Kontrollküsimused juhtkonnale ja näidis-riskikaart

Lühidalt. Juhatuse roll ei piirdu strateegiliste otsustega, vaid hõlmab aktiivset vastutust riskide tuvastamise, hindamise ja juhtimise eest (ÄS § 187, § 315).¹ Allpool on kaks tööriista: lühike kontrollküsimustik juhatuse koosoleku jaoks ja põhjalikum valdkondlik küsimustik riskikaardi koostamiseks. Küsimused ei eelda alati jaatavat vastust, kuid juhatus peab suutma neile vastata teadlikult ja põhjendatult.²

1. Kontrollküsimused juhatusele

Riskipilt

1. Kas me teame oma kolme kõige kriitilisemat riski?
2. Kas need on dokumenteeritud ja juhatuses arutatud?
3. Kas oleme hinnanud, milline kahju oleks ettevõttele eksistentsiaalne?

Raha ja kontrollid

4. Kas meil on selge ülevaade, kus raha liigub ja kes seda kontrollib?
5. Kas maksete kinnitamine on turvaline ja mitmetasandiline?
6. Kas üks inimene saab algatada ja kinnitada olulisi tehinguid?

Süsteemid ja tarneahel

7. Kas teame, millised IT-süsteemid on äritegevuse jaoks kriitilised?
8. Kas varundus toimib ja on testitud?
9. Kas ligipääs on piiratud ja kontrollitud (mitmeastmeline autentimine)?
10. Kas oleme hinnanud tarneahela riske, sh IT-teenusepakkujaid?
11. Kas teame, mis juhtub, kui kriitiline partner lakkab toimimast?
12. Kas meil on alternatiivid või varuplaan?

Juhtimine ja dokumentatsioon

13. Kas juhatus saab regulaarselt ülevaate küberturbest ja riskijuhtimisest?
14. Kas olulised otsused on dokumenteeritud ja põhjendatud?
15. Kas suudame hiljem tõendada, et tegutsesime hoolsalt?

Kindlustus

16. Kas meil on küber-, Crime- ja D&O-kindlustus?
17. Kas teame täpselt, mida iga leping katab ja mida mitte?
18. Kas oleme analüüsinud katteauke lepingute vahel?
19. Kas limiidid vastavad realistlikule maksimaalsele kahjule?
20. Kas lepingutes on alamlimiite, mis võivad kriitilisel hetkel hüvitist piirata?
21. Kas sõjariski- või kübervälistused võivad välistada olulised riskid?
22. Kas teame, millal ja kuidas kindlustusandjat teavitada?
23. Kas meil on plaan nõude esitamiseks mitme lepingu alusel?
24. Kas on määratud isikud, kes vastutavad kindlustusjuhtumite eest?

Kriisivalmidus ja kommunikatsioon

25. Kas meil on kriisiplaan esimeseks 24–72 tunniks?
26. Kas teame, keda kaasata (forensika, jurist, kommunikatsioon)?
27. Kas plaan on testitud või läbi mängitud?
28. Kas oleme valmis suhtlema klientide, järelevalve ja meediaga?
29. Kas meil on selged kommunikatsioonipõhimõtted kriisiks?
30. Kas väldime olukorda, kus info avaldamine kahjustab meie õiguslikku positsiooni?

Geopoliitika ja strateegia

31. Kas oleme hinnanud geopoliitilisi riske, mis võivad meie tegevust mõjutada?
32. Kas meie kindlustus katab või välistab sellised riskid?
33. Kas peaksime kaaluma sõjariski või poliitilise riski lahendust?
34. Kas riskijuhtimine ja kindlustus on seotud või toimivad eraldi?
35. Kas kindlustus toetab meie riskistrateegiat või on lihtsalt lisakiht?
36. Kas vaatame kindlustusprogrammi regulaarselt üle ja ajakohastame seda?

Kui vastused puuduvad või on ebamäärased, viitab see riskile, mis võib realiseeruda siis, kui seda kõige vähem oodatakse. Eesmärk ei ole täielik turvalisus, vaid teadlikkus.

