Самооценка рисков: вопросник по киберрискам, crime и D&O

Коротко. Самооценка является не формальной проверкой, а инструментом управления, с помощью которого правление видит, насколько хорошо предприятие готово к киберрискам, рискам мошенничества и рискам управления. Цель состоит не в нулевом риске, а в том, чтобы риски были сознательно оценены, приоритизированы и покрыты внутренним контролем или страхованием. Если ответы расплывчаты или отсутствуют, это указывает на риск, требующий внимания.¹

Как пользоваться вопросником

На вопросы совместно отвечают член правления, финансовый директор, руководитель ИТ и юрист. Каждый ответ должен быть доказуемым (документ, журнал, протокол), а не мнением.
Каждый вопрос оценивается по шкале: - 2: да, работает и доказуемо; - 1: частично или формально (порядок существует, но не проверялся или не соблюдается); - 0: нет или неизвестно.
По каждой оценке 0 и 1 принимается решение: снижается ли риск внутренним контролем, передается ли он страховщику или сознательно принимается. Решение и ответственное лицо вносятся в протокол.
Самооценка повторяется не реже одного раза в год, перед продлением договоров страхования и после каждого существенного инцидента.

Результат оценки служит и исходными данными для заявления на страхование. Ответы, данные в заявлении, должны соответствовать действительности: неверная информация может дать страховщику право отступить от договора (VÕS § 441, § 442).²

1. Самооценка киберрисков

Оценка начинается с зависимости от ИТ-систем. Правление должно понимать, какие системы являются критическими и каким было бы деловое воздействие их сбоя: как долго можно действовать без них и каким был бы денежный ущерб.

№	Вопрос	Оценка
K1	Определены ли критические системы и данные поименно и известен ли их владелец?
K2	Оценено ли, как долго предприятие может функционировать без каждой критической системы и каково денежное воздействие простоя в течение одного дня?
K3	Используется ли многофакторная аутентификация в электронной почте, удаленном доступе, облачных услугах и для учетных записей администраторов?
K4	Регулярно ли пересматриваются учетные записи пользователей и права и сразу ли закрываются доступы уволившихся работников?
K5	Регулярно ли делаются резервные копии, отделены ли они от основной сети и проверялось ли восстановление на практике в течение последних 12 месяцев?
K6	Прошли ли работники обучение по фишингу и социальной инженерии и проводились ли имитированные атаки?
K7	Знают ли работники, как и кому сообщать о подозрительной деятельности?
K8	Оценен ли риск критических поставщиков ИТ-услуг и облачных услуг и есть ли в договоре требования к безопасности и обязанность уведомлять об инциденте?
K9	Есть ли альтернатива на случай перерыва в работе критического поставщика услуг?
K10	Есть ли письменный план реагирования на инциденты для программы-вымогателя и утечки данных (роли, лица, принимающие решения, контакты, линия по инцидентам страховщика)?
K11	Известно ли, подпадает ли предприятие под сферу применения Закона о кибербезопасности, и назначен ли ответственный член правления?
K12	Хранятся ли журналы достаточно долго, чтобы расследовать инцидент?

Контекст. Многофакторная аутентификация уже не рекомендация, а стандарт страхового рынка: без нее риск программ-вымогателей и захвата учетных записей существенно выше, и страховщик может отказаться сделать предложение. В отношении резервного копирования частой проблемой является то, что оно существует, но ни разу не использовалось для восстановления. В сфере применения Закона о кибербезопасности ответственный член правления должен пройти обучение; если ответственный член правления не назначен, отвечают все члены правления (KüTS § 6¹).³

2. Самооценка рисков crime

Риски crime касаются контроля над денежными потоками и функционирования внутреннего контроля.

№	Вопрос	Оценка
C1	Есть ли документированный обзор того, где и как движутся деньги (счета, платежные системы, полномочия)?
C2	Является ли подтверждение платежей многоуровневым и проверяет ли подтверждающий основание платежа, а не только вторую подпись?
C3	Исключено ли, что один человек может и инициировать, и подтвердить платеж?
C4	Всегда ли изменение банковских реквизитов поставщика проверяется по независимому каналу (контрольный звонок по ранее известному номеру)?
C5	Есть ли письменная процедура для срочного платежного поручения, поступившего от имени руководителя?
C6	Разделены ли роли (реестр поставщиков, бухгалтерские проводки и платежи не находятся в руках одного человека)?
C7	Ограничен ли доступ ИТ-администраторов к финансовым системам?
C8	Отделены ли средства клиентов от собственных средств предприятия?
C9	Есть ли механизмы раннего выявления мошенничества (анализ данных, обязательный отпуск, ротация, внутренний аудит)?
C10	Оценен ли максимально возможный ущерб от мошенничества (в том числе длительная схема и несколько последовательных платежей)?
C11	Соответствует ли сублимит по социальной инженерии в страховании crime крупнейшему обычному платежу?
C12	Есть ли соглашение с банком о быстром отзыве платежа и внесены ли контакты в кризисный план?

