teenusepakkuja ja tema vastutuskindlustusandja. Kui ettevõtte kindlustusandja on kahju hüvitanud, läheb nõue kahju tekitanud teenusepakkuja vastu hüvitatud ulatuses kindlustusandjale üle (VÕS § 492).[^5] Kindlustusvõtja ei tohi sellest nõudest enne ega pärast kahju loobuda viisil, mis kahjustab kindlustusandja tagasinõuet; teenuslepingu vastutuse piirangud ja loobumisklauslid tuleb seetõttu kindlustusandjaga läbi rääkida.

## 5. Kaardistusest riskikaardini

Kui neli valdkonda on läbi analüüsitud, saab:

- hinnata tegelikku riskitaset (tõenäosus × mõju);
- tuvastada nõrgad kohad;
- siduda need sobiva kindlustuskaitsega või sisekontrolliga.

**Tõenäosus** jaotatakse näiteks neljaks: madal, keskmine, kõrge, väga kõrge. **Mõju** samuti neljaks: madal, keskmine, kõrge, kriitiline. Riskid, millel on kõrge tõenäosus ja kõrge või kriitiline mõju, peavad jõudma juhatusse ja neil peab olema eraldi tegevusplaan.

Hea töövõte on kolm tsooni:

- **roheline**: madala mõju ja tõenäosusega riskid, mida jälgitakse tavakorras;
- **kollane**: riskid, mis vajavad kontrollimeetmeid, vastutajat ja perioodilist ülevaatust;
- **punane**: riskid, mis vajavad juhatuse tähelepanu, kriisiplaani ja kindlustuslahendust.

Punasesse tsooni jäävad enamasti lunavara, andmeleke, suurem finantspettus, kriitilise teenusepakkuja seisak ja juhatuse vastu esitatav nõue. Riskikaarti tuleb uuendada vähemalt kord aastas ja alati, kui muutub ärimudel, turg, IT-platvorm, võtmetarnija või regulatsioon. Täielik küsimustik on lehel [kontrollküsimused ja näidis-riskikaart](https://kindlustusoigus.ee/riskijuhtimine/kontrollkusimused-ja-riskikaart).

## 6. Töövõte: riskikaardistuse töötuba

Riskikaardistuse saab teha ühe poolepäevase töötoana.

1. **Ettevalmistus.** Iga osaleja (juhatus, finantsjuht, IT-juht, jurist, müügi- ja tootmisjuht) toob kolm riski, mis teda kõige rohkem muretsema panevad.
2. **Protsesside kaardistus** (1 tund). Joonistatakse lihtne skeem: kuidas raha tuleb sisse ja läheb välja, millised süsteemid seda toetavad, kes on kriitilised partnerid.
3. **Stsenaariumid** (1 tund). Iga nelja prisma (finantsprotsessid, IT ja andmed, juhtimine, tarneahel) kohta kirjeldatakse kaks realistlikku halvimat stsenaariumi.
4. **Hindamine** (30 minutit). Iga stsenaariumi tõenäosus ja mõju; paigutus riskikaardile.
5. **Seos kindlustusega** (30 minutit). Punase tsooni stsenaariumide juures: milline leping katab ja kas osalejad seda teavad. Kui keegi ei tea, on see leid.
6. **Järeltegevused.** Vastutajad ja tähtajad; tulemused juhatuse protokolli.

Töötoa tulemus on sisend [enesehindamisele](https://kindlustusoigus.ee/riskijuhtimine/enesehindamine) ja [Insurance Readiness Auditile](https://kindlustusoigus.ee/riskijuhtimine/insurance-readiness-audit).

## Seotud lehed

- [Ettevõtja vaade](https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/ettevotja-vaade)
- [Maakleri ja juristi vaade](https://kindlustusoigus.ee/riskijuhtimine/kindlustusvajaduse-kaardistamine/maakleri-ja-juristi-vaade)
- [Riskide enesehindamine](https://kindlustusoigus.ee/riskijuhtimine/enesehindamine)
- [Nõude üleminek ja regress](https://kindlustusoigus.ee/riigikohus/noude-uleminek-kindlustusandjale-ja-regress)

## Viited

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat. Käsikiri, seis 03.05.2026, ptk 4.
[^2]: Võlaõigusseadus (VÕS) § 445, § 452 lg 2 (RT I, 20.06.2026, 18; jõust. 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 28.06.2024, 2-22-2313/65, p 13, 15–17. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-2313/65; RKTKo 25.03.2026, 2-23-10549/35, p 11–13. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-23-10549/35
[^3]: Äriseadustik (ÄS) § 187 (RT I, 06.07.2023, 131; jõust. 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^4]: Küberturvalisuse seadus (KüTS) § 6¹ (RT I, 06.10.2026, 2; jõust. 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^5]: VÕS § 492 lg 1–2 (viide 2).