2. Riskikaardi metoodika

Riskikaart annab juhatusele tööriista hinnata, millised riskid on kõige olulisemad, kui tõenäoline on nende realiseerumine ja kui suur oleks mõju.

Tõenäosus neljal tasemel: madal, keskmine, kõrge, väga kõrge. Mõju neljal tasemel: madal, keskmine, kõrge, kriitiline.

• Roheline: jälgitakse tavakorras.
• Kollane: kontrollimeetmed, vastutaja, perioodiline ülevaatus.
• Punane: juhatuse tähelepanu, kriisiplaan, kindlustuslahendus.

Punasesse tsooni jäävad enamasti lunavara, andmeleke, suurem finantspettus, tarneahela seiskumine ja juhatuse vastu esitatav nõue.

Suunised hindamiseks:

• kui ettevõtte tegevus sõltub tugevalt IT-süsteemidest, tuleb küberrisk hinnata vähemalt kõrge mõjuga riskiks;
• kui ettevõttel on palju rahvusvahelisi makseid või ta haldab teiste raha, tuleb pettuseriskid hinnata vähemalt kõrgeks;
• kui ettevõte tegutseb reguleeritud sektoris või kaasab investoreid, tuleb juhtimisriskid hinnata vähemalt keskmiseks kuni kõrgeks;
• kui ettevõte sõltub ühest kriitilisest teenusepakkujast või tegutseb strateegilises sektoris, tuleb tarneahela ja geopoliitiline risk eraldi välja tuua. Balti regioonis tuleb arvestada kõrgema geopoliitilise riskiga kui paljudes teistes Euroopa piirkondades.

Riskikaarti uuendatakse vähemalt kord aastas ja alati, kui muutub ärimudel, turg, IT-platvorm, suurem investeering, võtmetarnija või regulatsioon. Riskikaart peab vastama neljale küsimusele: mis võib juhtuda, kui tõenäoline see on, kui suur oleks mõju ja mida me selle ärahoidmiseks teeme.

3. Valdkondlik küsimustik riskikaardi koostamiseks

3.1. Üldine riskipilt

• Kas peamised äriprotsessid ja kriitilised sõltuvused on kaardistatud?
• Milline sündmus võiks reaalselt peatada äritegevuse?
• Kas maksimaalset võimalikku kahju on hinnatud?
• Kas juhatus on riskid läbi arutanud ja prioriseerinud?

3.2. Küberriskid

Lunavara, andmeleke, teenusetõkestus, e-posti kompromiteerimine, tarneahela rünnak.

• Kas kriitilised IT-süsteemid on määratletud?
• Kas süsteemide katkemine peataks kohe äritegevuse?
• Kas varundus toimib ja on testitud?
• Kas ligipääs on piiratud (mitmeastmeline autentimine)?
• Kas töötajad tunnevad ära õngitsuse ja sotsiaalse manipulatsiooni?
• Kas on plaan lunavara ja andmelekke jaoks?
• Kui kiiresti suudame süsteemid taastada?
• Kas kriitiliste IT-teenusepakkujate risk on hinnatud?

3.3. Crime-riskid

Arvepettus, tegevjuhi pettus, töötaja omastamine, fiktiivne tarnija, kontode ülevõtmine, kliendifondide väärkasutus.

• Kas makseprotsessid on mitmeastmeliselt kontrollitud?
• Kas üks inimene saab makseid algatada ja kinnitada?
• Kas tarnija pangaandmete muutust kontrollitakse eraldi kanalist?
• Kas on protseduur tegevjuhi pettuse ja arvepettuse vältimiseks?
• Kas töötajatel on ligipääs nii raamatupidamisele kui ka maksesüsteemidele?
• Kas kliendifondid on eraldatud?
• Kas pettus võib jääda pikaks ajaks avastamata?
• Kui suur võiks olla maksimaalne pettusekahju?

3.4. D&O-riskid

Väär teave investoritele, puudulik järelevalve, regulatiivsete kohustuste rikkumine, küberturvalisuse ja andmekaitse nõuete eiramine, kriisis tehtud valed otsused.