Контекст. Управление данными поставщиков является основным риском мошенничества со счетами. Департамент государственных информационных систем рекомендует установить порядок, согласно которому при изменении данных счета с отправителем связываются через ранее известные контактные данные.⁴ Если процессы чрезмерно упрощены, возрастает риск как внутреннего, так и внешнего мошенничества. Если предприятие хранит деньги других лиц или управляет ими, они должны быть отделены, иначе возникает как финансовый риск, так и риск ответственности. Без оценки максимального ущерба от мошенничества невозможно адекватно определить страховые суммы.

3. Самооценка рисков D&O

Риски D&O связаны с личной ответственностью членов правления и совета (ÄS § 187, § 315, § 327).⁵

№	Вопрос	Оценка
D1	Получает ли правление регулярно (не реже одного раза в квартал) обзор основных рисков, в том числе киберрисков и финансовых рисков?
D2	Запротоколированы ли существенные решения вместе с информацией и соображениями, на которых они основывались?
D3	Документированы и рассмотрены ли особые мнения и предупреждения (аудитор, внутренний аудит, ИТ)?
D4	Есть ли работающий контроль соответствия (защита данных, кибербезопасность, предотвращение отмывания денег, отраслевые требования)?
D5	Является ли информация, предоставляемая инвесторам, кредиторам и партнерам, правильной и полной, в том числе о рисках?
D6	Ясно ли в кризисе, кто принимает решения и как они документируются?
D7	Осведомлено ли правление о киберрисках и рисках мошенничества и об их воздействии?
D8	Осведомлено ли правление о своих обязанностях при риске неплатежеспособности (ÄS § 180 ч. 5¹)?
D9	Покрывает ли страхование D&O бывших руководителей, руководителей дочерних предприятий и надзорные производства?
D10	Достаточен ли лимит договора D&O и тогда, когда несколько руководителей одновременно требуют возмещения расходов на защиту?
D11	Есть ли в договоре D&O исключение киберинцидента и принято ли оно сознательно?
D12	Известно ли, когда и как нужно уведомлять страховщика об обстоятельствах, которые могут привести к требованию?

Контекст. Если риски не доходят до уровня правления, правление не может ими управлять. Документация является основным доказательством того, что правление действовало с прилежанием; член правления должен сам доказать свое прилежание.⁵ При неплатежеспособности, которая не является временной, правление должно подать заявление о банкротстве незамедлительно, но не позднее чем в течение 20 дней с момента выявления неплатежеспособности, и не вправе производить платежи, не совместимые с прилежанием надлежащего предпринимателя (ÄS § 180 ч. 5¹).⁶ Многие споры D&O возникают именно из-за решений, принятых в кризисе.

4. Целостный взгляд

Киберриски, риски crime и риски D&O не существуют по отдельности. Кибератака может привести к мошенничеству, а оно, в свою очередь, к требованию к правлению. Поэтому нужно оценить и связи:

Покрыт ли один и тот же инцидент в страховой программе через все три слоя (см. взаимодействие)?
Единообразно ли исключение военного риска во всех договорах?
Содержит ли кризисный план контакты всех страховщиков и сроки уведомления?

5. Толкование результата

Итоговый результат (макс. 72)	Толкование	Следующий шаг
60–72	Готовность хорошая; сильные стороны доказуемы	Поддерживайте, проверяйте симуляцией
40–59	Существенные пробелы по меньшей мере в одной области	План действий на 3–6 месяцев; пересмотрите условия страхования
менее 40	Системный риск	Отдельное обсуждение в правлении; Insurance Readiness Audit

Сумма, однако, не главное. Один ответ с оценкой 0 в критическом месте (например, C4 или K5) может быть важнее высокого итогового результата. Ценность самооценки заключается не в вопросах, а в ответах и принятых на их основе решениях.

Связанные страницы

Примечания

O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 38. ↩
Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) §§ 440–442 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S ↩
Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 6¹ (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS ↩
Riigi Infosüsteemi Amet [Департамент государственных информационных систем]. Arvepettused [Мошенничество со счетами]. – https://www.itvaatlik.ee/levinud-pettused/ettevotete-vastased-pettused/arvepettused/ ↩
Äriseadustik [Коммерческий кодекс] (ÄS) § 187, § 315, § 327 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S ↩↩
ÄS § 180 ч. 5¹ (сноска 5). ↩