• Kas juhatus on teadlik küberriskidest ja nende mõjust?
• Kas juhatus saab regulaarselt riskiülevaate?
• Kas otsused on dokumenteeritud ja põhjendatud?
• Kas vastavuskontroll toimib (andmekaitse, küberturvalisus)?
• Kas küberturbe eest on määratud vastutav juhatuse liige (KüTS § 6¹)?³
• Kas investoritele ja partneritele antav info on korrektne ja täielik?
• Kas kriisis on otsustusprotsess määratletud?
• Kas juhatust võidakse süüdistada tegevusetuses või puudulikus järelevalves?
• Kas oleme hinnanud võimalikke investorinõudeid ja regulatiivseid menetlusi?

3.5. Sõjarisk ja geopoliitiline risk

• Kas tegevus sõltub kõrgendatud geopoliitilise riskiga riikidest või piirkondadest?
• Kas küberrünnak võib olla seotud riikliku või riigi toetatud tegevusega?
• Kas tarneahel võib katkeda sanktsioonide, konfliktide või poliitiliste otsuste tõttu?
• Kas kindlustus katab või välistab sellised riskid?
• Kas kriitilised teenusepakkujad võivad olla geopoliitilise ründe sihtmärgid?
• Kas on alternatiivsed tarnijad ja varuplaanid?
• Kas tuleks kaaluda sõjariski või poliitilise riski kindlustust? Vt sõjarisk.

3.6. Varakindlustus

• Kas olulised varad (hooned, seadmed, inventar) on kaardistatud ja hinnatud?
• Kas kindlustussummad vastavad taastamisväärtusele? (Alakindlustuse korral võib hüvitis väheneda proportsionaalselt, VÕS § 482; RKTKo 2-22-18155/63.)⁴
• Kas tegevus sõltub ühest asukohast või seadmest?
• Kas tulekahju, üleujutuse, tormi ja muude loodusõnnetuste riski on hinnatud?
• Kas kriitilised seadmed on kaitstud ja hooldatud?
• Kas varakahju korral saab tegevuse kiiresti taastada?
• Kas varakindlustus katab ka kaudsed kulud? Vt varakindlustus.

3.7. Ärikatkestus

• Kui kaua suudame tegutseda kriitiliste süsteemideta?
• Milline on ühe päeva ja nädala katkestuse rahaline mõju?
• Kas katkestus võib tuleneda IT- või tarneahela probleemist, mitte ainult füüsilisest kahjust?
• Kas kindlustus katab need stsenaariumid?
• Kas on tegevuse jätkamise plaan?
• Kas kriitilised protsessid sõltuvad ühest punktist?
• Kas töötajad teavad, kuidas kriisis tegutseda? Vt ärikatkestus.

3.8. Kindlustus ja katteaugud

• Kas meil on küber-, Crime-, D&O-, vara- ja ärikatkestuskindlustus?
• Kas teame, mida iga leping katab ja mida mitte?
• Kas lepingute vahel on kattuvusi või auke?
• Kas sotsiaalse manipulatsiooni ja tarneahela riskid on kaetud?
• Kas alamlimiidid võivad hüvitist piirata?
• Kas sõjariski välistus võib välistada olulised kahjud?
• Kas kindlustussummad vastavad realistlikule maksimaalsele kahjule?

3.9. Kriisivalmidus

• Kas on kriisiplaan esimeseks 24–72 tunniks?
• Kas teame, keda kaasata (forensika, jurist, kindlustusandja, PR)?
• Kas töötajad teavad, kuidas ja keda teavitada?
• Kas kriisiplaani on testitud? Vt simulatsioonid.
• Kas on kommunikatsiooniplaan klientidele ja meediale?

Hästi toimiv riskikaart aitab otsustada, milliseid riske aktsepteerida, milliseid maandada sisekontrolliga ja milliseid kanda üle kindlustusandjale. Eesmärk ei ole riskide täielik vältimine, vaid teadlik ja juhitud riskivõtt.

Seotud lehed

• Riskide enesehindamine
• Riskikaardistus praktikas
• Kindlustusprogrammi näidisstruktuur
• Insurance Readiness Audit

Viited